Dans cet article
Une fuite de données sur un autre site ne devient le problème de votre entreprise que lorsque le même mot de passe ouvre un compte professionnel. Pour l’éviter, vérifiez l’ensemble du domaine sur un service comme Have I Been Pwned, changez les mots de passe exposés, activez la MFA sur tous les comptes et fournissez à l’équipe un gestionnaire de mots de passe. C’est l’affaire de quelques jours, et c’est l’un des fondements de la cybersécurité gérée que DataRoad - IT Services and Consulting applique chez ses clients.
Comment les e-mails de l’équipe se retrouvent dans une fuite
Les collaborateurs utilisent leur adresse professionnelle pour s’inscrire à des outils en ligne, des conférences, des boutiques et des plateformes de formation. Lorsqu’un de ces services est attaqué, la liste des e-mails et mots de passe est souvent publiée ou vendue. L’entreprise n’a pas été attaquée, mais les données de l’équipe y figurent.
Si le mot de passe de ce site est identique à celui de Microsoft 365, l’attaquant a déjà la clé. Il n’a rien à deviner.
Le credential stuffing expliqué en deux paragraphes
Le « credential stuffing », ou bourrage d’identifiants, consiste à prendre des milliers de couples e-mail/mot de passe volés sur un site et à les tester automatiquement sur d’autres. Cela fonctionne parce que, comme l’explique l’OWASP — fondation internationale pour la sécurité des applications —, beaucoup de personnes réutilisent le même e-mail et le même mot de passe.
Imaginez quelqu’un qui trouve la clé de votre maison de vacances et l’essaie, à tout hasard, sur la porte du bureau. C’est exactement cela, mais réalisé par un logiciel, à l’échelle de milliers de tentatives.
Trois vérifications à faire cette semaine
Chaque collaborateur peut-il vérifier sa propre adresse ?
Oui. Sur haveibeenpwned.com, chacun peut rechercher son adresse et voir dans quelles fuites connues elle apparaît. C’est idéal pour sensibiliser l’équipe, mais cela ne donne pas de vue d’ensemble de l’entreprise.
Comment vérifier le domaine complet ?
Pour lister toutes les adresses @votreentreprise.pt, Have I Been Pwned exige la preuve que vous contrôlez le domaine, par l’une de quatre méthodes :
- DNS — enregistrement TXT avec la valeur indiquée.
- Balise meta — balise sur la page d’accueil du site.
- Fichier — petit fichier HTML déposé sur le serveur.
- E-mail — lien envoyé à une adresse d’administration du domaine.
Celui qui gère le DNS ou le site s’en charge en quelques minutes. Selon la page tarifaire du service, la surveillance n’est pas facturée pour les domaines comptant jusqu’à 10 adresses exposées ; au-delà, un abonnement payant est requis, avec des paliers selon le nombre d’adresses.
Et les mots de passe eux-mêmes ?
Le même service tient à jour Pwned Passwords, une base de mots de passe déjà vus dans des fuites, consultable sans révéler le mot de passe à celui qui le vérifie. Le NIST, institut américain de normalisation, recommande précisément de comparer chaque nouveau mot de passe à des listes de mots de passe courants ou compromis et de le refuser s’il y figure. Dans les environnements Microsoft, des protections équivalentes bloquent les mots de passe faibles ou connus.
Plan de réponse en quatre étapes
| Étape | Action | Quand |
|---|---|---|
| 1. Tri | Lister les adresses exposées, les fuites dans lesquelles elles apparaissent et leurs dates | Jour 1 |
| 2. Changement | Changer les mots de passe concernés — d’abord administrateurs, finance et direction — et fermer les sessions ouvertes | Jours 1 à 3 |
| 3. MFA | MFA sur tous les comptes, sans exception, et blocage des anciens protocoles qui ne la prennent pas en charge | Semaine 1 |
| 4. Gestionnaire de mots de passe | Un gestionnaire de mots de passe d’entreprise pour chaque collaborateur, pour en finir avec la réutilisation | Mois 1 |
- Changer avec discernement Le NIST ne recommande plus les changements obligatoires tous les 90 jours. La consigne actuelle est d’imposer le changement uniquement en cas d’indice de compromission, et apparaître dans une fuite est précisément cet indice.
- La MFA comme pièce maîtresse Avec la MFA, le mot de passe volé ne suffit plus ; il manque l’approbation sur le téléphone. Selon Microsoft, la MFA associée au blocage de l’authentification héritée stoppe plus de 99,9 % des attaques courantes sur les comptes. Options dans l’authentification multifacteur en entreprise.
- Fin de la réutilisation Personne ne mémorise 40 mots de passe longs et différents. Le gestionnaire les génère, les stocke et les remplit. Le NIST demande que les systèmes acceptent ces gestionnaires et le « coller » des mots de passe, avec un minimum de 15 caractères lorsque le mot de passe est le seul facteur. Comment choisir : gestionnaire de mots de passe pour les entreprises.
DataRoad IT Unlimited
Parlez à DataRoad. Nous évaluons votre activité et proposons l’offre adaptée.
Quand le compte a déjà été utilisé : signaux d’alarme
Figurer dans une fuite ne prouve pas que quelqu’un est entré. Ces signaux exigent toutefois une action immédiate :
- Connexions inhabituelles Ouvertures de session depuis des pays où l’entreprise n’opère pas.
- Nouvelles règles de messagerie Messages transférés vers l’extérieur ou supprimés.
- Demandes MFA non sollicitées Que le collaborateur peut approuver par erreur.
- E-mails étranges envoyés à des clients ou fournisseurs Par exemple avec un IBAN modifié ; voir l’arnaque à la facture modifiée.
Ces signaux n’arrivent à temps à quelqu’un que s’il existe une supervision avec alertes. Dans les offres IT Unlimited de DataRoad, cette supervision fait partie de la sécurité incluse, avec la MFA et la protection des postes.
Ventask : 350 postes en sécurité gérée depuis 2016
Ventask travaille avec DataRoad depuis 2016 et compte aujourd’hui 350 postes en IT Unlimited, avec pare-feu gérés, sécurité des terminaux, solutions de télétravail et maintenance des solutions de cybersécurité. À cette échelle, la question n’est pas de savoir si une adresse apparaît dans une fuite, mais à quelle vitesse un compte exposé cesse d’être une porte ouverte.
Lisez le cas Ventask : 350 postes et pare-feu gérés et découvrez notre cybersécurité gérée pour les entreprises.
Questions fréquentes
Puis-je légalement vérifier les adresses de mon entreprise ?
Oui, sur votre propre domaine — d’où la preuve de contrôle exigée par Have I Been Pwned. L’objectif est de protéger les comptes de l’entreprise, pas d’enquêter sur la vie privée des collaborateurs.
Une adresse dans une fuite signifie-t-elle un compte piraté ?
Pas nécessairement. Cela signifie que l’adresse, et parfois un mot de passe, a été exposée sur un autre service. Le risque dépend de l’utilisation de ce mot de passe au travail et de la présence de la MFA sur le compte.
Faut-il imposer des changements mensuels ?
Non. Le NIST recommande de changer uniquement en cas de signes de compromission. Des mots de passe longs, uniques, stockés dans un gestionnaire et protégés par la MFA sont plus efficaces.
À quelle fréquence vérifier ?
L’idéal est une surveillance continue, avec une alerte à chaque nouvelle fuite comprenant des adresses de l’entreprise. Au minimum, une vérification par trimestre et une autre chaque fois qu’une fuite est annoncée sur un service utilisé par l’équipe.
Prochaine étape : vérification des identifiants exposés en 5 jours ouvrés
Nous analysons votre domaine dans les fuites connues, identifions les comptes à risque, vérifions la MFA sur chacun d’eux et livrons le plan de changement et de gestionnaire de mots de passe prêt à appliquer. Proposition sans engagement. Plus de 10 postes · contrat d’assistance · support à distance, sur site et par téléphone.
Sources
- Have I Been Pwned — How do I verify my domain?
- Have I Been Pwned — Pricing (sans frais jusqu’à 10 adresses exposées)
- Have I Been Pwned — FAQs (Domain Search et Pwned Passwords)
- NIST SP 800-63B-4 — Authentication and Authenticator Management
- OWASP — Credential stuffing
- Microsoft Learn — Security defaults in Microsoft Entra ID
