Les mots de passe faibles alimentent encore une part massive des compromissions de données, même si le paysage des menaces évolue. Selon le Verizon Data Breach Investigations Report 2026, l’exploitation de vulnérabilités logicielles a dépassé les identifiants volés comme point d’entrée initial des brèches. L’abus de mots de passe apparaît malgré tout dans environ 39 % des brèches lorsqu’on considère l’ensemble de la chaîne d’attaque. Ce décalage entre la perception d’un problème résolu et sa persistance réelle mérite d’être mesuré.
Mots de passe et vulnérabilités logicielles : poids comparé dans les brèches
Le tableau ci-dessous met en regard les deux principaux vecteurs d’attaque selon les analyses récentes du rapport Verizon DBIR 2026.
A lire aussi : Les sauvegardes automatiques protègent contre la perte de données
| Vecteur d’attaque | Part comme point d’entrée initial | Présence sur l’ensemble de la chaîne d’attaque |
|---|---|---|
| Exploitation de vulnérabilités logicielles | Environ 31 % | Variable selon le scénario |
| Abus de mots de passe / identifiants volés | Inférieur aux vulnérabilités (n’est plus n°1) | Environ 39 % |
La lecture de ces données change selon l’angle adopté. Si l’on ne regarde que la porte d’entrée, les vulnérabilités logicielles dominent. En revanche, dès qu’on suit le déroulement complet d’une attaque, les mots de passe faibles ou volés réapparaissent dans près de quatre brèches sur dix.
Ce rôle de facilitateur transversal (mouvement latéral, prise de contrôle de comptes, rebond vers d’autres systèmes) explique pourquoi la menace persiste même quand les statistiques initiales semblent la reléguer au second plan.
Lire également : Comment puis-je retrouver tous mes mots de passe enregistrés ?
Facilitateur transversal : comment un mot de passe faible alimente une attaque complète
Un attaquant qui exploite une faille logicielle pour pénétrer un réseau a souvent besoin, dans les étapes suivantes, d’identifiants valides pour se déplacer. Un mot de passe faible ou réutilisé sur un compte de service, un poste administrateur ou une application interne devient alors le relais qui transforme un accès limité en compromission étendue.
Scénarios concrets de rebond par identifiants
- Un compte de messagerie protégé par un mot de passe simple permet de lancer des campagnes de phishing internes crédibles, donnant accès à des systèmes plus sensibles.
- Un identifiant administrateur réutilisé sur plusieurs applications autorise un mouvement latéral rapide, sans déclencher d’alerte sur les outils de détection.
- Un mot de passe partagé entre un environnement de test et un environnement de production offre un chemin direct vers les données critiques de l’organisation.
Dans chacun de ces cas, la vulnérabilité logicielle ouvre la porte, mais le mot de passe faible fournit la clé de chaque pièce suivante. Traiter uniquement le patching sans revoir la politique de mots de passe laisse donc une surface d’attaque exploitable.
Directive NIS 2 et gestion des identifiants : ce que les organisations doivent anticiper
La directive européenne NIS 2, qui étend les obligations de cybersécurité à un périmètre plus large d’organisations, place la gestion des identifiants parmi les mesures de sécurité attendues. Les audits de conformité NIS 2 examinent explicitement les politiques de mots de passe, la mise en place d’une authentification multifacteur et la surveillance des comptes à privilèges.
Écart entre conformité affichée et pratiques réelles
Plusieurs analyses sectorielles relèvent un décalage entre les politiques de mots de passe documentées par les organisations et leur application effective. Des comptes de service conservent des identifiants par défaut pendant des mois. Des applications internes échappent au périmètre du gestionnaire de mots de passe déployé pour les postes utilisateurs.
L’audit NIS 2 ne se limite pas à vérifier l’existence d’une politique écrite : il mesure son application sur l’ensemble du périmètre, y compris les comptes techniques et les applications héritées. Une organisation qui documente une politique stricte mais tolère des exceptions sur ses systèmes anciens s’expose à un constat de non-conformité.
Recommandations NIST sur la longueur des mots de passe : un changement de paradigme
Les directives du NIST (National Institute of Standards and Technology) ont évolué ces dernières années sur un point structurant : la longueur prime désormais sur la complexité. Imposer un mélange de majuscules, chiffres et caractères spéciaux produit des mots de passe courts et difficiles à retenir, que les utilisateurs notent sur un post-it ou réutilisent partout.
Le NIST recommande plutôt des phrases de passe longues, plus faciles à mémoriser et nettement plus résistantes aux attaques par force brute. Un mot de passe de quatre mots aléatoires enchaînés offre un espace de combinaisons bien supérieur à un mot de huit caractères truffé de symboles.
Abandon du renouvellement périodique obligatoire
Le NIST préconise aussi de ne plus imposer le changement de mot de passe à intervalles fixes (tous les 90 jours, par exemple). Cette pratique pousse les utilisateurs à créer des variantes prévisibles (« motdepasse2024 », « motdepasse2025 »), ce qui réduit la sécurité au lieu de la renforcer. Le renouvellement ne devrait intervenir qu’en cas de compromission avérée ou suspectée.
Cette approche entre en tension avec certaines politiques internes encore calquées sur d’anciennes normes. Les organisations qui alignent leurs exigences sur les recommandations NIST actuelles réduisent la friction utilisateur tout en maintenant un niveau de protection cohérent.
Authentification multifacteur et passkeys : compléments, pas substituts
L’authentification multifacteur (MFA) réduit considérablement le risque lié aux mots de passe compromis. Un identifiant volé ne suffit plus si un second facteur (application d’authentification, clé physique) est requis. Les passkeys, basées sur la cryptographie asymétrique, suppriment le mot de passe lui-même en le remplaçant par une paire de clés liée à l’appareil de l’utilisateur.
Ces technologies progressent, mais leur déploiement reste partiel. De nombreuses applications internes et comptes de service ne supportent pas encore le MFA. Le mot de passe classique continue donc de protéger une part significative des accès dans la plupart des organisations, ce qui maintient l’enjeu de sa robustesse.
Le rapport Verizon DBIR 2026 et les analyses de conformité NIS 2 convergent sur un point : tant que les mots de passe restent présents dans la chaîne d’authentification, leur faiblesse demeure un facteur de risque mesurable. La donnée clé tient dans cet écart entre leur recul comme vecteur initial et leur persistance comme facilitateur dans près de 39 % des brèches analysées.
