Nous sommes noyés sous les identités numériques. La plupart d’entre nous gèrent des dizaines, parfois des centaines, de comptes en ligne. Le volume est épuisant. Alors on prend des raccourcis. Nous choisissons des mots de passe faciles à deviner, car la commodité l’emporte à chaque fois sur la sécurité. Ou pire encore, nous recyclons la même chaîne faible sur plusieurs sites. Cela crée une énorme vulnérabilité. Si un site est piraté, tout le reste s’effondre.
Pour comprendre l’ampleur de ce problème, nous devons examiner les données. La société de cybersécurité NordPass suit ces échecs chaque année. Ils analysent les violations de données dans 44 pays. Leur rapport 2024 met en évidence les mots de passe les plus courants encore utilisés. La liste est prévisible. Et dangereux.
Les 25 meilleurs mots de passe faibles
NordPass les a classés par fréquence. Certains d’entre eux ont été utilisés plus d’un million de fois lors de violations connues. Voici ce qui existe réellement :
- 123456 – 1,2 million d’instances
- 123456789 – 693 000 occurrences
- 12345678 – 365 000 instances
- secret – 339 000 instances
- mot de passe – 196 000 instances
- qwerty123 – 144 000 instances
- qwerty1 – 138 000 instances
- 111111 – 106 000 instances
- 123123 – 102 000 instances
- 1234567890 – 93 000 instances
- qwerty – 92 000 instances
- 1234567 – 86 000 occurrences
- 11111111 – 80 000 instances
- abc123 – 58 000 occurrences
- je t’aime – 54 000 instances
- 123123123 – 51 000 instances
- 000000 – 46 000 instances
- 00000000 – 45 000 instances
- a123456 – 42 000 instances
- mot de passe1 – 41 000 instances
- 654321 – 41 000 instances
- qwer4321 – 36 000 instances
- 1q2w3e4r5t – 35 000 instances
- 123456a – 35 000 instances
- q1w2e3r4t5y6 – 34 000 instances
Les modèles de clavier sont les meilleurs amis des pirates informatiques
Regardez attentivement les principales entrées. Le modèle est évident. Les utilisateurs tapent de gauche à droite et de haut en bas. Ou simplement en comptant. Les variantes « qwerty » dominent. « 123456 » règne en maître.
C’est paresseux. Et c’est fatal.
Les pirates utilisent des scripts automatisés pour les attaques par force brute. Ces scripts essaient d’abord les mots de passe les plus courants. Ils ne devinent pas « Xy7!mP ». Ils devinent « mot de passe1 ». Ils essaient ces combinaisons en quelques secondes. Si vous utilisez un modèle de clavier, vous confiez vos touches à un script. Il faut quelques millisecondes pour craquer.
Données personnelles et noms communs
La liste révèle également ce que les gens considèrent comme « unique ». Les noms comme « Ashley » et « Michael » apparaissent en minuscules. Des animaux comme le « singe », le « dragon » et la « licorne » sont toujours en rotation. Des termes sportifs comme « baseball », « football » et « football » complètent l’ensemble faible.
Pourquoi les gens font ça ? Nous pensons qu’utiliser notre anniversaire ou notre ville natale ajoute de la sécurité. Ce n’est pas le cas. Les fraudeurs peuvent pirater ces informations. Les amis peuvent le deviner. Les membres de la famille connaissent souvent ces détails. L’utilisation d’informations d’identification fait de vous une cible facile. Il transforme votre histoire personnelle en aide-mémoire de piratage.
Comment arrêter d’être une statistique
La leçon des données de 2024 est claire. Arrêtez d’utiliser des caractères séquentiels. Arrêtez d’utiliser les lignes du clavier. Arrêtez d’utiliser des mots courants uniquement en minuscules.
Les mots de passe forts ne consistent pas à être intelligent. Il s’agit d’être aléatoire et long. Évitez toute chaîne qui apparaît dans votre vie quotidienne. Évitez tout modèle qu’une machine peut prédire. S’il apparaît dans une liste de mots de passe courants, ce n’est pas un mot de passe. C’est un aveu.
S’il figure dans le top 25, ce n’est pas un secret. C’est un dossier public.
La commodité du « 123456 » vous coûte tout. L’effort d’une chaîne complexe et unique ne vous coûte que deux secondes. Choisissez judicieusement. Le reste de l’histoire concerne la manière de construire quelque chose qui colle. Mais d’abord, vous devez admettre que « iloveyou » n’est pas une stratégie de sécurité. C’est un appel à l’aide.
Et honnêtement ? Vous méritez mieux qu’une séquence de chiffres pour protéger votre vie.
Vous savez probablement déjà que « Password123 » est une mauvaise idée. Mais la simple complexité ne suffit plus. La vraie solution est le hasard. Les humains sont terribles pour générer des chaînes aléatoires. Nous sommes attirés par les modèles. Ce n’est pas le cas d’un ordinateur.
Les navigateurs Web comme Chrome peuvent générer pour vous ces chaînes laides et inoubliables. Ils sont effectivement inpiratables par des méthodes de force brute. Le compromis est la mémoire. Vous ne pouvez pas vous souvenir d’une chaîne de symboles de quarante caractères. Il faut donc le stocker.
La nécessité à deux facteurs
Pour tout ce qui concerne de l’argent ou des données personnelles sensibles, l’authentification à deux facteurs (2FA) n’est pas négociable. Cela ajoute une couche qu’un mot de passe volé ne peut à lui seul contourner.
Le deuxième facteur intervient généralement via un SMS, un e-mail ou une application dédiée. Un pirate informatique pourrait avoir votre mot de passe. Ils ont également besoin de votre téléphone ou d’un accès à votre boîte de réception e-mail. Cela réduit considérablement la surface d’attaque.
Oui, la connexion prend trois secondes de plus. C’est un petit prix à payer.
La menace du Credential Stuffing
Utiliser un seul mot de passe sur plusieurs comptes est la pire habitude que vous puissiez avoir. Si un site est piraté, ce mot de passe atteint le dark web. Les attaquants utilisent ensuite des scripts pour essayer la même combinaison e-mail-mot de passe sur des centaines d’autres sites. Il s’agit d’un bourrage d’informations d’identification.
Cela semble fastidieux pour l’attaquant. Cela fonctionne parce que les gens sont paresseux. Si vous utilisez un mot de passe unique pour chaque compte, ce vecteur d’attaque spécifique a un taux de réussite de zéro.
Gestionnaires de mots de passe locaux uniquement
Si vous avez besoin de mots de passe uniques et complexes, vous avez besoin d’un gestionnaire. La plupart des navigateurs en ont des intégrés. Ils sont pratiques. Ils se remplissent automatiquement. Ils se synchronisent sur tous les appareils.
Mais la commodité a un coût. Si vous accordez la priorité à une sécurité maximale, évitez les gestionnaires de mots de passe synchronisés avec le cloud. Le stockage cloud est une cible. L’approche la plus sécurisée est celle d’un gestionnaire local uniquement. Il stocke les données sur votre disque dur. Pas de serveur. Pas de connexion Internet.
Certains périphériques matériels fonctionnent comme des coffres-forts de la taille d’une calculatrice. Ils gardent vos données hors ligne.
Il existe ici un risque critique. Vous avez besoin d’un mot de passe principal. Si vous l’oubliez, vos données disparaissent. Pour toujours.
Pensez à l’écrire. Pas sur un pense-bête sur votre moniteur. Sur papier. Stocké dans un coffre-fort physique ou un coffre-fort. Quelque part loin de votre ordinateur.
Les anciennes racines du cryptage
Ce n’est pas nouveau. Les humains cachent des messages depuis des millénaires.
Le premier exemple enregistré remonte à environ 300 avant notre ère. en Inde. Le Arthashastra, un ancien texte hindou, détaille comment les soldats et les espions utilisaient des messages codés. Le but était toujours le même. Évitez la découverte. Gardez les informations à l’abri des ennemis.
Nous faisons toujours la même chose. Les outils sont simplement plus rapides.
