Vous avez des dizaines de comptes. Peut-être des centaines. Les vérifier tous nécessite une charge mentale que la plupart des gens ne sont pas prêts à supporter. Le résultat ? Vous retombez sur le chemin de la moindre résistance. Vous choisissez un mot de passe facile à retenir. Vous réutilisez la même chaîne sur cinq sites différents. C’est pratique.
C’est aussi un cauchemar en matière de sécurité.
La société de cybersécurité NordPass suit ce comportement chaque année. Leurs données de 2024, tirées de violations dans 44 pays, mettent en évidence à quel point cette habitude est devenue mauvaise. La liste de mots de passe la plus courante est un véritable cimetière de sécurité numérique. Voici à quoi ressemblent les principaux contrevenants et pourquoi vous devez cesser de les utiliser immédiatement.
Les 25 mots de passe les plus courants de 2024
Ce ne sont pas seulement des suppositions aléatoires. Ils représentent les défauts paresseux de millions d’utilisateurs. NordPass a trouvé ces chaînes dans les violations de données, enregistrées avec leur fréquence d’utilisation.
- 123456 : 1,2 million d’occurrences
- 123456789 : 693 000 occurrences
- 12345678 : 365 000 occurrences
- secret : 339 000 occurrences
- mot de passe : 196 000 occurrences
- qwerty123 : 144 000 occurrences
- qwerty1 : 138 000 occurrences
- 111111 : 106 000 occurrences
- 123123 : 102 000 occurrences
- 1234567890 : 93 000 occurrences
- qwerty : 92 000 occurrences
- 1234567 : 86 000 occurrences
- 11111111 : 80 000 occurrences
- abc123 : 58 000 occurrences
- je t’aime : 54 000 occurrences
- 123123123 : 51 000 occurrences
- 000000 : 46 000 occurrences
- 00000000 : 45 000 occurrences
- a123456 : 42 000 occurrences
- mot de passe1 : 41 000 occurrences
- 654321 : 41 000 occurrences
- qwer4321 : 36 000 occurrences
- 1q2w3e4r5t : 35 000 occurrences
- 123456a : 35 000 occurrences
- q1w2e3r4t5y6 : 34 000 occurrences
Regardez les cinq premiers. Des chiffres simples. Le mot « mot de passe » lui-même. Cela semble absurde, mais la commodité l’emporte à chaque fois sur la vigilance.
Pourquoi les modèles de clavier sont un désastre
Faites défiler cette liste et un modèle émerge. Ce n’est pas aléatoire. La majorité de ces chaînes suivent la disposition physique de votre clavier. Touches QWERTY. Numéros séquentiels.
Il s’agit d’une faille de sécurité catastrophique.
Les pirates n’ont pas besoin d’une intelligence artificielle avancée pour les briser. Ils utilisent des scripts automatisés. Ces scripts exécutent des attaques par force brute en utilisant les listes de mots de passe les plus courantes. Ils testent ces chaînes sur votre compte en quelques secondes. Si vous utilisez qwerty123 ou 123456, votre compte est probablement compromis avant même que l’attaque ne soit enregistrée en tant qu’alerte.
Même les « noms communs » comme « secret » ou « iloveyou » sont faibles. Ce sont les premiers mots essayés dans toute attaque par dictionnaire. Ils n’offrent aucun véritable obstacle aux outils automatisés.
Le piège des données personnelles
Au-delà du brassage de clavier, il existe une autre catégorie de vulnérabilité. Cela implique des informations personnelles.
L’analyse des tendances montre que les gens utilisent des noms d’animaux (singe, dragon, licorne). Ils pratiquent des sports (baseball, football, soccer). Ils utilisent leurs propres prénoms, comme « ashley » ou « michael », souvent en minuscules.
Pire encore, les gens intègrent des données d’identification dans leurs informations d’identification. Parties de leur nom. La ville dans laquelle ils sont nés. Leur année de naissance.
Pourquoi est-ce dangereux ? Parce que ces données sont publiques. C’est sur les réseaux sociaux. C’est dans les anciennes violations de données. Les fraudeurs peuvent reconstituer tout cela en quelques minutes. Quelqu’un que vous connaissez peut le deviner s’il a la moindre idée de votre vie.
Key Insight : tout mot de passe contenant des identifiants personnels ou des expressions courantes est faible. Il peut être hameçonné ou deviné par des connaissances.
Comment construire une défense plus solide
La leçon des données de 2024 est claire. Les méthodes utilisées par les gens pour créer des mots de passe forts les affaiblissent activement.
Évitez les chaînes classées par ordre numérique ou alphabétique. Évitez les promenades au clavier. Évitez les noms communs. Et surtout, évitez toute information personnelle.
Un mot de passe fort ne ressemble en rien à la liste des 25 meilleurs. Cela devrait être aléatoire. Cela devrait être long. Il ne devrait exister dans aucun dictionnaire.
Key Insight : Arrêtez d’ajouter “1” ou “!” à un mot faible. Cela n’aide pas. Il
La plupart des gens considèrent leur vie numérique comme une journée portes ouvertes. Ils laissent les portes ouvertes et les lumières allumées. Si vous souhaitez réellement protéger vos données, vous devez cesser de penser comme un utilisateur et commencer à penser comme une cible. La bonne nouvelle est que les outils sont gratuits. La mauvaise nouvelle est que la plupart des gens les ignorent jusqu’à ce qu’il soit trop tard.
1. Arrêtez de faire confiance à votre cerveau avec des mots de passe
La plus grosse erreur que font les gens est d’essayer d’être intelligent avec leurs mots de passe. Vous connaissez le principe. “Password123” est paresseux. “Été 2024 !” est prévisible. Même si vous changez l’année ou ajoutez un symbole, cela reste un modèle. Un cerveau humain est terrible au hasard. Il a besoin de structure. Les pirates adorent la structure parce qu’elle est facile à briser.
Le seul mot de passe véritablement sécurisé est celui que vous ne connaissez pas.
Les navigateurs Web comme Chrome peuvent générer ces chaînes pour vous. Ils créent de longs mélanges chaotiques de majuscules, de minuscules, de chiffres et de ponctuation. Une attaque par force brute, dans laquelle un logiciel essaie toutes les combinaisons possibles, devient mathématiquement impossible avec suffisamment de longueur et de complexité.
Le piège ? Vous ne pouvez pas vous en souvenir.
Alors vous l’écrivez. Ou vous le sauvegardez. Cela nous amène au point suivant.
2. Pourquoi l’authentification à deux facteurs n’est pas négociable
L’authentification à deux facteurs (2FA) ajoute une deuxième couche de vérification. Ce n’est pas seulement « agréable à avoir ». C’est la différence entre une serrure cassée et une porte ouverte.
Voici comment cela fonctionne. Même si un pirate informatique vole votre mot de passe via une violation de données ou une escroquerie par phishing, il ne peut pas se connecter sans le deuxième facteur. Il peut s’agir d’un message texte envoyé sur votre téléphone, d’un code de courrier électronique ou d’un jeton urgent provenant d’une application telle que Google Authenticator.
Le calcul est simple. Pour entrer, ils ont besoin à la fois de votre mot de passe et de votre appareil physique. S’ils ont l’un mais pas l’autre, ils sont exclus.
“L’authentification à deux facteurs augmente le facteur de sécurité de façon exponentielle, car même si un pirate informatique avait volé ce mot de passe, il ne pourrait pas se connecter à moins d’avoir également compromis ce deuxième compte de messagerie ou d’avoir obtenu un accès physique à votre smartphone.”
Oui, cela ajoute quelques secondes à votre processus de connexion. Vous appuyerez sur un bouton supplémentaire. Vous vérifierez votre téléphone. Fais-le. Le temps gagné pour éviter le vol d’identité est infini.
3. Le piège du « Credential Stuffing »
Utiliser le même mot de passe pour chaque compte est le moyen le plus rapide de tout perdre.
Imaginez que vous utilisez « MyDogIsMax1 » pour votre courrier électronique, votre banque et votre site d’achat. L’un de ces sites est piraté. Les attaquants déversent la base de données sur le dark web. Ils ne se soucient pas de votre courrier électronique. Ils se soucient de votre argent.
Ils utilisent un script. Ce script prend ce mot de passe et l’essaye sur des centaines d’autres sites majeurs. C’est ce qu’on appelle le credential stuffing. Pour eux, c’est peu d’effort et une grande récompense.
Si vous utilisez un mot de passe unique pour chaque compte, le taux de réussite de cette attaque tombe à zéro. Une violation ne compromet qu’un seul compte. Le reste reste en sécurité. C’est aussi simple que cela.
4. Le dilemme du gestionnaire de mots de passe
Vous avez besoin de mots de passe complexes et uniques. Vous ne pouvez pas vous en souvenir. Vous avez besoin d’un outil.
Entrez dans le gestionnaire de mots de passe. Ces applications stockent vos informations d’identification dans un coffre-fort crypté. Vous n’avez besoin de mémoriser qu’un seul mot de passe principal. Le logiciel remplit le reste. La plupart des navigateurs modernes intègrent cette fonction. C’est pratique. Il se synchronise sur tous les appareils.
Mais il y a un risque.
Si vous utilisez un gestionnaire de mots de passe basé sur le cloud, votre coffre-fort se trouve sur un serveur. Si ce serveur est piraté, vos clés sont exposées. Si vous perdez votre mot de passe principal, vous êtes bloqué pour toujours, sauf si vous disposez d’un plan de récupération.
Pour une sécurité maximale, recherchez des solutions hors ligne. Certains gestionnaires de mots de passe stockent les données uniquement sur votre ordinateur local. Pas de synchronisation cloud. Pas de serveur distant. Il existe même des périphériques matériels qui ressemblent à des clés USB ou à des calculatrices. Ils n’ont pas de connexion Internet. Ils sont conçus pour être isolés.
“Les gestionnaires les plus sécurisés enregistrent uniquement les mots de passe sur votre ordinateur local et non sur un serveur.”
Si vous optez pour la voie hors ligne, vous devez vous souvenir de votre mot de passe principal. Écrivez-le sur papier. Cachez-le dans un coffre-fort. Ne le placez pas à côté de votre ordinateur. Ne l’enregistrez pas dans un fichier texte sur votre bureau. La sécurité physique est importante lorsque la sécurité numérique est locale.
Racines anciennes des secrets modernes
Nous ne sommes pas les premiers à nous inquiéter des espions et des secrets. Le cryptage n’est pas une invention moderne. Cela remonte à des milliers d’années.
Le premier exemple connu apparaît dans l’Inde ancienne vers 300 avant notre ère. L’Arthashastra, un texte hindou sur l’art de gouverner, décrit les soldats et les espions à l’aide de messages codés. Ils devaient transmettre des informations sans que leurs ennemis ne les lisent. Ils ont utilisé des chiffres de substitution. Ils ont changé le sens des lettres.
Nous utilisons la même logique aujourd’hui. Nous utilisons simplement des ordinateurs plus rapides et des mathématiques plus complexes. Le principe reste le même. Cachez le sens. Protégez la clé.
Vous pouvez continuer à utiliser le même mot de passe que vous aviez en 2015. Vous pouvez également utiliser une chaîne aléatoire, une authentification à deux facteurs et un coffre-fort unique. Le choix vous appartient. Les hackers attendent.
