Un matin, l'un de vos commerciaux se connecte comme d'habitude à votre outil de facturation. Sauf que quelqu'un d'autre s'y est connecté avant lui, depuis une adresse à l'autre bout du monde, avec exactement le même mot de passe. Personne n'a « piraté » votre entreprise au sens où on l'imagine : le mot de passe n'a pas été deviné, il a été récupéré dans la fuite d'un site tiers où votre collaborateur avait ouvert un compte, il y a trois ans, avec son adresse professionnelle.
Ce scénario porte un nom : le credential stuffing, ou bourrage d'identifiants. Il ne repose sur aucune faille sophistiquée. Il exploite une habitude universelle — réutiliser le même mot de passe partout — et l'immense stock d'identifiants qui circule après chaque fuite de base de données. Pour une PME, c'est aujourd'hui l'une des portes d'entrée les plus discrètes et les plus fréquentes.
La bonne nouvelle : contrairement à beaucoup de menaces, celle-ci se mesure et se réduit avec des gestes concrets, sans budget colossal. Encore faut-il savoir si vos identifiants circulent déjà, et fermer en priorité les accès qui comptent.
De la fuite au bourrage : comment la mécanique fonctionne
Tout commence par une fuite. Un site marchand, un forum, une application mobile ou un fournisseur SaaS se fait compromettre, et sa base d'utilisateurs se retrouve dans la nature : adresses e-mail, mots de passe (parfois en clair, souvent sous forme de hachages plus ou moins solides). Ces bases sont revendues, échangées, puis compilées en listes géantes — les « combolists » — qui regroupent des milliards de couples identifiant / mot de passe accumulés au fil des années.
Les attaquants n'ont plus qu'à automatiser. Des outils testent ces couples, à grande vitesse et via des milliers d'adresses IP, sur des centaines de services : messagerie, VPN d'entreprise, espace client bancaire, outils RH, comptes cloud. Le taux de réussite par couple est faible, mais quand on teste des millions de combinaisons, il suffit d'une correspondance pour ouvrir une session parfaitement légitime — sans alerte, sans effraction visible.
Trois ingrédients rendent l'attaque possible :
- La réutilisation : le même mot de passe sert sur le site qui a fui et sur un outil professionnel.
- L'automatisation : bourrer des identifiants ne coûte presque rien à l'attaquant.
- L'absence de second facteur : un mot de passe seul suffit alors à ouvrir la porte.
Pourquoi les PME sont des cibles idéales
On imagine les attaques ciblées réservées aux grands groupes. Le credential stuffing, lui, est opportuniste : il ne vise pas votre entreprise en particulier, il balaie tout ce qui répond. Les PME et ETI cumulent souvent les facteurs de risque : des dizaines de services SaaS ouverts au fil de l'eau, des comptes partagés, des départs de collaborateurs mal clôturés, et rarement une authentification forte généralisée.
Un exemple courant : une adresse générique comme contact@ ou compta@ sert à créer des comptes sur des outils tiers, avec un mot de passe « pratique » réutilisé partout. Le jour où l'un de ces outils fuit, c'est potentiellement la messagerie comptable — et les virements — qui deviennent accessibles. Autre cas fréquent : un dirigeant réutilise sur l'accès administrateur de son espace bancaire professionnel un mot de passe personnel déjà exposé dans une vieille fuite grand public.
Vérifier son exposition, sans paranoïa
Première étape saine : partir du principe que certains de vos identifiants ont déjà fuité. Sur une équipe entière, c'est très probable. L'enjeu n'est pas de culpabiliser, mais de savoir où.
Des services publics et gratuits comme Have I Been Pwned permettent de vérifier si une adresse e-mail apparaît dans des fuites connues. On peut aussi y enregistrer un nom de domaine (avec preuve de propriété) pour être alerté dès qu'une adresse de l'entreprise ressort dans une nouvelle fuite. Les navigateurs et les gestionnaires de mots de passe modernes intègrent également une alerte sur les identifiants compromis.
Ce qu'il faut vérifier, par ordre de priorité :
- Les adresses des dirigeants et des personnes qui manipulent des paiements ou des données sensibles.
- Les adresses génériques partagées (contact@, compta@, admin@).
- Les comptes à privilèges : administration système, hébergeur, nom de domaine, banque, cloud.
- Les anciens comptes de collaborateurs partis mais jamais désactivés.
Les parades qui changent vraiment la donne
Aucune mesure unique n'annule le risque, mais quelques principes, combinés, rendent le bourrage d'identifiants inopérant.
- Un mot de passe unique par service, long et sans logique devinable. Impossible à tenir de tête : c'est le rôle d'un gestionnaire de mots de passe, à déployer pour toute l'équipe.
- L'authentification multifacteur (MFA) partout où c'est possible. Même si le mot de passe a fuité, il ne suffit plus. Préférer une application d'authentification ou une clé physique au SMS, plus fragile.
- Les passkeys (standard FIDO2/WebAuthn), qui remplacent le mot de passe par une clé cryptographique liée à l'appareil : rien à réutiliser, rien à voler dans une fuite, et une résistance native au phishing.
- La détection des accès anormaux : connexions depuis un pays inhabituel, à une heure incongrue ou depuis un appareil inconnu. La plupart des suites cloud professionnelles proposent ces alertes ; encore faut-il les activer et les surveiller.
- Une rotation ciblée plutôt que systématique : changer immédiatement un mot de passe confirmé comme exposé, sans imposer des rotations aveugles tous les 90 jours qui poussent surtout à des variantes prévisibles.
Votre plan d'action
Un plan réaliste, applicable sur quelques semaines, sans mobiliser une équipe entière :
Comment Sedona peut aider
Savoir ce qui est réellement exposé demande de regarder son entreprise depuis l'extérieur, comme le ferait un attaquant. Sedona Radar cartographie votre surface d'attaque externe — domaines, sous-domaines oubliés, services exposés, configuration e-mail — et vous donne une vue claire des points d'entrée à traiter en priorité. Pour aller plus loin sur l'empreinte publique de vos dirigeants, un audit OSINT (informations publiques uniquement, avec votre accord écrit) met en lumière ce qui circule déjà à votre sujet, et une veille cyber continue vous alerte quand une nouvelle fuite vous concerne. L'objectif reste simple : transformer une inquiétude diffuse en une liste d'actions concrètes — nos ressources rassemblent d'ailleurs des guides pratiques pour outiller vos équipes. Pour en discuter, l'équipe est joignable via la page contact, et vous pouvez lancer un premier état des lieux avec Sedona Radar.
