1er février : journée du changement de mot de passe

Edward Johnson, expert hi-tech et ingénerie, 1er février 2025

Pourquoi une journée du changement de mot de passe existe-t-elle ?

Créée en 2012 par Gizmodo et Intel Security, la journée du changement de mot de passe existe pour sensibiliser aux dangers des mots de passe faibles et réutilisés. En 2013, le piratage de Yahoo a compromis 3 milliards de comptes, exposant noms, dates de naissance et questions de sécurité. En 2012, l’attaque contre LinkedIn a vu 167 millions d’identifiants mis en vente sur le dark web. En 2021, un simple mot de passe faible a permis à des hackers de pénétrer dans le système du Colonial Pipeline, entraînant une pénurie de carburant aux États-Unis. En France, des fuites de données ont affecté des hôpitaux, comme celui de Dax en 2021, paralysé par un ransomware à cause d’un compte mal protégé.

Comment créer un mot de passe sécurisé et facile à retenir

Une approche efficace est celle des phrases de passe, recommandée par l’ANSSI et la NSA. Par exemple, au lieu d’un mot de passe complexe comme Tr0ub4dor&3 (difficile à retenir et vulnérable aux attaques par force brute), on peut utiliser une phrase comme LeChienMangeUnePizzaEn2024!. Elle est longue, facile à mémoriser et plus difficile à pirater. Une autre méthode consiste à utiliser les premières lettres d’une phrase personnelle : J’aime boire mon café noir chaque matin à 7h devient J'bmcNcma7h!. Pour gérer plusieurs comptes sans oublier ses mots de passe, les gestionnaires comme Bitwarden, Dashlane ou 1Password permettent de stocker et générer des identifiants uniques. Google et Apple encouragent aussi l’utilisation de clés de sécurité physiques comme les YubiKey, ou encore des systèmes biométriques comme Face ID et Windows Hello. Une bonne pratique consiste aussi à ne jamais réutiliser le même mot de passe : en 2019, 21 millions d’utilisateurs ont été victimes du piratage de Canva parce qu’ils utilisaient le même mot de passe sur plusieurs sites.

Les erreurs à éviter lors du choix d’un mot de passe

L’une des plus fréquentes erreurs est d’utiliser un mot de passe trop simple ou prévisible. Chaque année, des classements révèlent que des millions d’utilisateurs choisissent encore 123456, password ou qwerty. Une autre erreur est la réutilisation du même mot de passe sur plusieurs sites. Par exemple, le piratage de LinkedIn en 2012 a permis aux attaquants de tester les mêmes identifiants sur Gmail, Facebook et d’autres services. Les hackers utilisent des techniques comme le credential stuffing, testant automatiquement des millions de combinaisons volées sur d'autres plateformes. Une autre erreur fréquente est de se fier à une substitution trop évidente, comme transformer password en P@ssw0rd. Des outils comme Hashcat peuvent tester ces variations en quelques minutes. Enfin, stocker ses mots de passe dans un fichier non sécurisé, comme un document texte sur son ordinateur intitulé motsdepasse.txt, est une porte ouverte aux attaques.

Faut-il changer ses mots de passe régulièrement ?

Changer régulièrement ses mots de passe a longtemps été une recommandation standard, mais aujourd’hui, les experts en cybersécurité comme le NIST (National Institute of Standards and Technology) et l’ANSSI déconseillent les changements fréquents imposés sans raison. Toutefois, il est indispensable de changer un mot de passe si une fuite est détectée. Des services comme Have I Been Pwned permettent de vérifier si son mot de passe a fuité.

Authentification à deux facteurs

L’authentification à deux facteurs (2FA) est essentiel contre le piratage des comptes en ligne. Contrairement au simple mot de passe, qui peut être volé par du phishing ou une fuite de données, la 2FA exige une seconde vérification. Par exemple, lors de l’attaque massive contre Twitter en 2020, où des hackers ont compromis les comptes de personnalités comme Elon Musk et Barack Obama, les utilisateurs protégés par une double authentification sont restés hors de portée des cybercriminels. Google a également démontré l’efficacité de la 2FA : en 2018, après l’avoir imposée à ses employés via des clés de sécurité YubiKey, l’entreprise a réduit les intrusions à zéro. Il existe plusieurs méthodes de 2FA : la plus courante repose sur des codes temporaires envoyés par SMS ou générés via des applications comme Google Authenticator ou Microsoft Authenticator. Les méthodes les plus sûres incluent l’authentification biométrique (Face ID, empreinte digitale) et les clés physiques comme les YubiKey et Google Titan.