Credential stuffing
Attaque automatisée qui teste en masse des identifiants volés lors de fuites de données, en pariant sur la réutilisation des mots de passe.
Définition complète
Le credential stuffing, ou bourrage d’identifiants, est un type d’attaque par force brute qui exploite des identifiants déjà exposés. Les attaquants récupèrent des listes de couples adresse e-mail et mot de passe issues de fuites de données, puis les essaient automatiquement sur d’autres services : messagerie, extranet, boutique en ligne, VPN.
L’attaque fonctionne parce que beaucoup de personnes réutilisent le même mot de passe. Selon l’analyse de données de logiciels voleurs d’identifiants publiée par Verizon en 2025, dans le cas médian, seuls 49 % des mots de passe d’un utilisateur sont différents les uns des autres.
Le phénomène est massif : dans les journaux de fournisseurs d’authentification unique (SSO) étudiés, le credential stuffing représentait en médiane 19 % des tentatives d’authentification quotidiennes (12 % pour les petites entreprises, 25 % pour les grandes).
Source : ANSSI, CyberDico, Verizon, recherche complémentaire du DBIR 2025 sur le credential stuffing
Exemple concret
Une PME de e-commerce constate un pic de connexions nocturnes sur son espace client : des milliers de tentatives venant d’adresses IP différentes. Une centaine de comptes clients sont effectivement ouverts, car leurs titulaires utilisaient le même mot de passe que sur un site piraté l’année précédente. Les attaquants utilisent les points de fidélité et modifient les adresses de livraison.
Comment se protéger
- Activer l’authentification multifacteur sur les comptes des collaborateurs et la proposer aux clients.
- Interdire la réutilisation de mots de passe et diffuser un gestionnaire de mots de passe dans l’entreprise.
- Limiter le nombre de tentatives de connexion et détecter les connexions massives venant de nombreuses adresses IP.
- Vérifier les mots de passe choisis contre des listes de mots de passe déjà compromis.
- Surveiller l’apparition des adresses e-mail de l’entreprise dans des fuites de données publiées.
- Placer les pages de connexion exposées derrière une protection anti-robots ou un pare-feu applicatif.
Questions fréquentes
La force brute classique essaie un grand nombre de mots de passe possibles pour un compte. Le credential stuffing n’invente rien : il réutilise des couples identifiant et mot de passe réels, déjà volés ailleurs, ce qui le rend beaucoup plus efficace.
Des services de vérification de fuites permettent de tester une adresse e-mail, et des prestataires proposent une surveillance continue des adresses du domaine de l’entreprise. Dans tous les cas, un mot de passe réutilisé doit être considéré comme exposé.
Termes liés
Attaque par force brute
Technique qui consiste à essayer automatiquement un très grand nombre de mots de passe ou de clés jusqu’à trouver le bon.
Authentification multifacteur
Méthode de connexion requérant plusieurs preuves d'identité.
Piratage de compte
Prise de contrôle ou utilisation frauduleuse d’un compte en ligne (messagerie, réseau social, banque, logiciel métier) au détriment de son titulaire.
WAF (pare-feu applicatif web)
Équipement ou service placé devant un site ou une application web pour analyser les requêtes HTTP et bloquer les attaques applicatives.
Vous avez besoin d'un expert en Credential stuffing ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.