Personne n'a deviné votre mot de passe. On l'a juste réutilisé.

Un bot dans un centre de données quelque part essaie en ce moment votre adresse email sur 130 sites différents, et il connaît déjà le mot de passe. Pas une supposition. Pas un dictionnaire des mots de passe courants. La véritable chaîne que vous avez tapée — parce que vous l'avez tapée avant, quelque part qui a été compromis, et les attaquants parient que vous êtes assez paresseux pour l'utiliser deux fois.

Ce pari paie de façon vertigineuse la plupart du temps. Une enquête de Google et Harris Poll a découvert que 65 % des gens réutilisent le même mot de passe sur plusieurs sites, et certains admettent utiliser un mot de passe presque partout. Vous avez probablement lu ce chiffre en pensant, bien sûr, les autres. C'est tout le modèle économique. L'attaquant ne compte pas sur le fait que vous précisément soyez négligent. Il compte sur le fait que 65 % d'une liste volée soient négligents, et il n'a besoin que d'une fraction minuscule pour réussir.

C'est ce qu'on appelle le remplissage de credentiels, et le nom est littéral. Quelqu'un prend un dump de paires email-et-mot-de-passe compromises — Have I Been Pwned indexe désormais plus de 14 milliards de comptes compromis à travers des milliers de violations — et « remplit » ces paires dans des formulaires de connexion partout sur internet. Des banques. Des services de streaming. Des programmes de fidélité. Votre messagerie elle-même. Ils automatisent le processus, font tourner différentes adresses IP proxy pour que rien ne semble suspect, et laissent le volume faire le travail.

Et le volume est absurde. Akamai, qui contrôle une grande fraction du trafic web, a enregistré des dizaines de milliards de tentatives de remplissage de credentiels en une seule année, certains rapports en mesurant bien plus d'une centaine de milliards annuellement. Un mot de passe compromis n'ouvre pas une seule porte. C'est une clé universelle qu'on essaie contre chaque serrure de la rue, rapidement, par quelque chose qui ne se fatigue jamais.

Voici la partie qui devrait revoir votre façon de voir les choses. La page de connexion sur laquelle vous avez réutilisé ce mot de passe n'avait pas besoin d'être compromise. Le site faible qui l'a divulgué — un forum disparu, un revendeur de 2014, une appli de trivialités — donne aux attaquants la clé des sites forts. Votre banque peut avoir une sécurité parfaite et perdre quand même, parce que le mot de passe qui la protège était déjà dans un fichier texte vendu pour quelques centimes, récolté quelque part avec la sécurité d'une moustiquaire.

Alors comment savez-vous si vous êtes dans l'un de ces dumps ? Souvent, on vous l'a déjà dit. Pas par un briefing de sécurité — par votre dossier indésirable. Ces emails « tentative de connexion inhabituelle », « confirmez votre compte » et « nous avons remarqué une connexion depuis un nouvel appareil » que vous supprimez réflexe sont souvent l'alarme réelle et légitime qui se déclenche parce qu'un bot a essayé vos identifiants et a déclenché un limiteur de débit. Les vraies notifications de violation et les vraies alertes de connexion se retrouvent constamment dans les indésirables, côte à côte avec les fausses qui les usurpent. Le signal est là. Il est juste enterré sous le bruit conçu pour sembler identique.

La solution est ennuyeuse et elle fonctionne. Arrêtez de réutiliser les mots de passe — un gestionnaire de mots de passe rend chaque connexion une chaîne aléatoire unique, donc une fuite d'un site empoisonne exactement un compte au lieu de tous. Activez l'authentification à deux facteurs, ce qui signifie qu'un mot de passe volé correct échoue toujours à la deuxième étape. Et vérifiez réellement si votre adresse est dans une violation connue ; Have I Been Pwned vous le dira gratuitement, et la plupart des gestionnaires de mots de passe signalent maintenant automatiquement les entrées réutilisées et compromises.

La vérité inconfortable, c'est que l'attaquant qui travaille le plus dur contre vous n'est pas un hacker en sweat à capuche. C'est un script, exécutant une liste, exploitant l'une des seules habitudes que presque tout le monde partage et que presque tout le monde suppose ne pas les concerner.