Guides grand public
Mots de passe, passkeys, et quoi changer après une fuite
Un mot de passe divulgué sert parce que les gens le réutilisent. Un hash reste une raison de le changer. Une passkey est plus difficile à hameçonner qu’un code envoyé par SMS.
C’est la réutilisation qui pose problème
La plupart des gens ont une courte liste de mots de passe qu’ils réutilisent. Quand un service est atteint sans autorisation, le butin utile n’est souvent pas cette seule connexion. Ce sont tous les autres comptes qui partageaient le même secret.
Une notification indiquant que « les mots de passe n’ont pas été pris » est un soulagement pour ce service. Ce n’est pas une raison de garder un mot de passe réutilisé sur votre banque, votre messagerie ou votre espace impôt. Si vous avez utilisé la même chaîne ailleurs, changez d’abord ces autres comptes.
Un hash n’est pas une raison d’attendre
Certaines notifications indiquent que les mots de passe étaient stockés sous forme de hash : une forme à sens unique qui n’est pas le mot de passe lui-même. C’est mieux que de le stocker en clair. Ce n’est pas une garantie que personne ne récupérera jamais un mot de passe faible ou réutilisé à partir du fichier.
Traitez une notification de mots de passe hashés comme un signal pour changer ce mot de passe, et pour cesser de l’utiliser ailleurs. Un gestionnaire de mots de passe rend le suivant unique, pour qu’un fichier volé n’ouvre pas trois services.
Les codes que l’on peut dicter restent hameçonnables
L’authentification à plusieurs facteurs est utile. Tous les facteurs ne se valent pas après une fuite. Un code SMS, ou un code dans une application d’authentification, doit encore être saisi ou dicté. Un appelant qui connaît déjà votre nom, votre numéro ou votre IBAN vous demandera de dicter ce code « pour annuler un virement » ou « pour sécuriser votre compte ».
Si votre numéro de téléphone figurait dans une fuite, le SMS est l’option la plus faible : le numéro est le moyen de vous joindre, et le code est ce qu’ils veulent vous faire dire. Préférez une application d’authentification que vous déverrouillez vous-même, ou une passkey. Ne dictez jamais un code à quelqu’un qui vous a appelé.
Ce qu’une passkey change
Une passkey est une clé stockée sur votre appareil ou dans votre gestionnaire, déverrouillée par le visage, l’empreinte ou le code de l’appareil. Elle est faite pour un seul site. Une fausse page qui a seulement l’air d’impôts.gouv.fr ou de votre banque ne peut pas collecter une passkey comme elle collecte un mot de passe saisi.
Les passkeys ne vous mettent pas à l’abri d’un appel. On peut encore vous demander de valider une notification, d’installer un logiciel ou d’envoyer de l’argent. Le test reste le même : avez-vous ouvert vous-même l’application officielle, et vous a-t-on demandé de vous dépêcher ?
Vérifiez ce que ces guides vous ont appris. Passer le quiz