Le piratage de comptes est l’une des menaces les plus fréquentes pour les professionnels. La parade la plus efficace coûte peu et se déploie en quelques semaines.
Un salarié saisit ses identifiants sur une fausse page de connexion. Quelques heures plus tard, un pirate lit sa messagerie, repère les échanges avec un client et envoie une fausse facture avec un nouveau RIB. Ce scénario associe trois menaces que Cybermalveillance.gouv.fr place en tête pour 2025 : hameçonnage, piratage de compte et fraude au virement.
Les mots de passe sont volés par hameçonnage, devinés, ou récupérés dans des fuites de données d’autres sites. Cybermalveillance.gouv.fr décrit un marché structuré de la donnée volée, avec des kits d’hameçonnage prêts à l’emploi. Un mot de passe réutilisé sur plusieurs services ouvre donc plusieurs portes à la fois.
C’est pourquoi l’ANSSI, dans son guide rédigé avec la CNIL (Recommandations relatives à l’authentification multifacteur et aux mots de passe), place l’authentification multifacteur en première recommandation.
L’authentification multifacteur, en clair
L’authentification multifacteur (MFA) exige au moins deux preuves d’identité de nature différente : ce que vous savez (un mot de passe), ce que vous possédez (un téléphone, une clé de sécurité), ce que vous êtes (une empreinte). Un pirate qui vole le mot de passe reste bloqué sans le second facteur.
Toutes les méthodes ne se valent pas. L’ANSSI déconseille le SMS comme moyen de recevoir un facteur d’authentification. Elle distingue une MFA « faible » d’une MFA forte, qui repose sur au moins un facteur robuste, comme une clé de sécurité physique ou une application d’authentification.
Selon le baromètre 2025 de Cybermalveillance.gouv.fr, plus d’une entreprise de moins de 250 salariés sur deux a une politique de mots de passe. Mais seulement 26 % utilisent la double authentification. Près des trois quarts n’ont donc pas cette protection face au scénario décrit plus haut.
Six bonnes pratiques à appliquer dès maintenant
- Activer la MFA en priorité sur la messagerie, les accès à distance (VPN, bureau à distance), les comptes administrateurs, la banque en ligne et les outils de paie et de facturation.
- Préférer une application d’authentification ou une clé physique au SMS.
- Fournir un coffre-fort de mots de passe aux équipes et les former à son usage, comme le recommande l’ANSSI. Un mot de passe unique par service devient alors possible sans effort de mémoire.
- Miser sur la longueur. Une phrase de passe longue vaut mieux qu’un mot court bourré de symboles. L’ANSSI ne recommande plus d’imposer un renouvellement périodique systématique : on change un mot de passe quand il y a un doute.
- Changer tous les mots de passe par défaut des équipements : imprimantes, caméras, bornes Wi-Fi, automates.
- Fermer les comptes des partants le jour même et revoir les droits d’accès chaque année.
Ajoutez une règle simple contre la fraude au virement : tout changement de coordonnées bancaires se vérifie par un appel au numéro habituel du fournisseur, jamais à celui indiqué dans le courriel.
Sécurité Off audite vos accès, déploie l’authentification multifacteur et teste la vigilance de vos équipes par des campagnes de phishing simulées.