En résumé:
- PCWorld rapporte que l’analyse de 6 milliards de mots de passe divulgués révèle que les informations d’identification les plus volées sont des séquences prévisibles telles que « 123456 », « mot de passe » et « admin ».
- Cinq grandes familles de logiciels malveillants infostealer, dirigées par LummaC2 avec plus de 60 millions de mots de passe volés, ont compromis près de 100 millions d’informations de connexion en 2025.
- Les utilisateurs doivent utiliser des gestionnaires de mots de passe, activer l’authentification à deux facteurs et éviter les modèles courants à huit caractères pour se protéger contre les menaces de cybersécurité de plus en plus sophistiquées.
Au cours de l’année écoulée, les chercheurs en sécurité de Specops Software ont examiné six milliards de mots de passe divulgués et ont ensuite publié un rapport complet sur leurs conclusions. Ce rapport donne non seulement un aperçu des mots de passe les plus couramment utilisés, mais également de la menace actuelle que représentent les fuites.
Ce sont les mots de passe les plus fréquemment volés
Malheureusement, les cinq mots de passe les plus volés montrent que peu d’utilisateurs ont retenu la leçon ces dernières années. Comme précédemment, les mots de passe sont les suivants :
- 123456
- 123456789
- 12345678
- administrateur
- Mot de passe
Il est alarmant de constater que la plupart des gens ne prennent apparemment même pas la peine de choisir des mots individuels comme mots de passe. En plus des cinq mots de passe les plus courants, les chercheurs ont également découvert fréquemment des combinaisons de mots de passe avec des mots tels que bonjour, bienvenue, invité ou étudiant.
Cela suggère qu’il ne s’agit pas seulement de comptes privés, mais également de données d’entreprise, d’université ou d’accès public. Le très populaire « qwerty » est également à nouveau représenté, c’est-à-dire simplement les six premières lettres d’un clavier utilisant une disposition anglaise.
Les mots de passe se terminant par « @123 » ou « @1234 » sont également fréquemment utilisés. Ceux-ci sont souvent précédés d’un nom, d’un pays ou d’un mot standard tel que « bonjour » ou « hola ». Ici aussi, les utilisateurs se montrent plutôt peu créatifs. Les chercheurs soulignent également qu’il ne suffit pas d’utiliser des « mots de passe plus complexes » avec une majuscule et un caractère spécial s’ils suivent toujours le même schéma.
Il est intéressant de noter que la plupart des mots de passe analysés sont exactement huit caractères long. Un peu moins d’un sixième atteint cette longueur, mais cela est probablement dû au fait que le « mot de passe » comporte exactement huit lettres. Les mots de passe plus courts comportant sept caractères ou moins sont relativement impopulaires.
Ce sont les voleurs d’informations les plus dangereux
De plus, les chercheurs ont indiqué quels infostealers ont volé le plus de données de l’ensemble entre janvier et décembre 2025 :
- LummaC2 : 60 934 662 mots de passe volés
- Ligne rouge : 31 144 858 mots de passe volés
- Vidar : 5 965 748 mots de passe volés
- VolerC : 3 441 423 mots de passe volés
- Voleur de raton laveur : 1 656 673 mots de passe volés
Ensemble, ces cinq familles de malwares sont responsables à elles seules du vol de près de 100 millions d’informations de connexion. Les fuites de mots de passe se produisent donc souvent à grande échelle et affectent des millions de personnes à la fois, comme le montre cette fuite alimentée par le FBI en décembre.
Les utilisateurs les moins experts en technologie, qui sont souvent victimes de campagnes de phishing, seraient particulièrement exposés. Les chercheurs considèrent également que la menace posée par Lumma Stealer est particulièrement grave, car il a considérablement augmenté dans la liste des programmes les plus dangereux. Les principaux fournisseurs de voleurs d’informations développent également des packages de plus en plus efficaces regroupant diverses offres.
Comment se protéger
Les utilisateurs privés et les administrateurs système doivent s’assurer d’utiliser sécurisé et complexe des mots de passe qui ne suivent pas un modèle commun. Il est préférable d’utiliser un gestionnaire de mots de passe pour créer et stocker des données d’accès importantes.
De plus, il peut être utile d’utiliser l’authentification à deux facteurs. Évitez également les mots de passe qui ont déjà été divulgués. Par exemple, vous pouvez vérifier si votre mot de passe a été volé dans le passé via le site Web Have I Been Pwned.
Les réinitialisations et mises à jour régulières des mots de passe devraient également protéger contre le vol. Les administrateurs peuvent définir des directives spécifiques à cet effet, par exemple une fois par an ou une fois tous les x mois.
