Introduction

Un lundi de mars, Inès arrive chez Verdier Architectes et ne parvient plus à ouvrir sa messagerie. Pendant le week-end, quelqu’un s’en est servi. Quarante clients ont reçu un courriel à son nom : « Nous changeons de banque, merci de régler vos factures sur ce nouveau RIB. » Un client prudent a appelé l’agence avant de payer. C’est lui qui a donné l’alerte.

Personne n’a « cassé » le mot de passe d’Inès. Elle utilisait le même sur le site d’un vendeur de fournitures de bureau, piraté quelques mois plus tôt. Le pirate a simplement essayé cette combinaison sur sa messagerie. Elle a fonctionné du premier coup.

La sécurité de presque tous vos services repose sur des mots de passe : messagerie, banque, logiciel de facturation, réseaux sociaux, espaces administratifs. Ce module reprend les dix bonnes pratiques publiées par Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes. Il les adapte à une petite entreprise. Vous saurez comment les pirates obtiennent un mot de passe, comment en créer de solides sans avoir à les retenir et quels comptes protéger en premier.

Tout au long du parcours, nous suivons Verdier Architectes, agence fictive de cinq personnes installée à Saint-Germain-en-Laye, dans les Yvelines. Chaque module ajoute une page à son plan de sécurité. Et au vôtre.

1. Comment les pirates obtiennent vos mots de passe

Pour protéger une porte, il faut savoir comment on la force. Les pirates ont quatre méthodes principales. Aucune ne demande de génie.

La force brute : un logiciel essaie toutes les combinaisons de caractères jusqu’à trouver la bonne. Il teste des dizaines de milliers de combinaisons par seconde. Sur un fichier de mots de passe volé, il va bien plus vite encore. Un mot de passe court ne résiste pas.

La devinette : le pirate essaie d’abord les combinaisons les plus courantes, comme 123456, azerty ou motdepasse. Puis il cherche vos informations personnelles : prénom d’un enfant, date de naissance, club préféré, nom de l’entreprise. Vos réseaux sociaux lui en donnent souvent beaucoup.

La fuite de données réutilisée : des sites se font régulièrement voler leur fichier de clients, avec les adresses et les mots de passe. Ces listes circulent et se revendent. Des robots essaient ensuite chaque couple adresse et mot de passe sur des centaines d’autres services. C’est le bourrage d’identifiants. C’est ce qui est arrivé à Inès.

Le vol direct : on vous le demande. Un faux courriel imite votre banque ou votre messagerie et vous mène vers une fausse page de connexion. C’est l’hameçonnage, qui a son propre module. Un faux technicien peut aussi vous appeler. Un ordinateur piégé peut enregistrer ce que vous tapez.

Pour une petite entreprise, l’enjeu dépasse le compte perdu. Une messagerie piratée sert à envoyer de faux RIB à vos clients. Un accès au logiciel de facturation expose les données de vos clients. Un compte Instagram volé sert à des arnaques en votre nom. Les attaques visent rarement votre entreprise en particulier : des robots cherchent en permanence les portes mal fermées.

Avec l’IA. Demandez à un assistant d’IA : « Explique à une équipe de cinq personnes, sans jargon, comment un pirate utilise la fuite de données d’un site marchand pour entrer dans une messagerie professionnelle. Prends un exemple dans le métier de [votre métier]. » Vous obtenez un récit court à raconter en réunion. Il marquera davantage votre équipe qu’une consigne écrite.

Exemples :

• Devinette : « Verdier2026! » respecte les règles de longueur et de caractères, mais un pirate qui connaît le nom de l’agence l’essaiera parmi les premiers.
• Bourrage d’identifiants : le mot de passe d’un site de réservation piraté ouvre aussi la messagerie qui utilise la même combinaison.
• Vol direct : un courriel « Votre boîte est pleine, reconnectez-vous » mène à une copie de la page de connexion de votre messagerie.

2. Un mot de passe par service, changé au moindre soupçon

C’est la règle qui aurait protégé Inès. Utilisez un mot de passe différent pour chaque service. Si l’un fuit, seul ce service est exposé. Si vous utilisez le même partout, tous les comptes qui le partagent peuvent être ouverts.

On objecte souvent qu’on a trop de comptes. C’est exact : un salarié de bureau en utilise plusieurs dizaines. Inès en a compté quarante-trois en faisant l’exercice 1 de ce module. Personne ne retient quarante-trois mots de passe différents. La réponse s’appelle le gestionnaire de mots de passe, présenté au chapitre 4.

Les variantes ne suffisent pas. « Verdier2026-banque » et « Verdier2026-mail » ne sont pas deux mots de passe différents aux yeux d’un pirate. Ses logiciels testent justement ces déclinaisons.

La seconde règle va avec la première : changez votre mot de passe au moindre soupçon. Un service où vous avez un compte annonce un piratage ? Vous recevez une alerte de connexion que vous ne reconnaissez pas ? N’attendez pas de savoir si c’est grave. Changez tout de suite le mot de passe concerné. Changez aussi celui des comptes où vous l’aviez réutilisé.

À l’inverse, les recommandations actuelles n’imposent plus de changer tous ses mots de passe à date fixe. Un mot de passe long, unique et secret se garde. Il se change quand un doute apparaît.

Avec l’IA. Donnez à un assistant d’IA la liste de vos outils, sans aucun identifiant : messagerie, banque, logiciel de facturation, site internet. Demandez-lui une fiche « Que faire dans l’heure si l’un de ces comptes est piraté ? », avec les pages d’aide officielles à consulter. Vérifiez chaque lien, puis imprimez la fiche. En pleine alerte, on réfléchit mal.

Exemples :

• Un site de livraison de repas annonce une fuite : vous changez ce mot de passe, puis celui de la messagerie où vous utilisiez le même.
• Votre messagerie signale une connexion depuis un pays où vous n’êtes jamais allé : changement immédiat, puis déconnexion de toutes les sessions.
• Un stagiaire connaissait le mot de passe du compte Instagram de l’agence : il se change le jour de son départ.

3. Créer un mot de passe solide

Un bon mot de passe doit résister aux deux attaques automatiques : la force brute et la devinette. Il doit donc être long, complexe et impossible à deviner.

Long et complexe. Cybermalveillance.gouv.fr retient un minimum de 12 caractères mélangeant majuscules, minuscules, chiffres et caractères spéciaux. Chaque caractère ajouté multiplie le nombre de combinaisons à tester. La longueur compte plus que tout le reste.

Impossible à deviner. Bannissez les suites logiques (123456, azerty, abcdef) et tout ce qu’on peut trouver sur vous : prénoms, dates, ville, nom de l’entreprise, groupe de musique préféré. Évitez aussi les mots du dictionnaire à peine déguisés, comme « P@ssw0rd » : les logiciels connaissent ces substitutions.

Trois méthodes aident à créer un mot de passe dont vous vous souviendrez.

La méthode des premières lettres : partez d’une phrase que vous seul connaissez et gardez la première lettre de chaque mot, avec les chiffres et la ponctuation. « Mon premier chantier de Chatou date de 2014, quelle aventure ! » donne « MpcdCdd2014,qa! ».

La méthode phonétique : écrivez une phrase comme elle se prononce, avec des chiffres et des symboles. Dans la fiche de Cybermalveillance.gouv.fr, « J’ai acheté huit CD pour cent euros cet après-midi » devient « ght8CD%E7am ».

La phrase de passe : plusieurs mots tirés au hasard, sans lien entre eux, séparés par un signe. Par exemple « rideau-cactus-orage-velours-fenouil-cadran-pirogue ». Longue, elle résiste très bien et se retient plus facilement qu’une suite de symboles. Visez au moins sept mots. Le hasard compte : laissez un générateur choisir les mots, car l’imagination suit des chemins trop prévisibles.

N’utilisez jamais un exemple publié, ceux de cette page compris. Pour la plupart de vos comptes, le plus simple reste de laisser le générateur de votre gestionnaire créer une suite aléatoire de vingt caractères ou plus. Vous n’aurez jamais à la retenir. Gardez les méthodes ci-dessus pour les rares mots de passe que vous tapez de tête : le mot de passe maître, la session de l’ordinateur, la messagerie.

Avec l’IA. Ne donnez jamais un vrai mot de passe à un assistant d’IA, ni pour le créer, ni pour le tester : ce que vous tapez peut être conservé. Servez-vous-en pour vous entraîner. Demandez-lui dix mots de passe fictifs, classés du plus faible au plus robuste, avec la raison de chaque classement. Puis inventez votre propre méthode, connue de vous seul.

Exemples :

• Faible : « Julien1985 », un prénom et une année de naissance.
• Moyen : « Verdier2026! », douze caractères de quatre types, mais facile à deviner.
• Solide : une phrase de passe de sept mots tirés au hasard, ou vingt caractères aléatoires produits par un gestionnaire.

4. Le gestionnaire de mots de passe

Des mots de passe longs, complexes et tous différents : personne ne peut les retenir. La tentation est alors de les noter. Évitez le carnet posé à côté de l’ordinateur, le papier sous le clavier, le fichier « mdp.xlsx » sur le bureau, le brouillon dans la messagerie ou la note du téléphone. Un visiteur, un cambrioleur ou un pirate qui accède à l’appareil les trouve en quelques secondes.

La solution est un gestionnaire de mots de passe. C’est un coffre-fort numérique chiffré qui retient vos mots de passe à votre place. Vous n’en retenez plus qu’un seul : le mot de passe maître, qui ouvre le coffre. Choisissez-le très solide, avec l’une des méthodes du chapitre 3. Ne l’utilisez nulle part ailleurs.

Un gestionnaire rend trois services. Il génère des mots de passe aléatoires. Il les remplit sur le bon site, ce qui aide aussi contre l’hameçonnage : sur une fausse page, il ne propose rien. Selon les produits, il signale les mots de passe faibles, réutilisés ou présents dans une fuite connue.

Trois familles existent.

Le logiciel installé sur l’appareil : KeePassXC, recommandé par Cybermalveillance.gouv.fr, est gratuit, libre et en français. La fiche le présente comme certifié par l’ANSSI, l’agence nationale de la sécurité des systèmes d’information, dans sa version 2. Le coffre est un fichier que vous gardez et sauvegardez vous-même.

Le service en ligne : Bitwarden ou Proton Pass, par exemple. Le coffre est chiffré et synchronisé entre ordinateur et téléphone. Les offres pour entreprise permettent de partager un accès avec un collègue sans le lui envoyer par courriel.

Le gestionnaire intégré au navigateur ou au système : Google, Microsoft et Apple en proposent un. Pratique sur un appareil personnel bien protégé, il est moins complet pour une équipe. Jamais sur un ordinateur partagé.

Pour une TPE, un service en ligne avec partage par équipe est souvent le plus simple à faire vivre. Un indépendant peut très bien s’en tenir à KeePassXC. Dans tous les cas, protégez le coffre par la double authentification quand elle existe. Et prévoyez l’oubli : un mot de passe maître perdu ne se réinitialise généralement pas.

Avec l’IA. Décrivez votre situation à un assistant d’IA : nombre de personnes, ordinateurs et téléphones utilisés, accès à partager. Demandez-lui de comparer les trois familles de gestionnaires selon la sécurité, le partage, la récupération en cas d’oubli et le coût. Vérifiez ensuite les prix et les fonctions sur les sites des éditeurs : ils changent souvent.

Exemples :

• Indépendant seul : KeePassXC sur l’ordinateur, fichier du coffre sauvegardé sur un second support.
• Verdier Architectes : un gestionnaire en ligne avec un coffre « Agence » partagé (banque, Instagram, fournisseurs) et un coffre personnel par salarié.
• À proscrire : le fichier « mots de passe agence.docx » sur le serveur commun.

5. La double authentification

Même solide, un mot de passe peut être volé, par une fausse page ou une fuite. La double authentification ajoute un second verrou. En plus du mot de passe, le service demande une confirmation que vous seul pouvez donner. Un pirate qui connaît votre mot de passe reste à la porte.

Elle porte beaucoup de noms : authentification à deux facteurs, 2FA, vérification en deux étapes, authentification forte ou multifacteur. L’idée ne change pas. On combine ce que vous savez (le mot de passe) avec ce que vous possédez (un téléphone, une clé) ou ce que vous êtes (une empreinte, un visage).

Toutes les confirmations ne se valent pas. De la plus simple à la plus sûre :

Le code par SMS ou par courriel : bien mieux que rien. Un SMS peut pourtant être détourné, par exemple quand un escroc obtient un duplicata de votre carte SIM. Un code par courriel ne vaut que ce que vaut la messagerie.

L’application d’authentification : elle affiche sur votre téléphone un code qui change toutes les trente secondes, ou vous demande de valider la connexion. Elle est plus sûre que le SMS.

La clé de sécurité physique : une petite clé USB ou sans contact, à brancher ou à approcher. C’est la protection la plus forte contre les fausses pages de connexion.

La clé d’accès : de plus en plus de services la proposent, sous son nom anglais de passkey. Elle remplace le mot de passe par une clé enregistrée sur votre téléphone ou votre ordinateur, déverrouillée par votre empreinte, votre visage ou votre code. Elle ne fonctionne que sur le vrai site : une fausse page ne peut rien en tirer.

Activez la double authentification partout où elle existe. Commencez par la messagerie, la banque, le gestionnaire de mots de passe, les réseaux sociaux de l’entreprise et l’administration du site internet. La plupart des grands services la proposent : messageries, réseaux sociaux, visioconférence, sites marchands, stockage en ligne. Rangez dans votre gestionnaire les codes de secours fournis à l’activation. Ils vous sauveront le jour où vous perdrez votre téléphone.

Avec l’IA. Demandez à un assistant d’IA la marche à suivre pour activer la double authentification sur votre messagerie professionnelle, étape par étape. Suivez-la avec l’aide officielle du service ouverte à côté : les menus changent souvent et l’IA peut décrire une ancienne version.

Exemples :

• Messagerie de l’agence : application d’authentification pour chaque salarié, codes de secours rangés dans le gestionnaire.
• Banque en ligne : validation dans l’application de la banque, déjà imposée pour les paiements.
• Compte Instagram de l’agence : double authentification activée, avec deux téléphones autorisés, celui de la gérante et celui d’Inès.

6. Les pièges du quotidien

Trois situations banales font tomber de bons mots de passe.

Quelqu’un vous le demande. Votre mot de passe reste secret, y compris pour vos collègues et votre prestataire informatique. Aucune organisation sérieuse ne vous le demandera par courriel ou par téléphone, même pour une « maintenance » ou un « dépannage ». Si on vous le demande, considérez que c’est une tentative d’escroquerie. Raccrochez, puis rappelez le service au numéro que vous connaissez. Le module suivant, « Faux support technique », détaille cette arnaque.

Vous êtes sur un ordinateur qui n’est pas le vôtre. Les ordinateurs en libre accès des hôtels, des espaces de travail partagés ou des lieux publics peuvent être piégés. Si vous devez vous en servir, utilisez la navigation privée. Ne laissez jamais le navigateur enregistrer le mot de passe. Fermez votre session avant de partir. La navigation privée limite les traces, mais elle ne bloque pas un logiciel espion qui enregistre les touches. Dès que vous retrouvez un appareil de confiance, changez les mots de passe utilisés.

Le mot de passe d’usine n’a jamais été changé. Box internet, borne wifi, imprimante, caméra, serveur de stockage (NAS), logiciel neuf : beaucoup d’équipements sont livrés avec un mot de passe par défaut. Ces codes figurent souvent dans les notices publiées en ligne. Les pirates les connaissent. Remplacez-les dès l’installation par un mot de passe à vous, rangé dans le gestionnaire.

Avec l’IA. Demandez à un assistant d’IA trois scénarios d’appel d’un faux technicien qui réclame un mot de passe, du plus grossier au plus crédible. Lisez-les en réunion d’équipe et demandez à chacun ce qu’il répondrait. Dix minutes suffisent pour installer le bon réflexe : raccrocher et rappeler.

Exemples :

• Un appel du « service sécurité de votre banque » réclame le code reçu par SMS : c’est une escroquerie, raccrochez.
• En déplacement, Julien consulte sa messagerie sur l’ordinateur de l’hôtel : navigation privée, déconnexion, puis nouveau mot de passe le soir même depuis son téléphone.
• Le NAS de l’agence gardait son identifiant d’usine « admin » : mot de passe remplacé, puis rangé dans le coffre partagé.

7. La messagerie d’abord, puis les règles de l’équipe

Si vous ne deviez protéger qu’un compte, ce serait votre messagerie. Elle est liée à presque tous vos autres comptes. C’est elle qui reçoit les liens « mot de passe oublié ». Un pirate qui l’ouvre peut réinitialiser l’accès à votre banque, à votre logiciel de facturation ou à vos réseaux sociaux. Il peut aussi écrire à vos clients en votre nom, comme chez Verdier Architectes.

Pour la messagerie, cumulez tout : un mot de passe particulièrement robuste et jamais réutilisé, la double authentification, des codes de secours rangés en lieu sûr. Jetez de temps en temps un œil à la liste des appareils connectés et aux règles de transfert. Un pirate discret crée souvent une règle qui lui renvoie une copie de vos courriels ou qui cache les réponses de vos clients.

Dans une entreprise, les mots de passe sont aussi une affaire d’organisation. Quatre règles suffisent à une équipe de cinq personnes.

Un compte par personne : pas d’identifiant commun « accueil » partagé par tous. Chacun répond de ses accès et l’on sait qui a fait quoi.

Les accès communs dans le coffre d’équipe : quand un compte doit être partagé (réseau social, fournisseur), il passe par le gestionnaire, jamais par courriel ni par messagerie instantanée.

Le départ d’un salarié ou d’un prestataire : ses comptes sont fermés et les mots de passe qu’il connaissait sont changés le jour même.

Les droits au plus juste : chacun n’accède qu’à ce dont il a besoin. Le compte administrateur ne sert qu’à l’administration.

Si un compte est piraté malgré tout, suivez cet ordre :

1. Reprenez la main depuis un appareil sain, par la procédure de récupération du service, puis changez le mot de passe.
2. Déconnectez toutes les sessions ouvertes et activez la double authentification.
3. Vérifiez les règles de transfert, l’adresse et le téléphone de récupération.
4. Changez les mots de passe des comptes qui utilisaient le même ou qui se réinitialisent par ce compte.
5. Prévenez vos contacts par un autre canal s’ils ont pu recevoir des messages frauduleux.
6. Conservez les preuves, déposez plainte et faites-vous aider sur 17Cyber, le service d’assistance en ligne de Cybermalveillance.gouv.fr, de la police et de la gendarmerie.
7. Si des données personnelles de clients ou de salariés ont pu être consultées, la violation doit être notifiée à la CNIL dans les 72 heures, sauf si elle ne présente pas de risque pour les personnes.

Avec l’IA. Demandez à un assistant d’IA de rédiger une page « Nos règles pour les mots de passe », dix lignes au plus, pour une équipe de [nombre] personnes, à partir des règles de ce chapitre. Relisez-la, adaptez-la à vos outils, puis affichez-la ou faites-la signer. Elle pourra rejoindre une charte informatique plus complète.

Exemples :

• Verdier Architectes : double authentification activée sur les cinq messageries en une matinée, avec l’aide du prestataire.
• Fin de stage d’une stagiaire : compte fermé, mots de passe du coffre partagé qu’elle utilisait changés le jour même.
• Après l’incident, une règle de transfert inconnue est trouvée dans la messagerie d’Inès : supprimée, puis mentionnée dans la plainte.

Résumé

La plupart des comptes piratés ne le sont pas par génie. Un mot de passe trop simple se devine. Un mot de passe réutilisé fuit ailleurs. Un mot de passe confié à un faux technicien est perdu.

Trois gestes règlent la plupart des cas. Un mot de passe long et différent pour chaque service. Un gestionnaire pour les retenir à votre place, avec un seul mot de passe maître très solide. La double authentification sur les comptes vitaux, à commencer par la messagerie.

Ajoutez trois réflexes : ne jamais communiquer un mot de passe, se méfier des ordinateurs partagés, remplacer les mots de passe d’usine. Changez un mot de passe au moindre soupçon. Dans l’équipe : un compte par personne, des accès communs dans le coffre et des mots de passe changés à chaque départ.

Remplissez le plan d’action de l’annexe : c’est la première page du plan de sécurité de votre entreprise.

Questions fréquentes

Faut-il changer ses mots de passe tous les trois mois ?

Non, pas systématiquement. Les recommandations actuelles privilégient un mot de passe long, unique et secret, que l’on garde. On le change dès qu’un doute apparaît : fuite annoncée, connexion suspecte, départ d’une personne qui le connaissait. Les changements forcés à date fixe poussent souvent à des variantes faciles à deviner.

Un gestionnaire de mots de passe est-il vraiment sûr ?

Un gestionnaire reconnu chiffre votre coffre : sans le mot de passe maître, son contenu est illisible. Le risque se concentre donc sur ce mot de passe. Choisissez-le très solide, ne l’utilisez nulle part ailleurs et activez la double authentification du coffre quand elle existe. Le risque reste bien plus faible qu’avec un même mot de passe réutilisé partout.

Peut-on enregistrer ses mots de passe dans son navigateur ?

Sur un appareil personnel, à jour et protégé par un code de session, le gestionnaire du navigateur vaut mieux qu’un même mot de passe réutilisé partout. Un gestionnaire dédié reste plus complet, surtout pour partager des accès en équipe. Sur un ordinateur partagé ou public, n’enregistrez jamais rien.

La double authentification par SMS suffit-elle ?

Elle arrête déjà la plupart des attaques par mot de passe volé. Le SMS peut toutefois être détourné, par exemple par un duplicata frauduleux de carte SIM. Pour la messagerie, la banque et le gestionnaire de mots de passe, préférez une application d’authentification, une clé de sécurité ou une clé d’accès quand le service le permet.

Comment savoir si l’un de mes mots de passe a fuité ?

Certains gestionnaires et navigateurs signalent les mots de passe présents dans des fuites connues. Le service Have I Been Pwned indique si votre adresse de messagerie figure dans une fuite publique. Dans le doute, changez le mot de passe concerné et tous ceux qui lui ressemblaient.

Termes clés

• Attaque par force brute : technique qui consiste à essayer automatiquement toutes les combinaisons de caractères jusqu’à trouver le bon mot de passe.
• Bourrage d’identifiants : essai automatique, sur de nombreux services, d’adresses et de mots de passe volés lors d’une fuite de données.
• Phrase de passe : mot de passe formé de plusieurs mots tirés au hasard, long et plus facile à retenir qu’une suite de symboles.
• Gestionnaire de mots de passe : logiciel ou service qui range les mots de passe dans un coffre chiffré, les génère et les remplit automatiquement.
• Mot de passe maître : seul mot de passe à retenir, qui ouvre le coffre d’un gestionnaire de mots de passe.
• Double authentification : connexion qui exige, en plus du mot de passe, une confirmation que seul l’utilisateur peut donner, comme un code ou une clé.
• Clé d’accès : identifiant enregistré sur un appareil et déverrouillé par empreinte, visage ou code, qui remplace le mot de passe et déjoue les fausses pages.

Références

• Cybermalveillance.gouv.fr — Mots de passe : les bonnes pratiques
• Cybermalveillance.gouv.fr — La double authentification
• CNIL — Les conseils de la CNIL pour un bon mot de passe
• CNIL — Générer un mot de passe solide
• KeePassXC — Site officiel
• 17Cyber — Assistance en ligne aux victimes de cybermalveillance

QCM (une seule bonne réponse par question)

Question 1 — Une attaque par force brute consiste à :

1. Deviner le mot de passe à partir de vos informations personnelles
2. Essayer automatiquement toutes les combinaisons jusqu’à trouver la bonne
3. Vous demander votre mot de passe par téléphone

Question 2 — Vous utilisez le même mot de passe sur dix sites et l’un d’eux est piraté. Quel est le risque ?

1. Seul le site piraté est concerné
2. Aucun, si le mot de passe est complexe
3. Les dix comptes peuvent être ouverts avec le mot de passe volé

Question 3 — Lequel de ces mots de passe est le plus robuste ?

1. Sept mots tirés au hasard, séparés par des tirets
2. « Verdier2026! », le nom de l’agence suivi de l’année
3. « azerty123 »

Question 4 — Selon Cybermalveillance.gouv.fr, un bon mot de passe comporte au minimum :

1. 8 caractères, dont un chiffre
2. 10 caractères, sans autre contrainte
3. 12 caractères mélangeant majuscules, minuscules, chiffres et caractères spéciaux

Question 5 — Le principal intérêt d’un gestionnaire de mots de passe est de :

1. N’avoir plus qu’un seul mot de passe maître à retenir
2. Ne plus avoir de mot de passe du tout
3. Pouvoir envoyer ses mots de passe par courriel à ses collègues

Question 6 — La double authentification :

1. Oblige à taper deux fois le même mot de passe
2. Demande, en plus du mot de passe, une confirmation que vous seul pouvez donner
3. Remplace le mot de passe par une question secrète

Question 7 — Vous devez consulter votre messagerie sur l’ordinateur d’un hôtel. Que faites-vous ?

1. Vous laissez le navigateur enregistrer le mot de passe pour gagner du temps
2. Vous utilisez la navigation privée, qui suffit à vous protéger
3. Navigation privée, déconnexion, puis nouveau mot de passe depuis un appareil de confiance

Question 8 — Un « technicien » vous appelle et demande votre mot de passe pour une maintenance urgente. Vous :

1. Le donnez s’il connaît le nom de votre entreprise
2. Refusez, raccrochez et rappelez le service au numéro que vous connaissez
3. Le donnez, puis le changez après l’appel

Question 9 — Quel compte protéger en priorité ?

1. La messagerie, qui permet de réinitialiser les autres comptes
2. Le compte de fidélité d’un supermarché
3. Un forum de bricolage

Question 10 — Vous apprenez qu’un site où vous avez un compte a été piraté. Vous :

1. Attendez la confirmation officielle avant d’agir
2. Supprimez votre messagerie
3. Changez tout de suite ce mot de passe et partout où vous l’aviez réutilisé

Voir les réponses et les explications

Réponses : 1→2 · 2→3 · 3→1 · 4→3 · 5→1 · 6→2 · 7→3 · 8→2 · 9→1 · 10→3

Explications.

1. La force brute teste toutes les combinaisons ; la devinette exploite vos informations, la demande directe relève de l’escroquerie.
2. C’est le bourrage d’identifiants : un mot de passe volé est essayé partout, quelle que soit sa complexité.
3. Sept mots tirés au hasard font une phrase longue et imprévisible ; les deux autres se trouvent dans les premières tentatives d’un pirate.
4. La fiche de Cybermalveillance.gouv.fr retient 12 caractères de quatre types au minimum.
5. Le gestionnaire retient tous les mots de passe ; vous ne retenez que le mot de passe maître, qui doit être très solide.
6. Le second facteur est un code, une validation ou une clé que seul l’utilisateur détient.
7. La navigation privée limite les traces mais n’arrête pas un logiciel espion : il faut changer le mot de passe ensuite.
8. Aucune organisation sérieuse ne demande un mot de passe ; le changer après coup laisse au fraudeur le temps d’agir.
9. La messagerie reçoit les liens « mot de passe oublié » de presque tous vos comptes.
10. Il faut agir au moindre soupçon, sans attendre ; le mot de passe réutilisé ailleurs est tout aussi exposé.

Exercices

Exercice 1 — Faire l’inventaire de vos comptes (20 min) Listez tous les comptes en ligne que vous utilisez pour votre activité. Pour les retrouver, parcourez les mots de passe enregistrés dans votre navigateur et cherchez dans votre messagerie les courriels « Bienvenue » ou « Confirmez votre inscription ». Classez chaque compte en trois niveaux : vital (sa perte bloque l’activité ou coûte de l’argent), important, secondaire. Repérez ceux qui partagent le même mot de passe. Reportez les comptes vitaux et importants dans le tableau de l’annexe.

Exercice 2 — Diagnostiquer six mots de passe (10 min) Voici six mots de passe fictifs relevés chez Verdier Architectes avant l’incident. Classez-les du plus faible au plus robuste, dites pourquoi et proposez une correction pour les trois plus faibles.

• « azerty123 » : session de l’ordinateur de l’accueil.
• « Verdier2026! » : logiciel de facturation.
• « Ines1994 » : messagerie d’Inès, utilisé aussi sur quatre sites marchands.
• « admin » : interface du NAS.
• « M@rs2026 » : compte Instagram de l’agence.
• « torrent-lavande-bocal-orbite-canif-mercredi-sel » : mot de passe maître du coffre de Claire.

Exercice 3 — Réagir au piratage d’une messagerie (15 min) Lundi, 8 h 30. Claire Verdier, la gérante, reçoit deux appels de clients : ils ont reçu un courriel d’Inès annonçant un changement de RIB. Inès ne peut plus se connecter à sa messagerie. Listez, dans l’ordre, les actions à mener dans la journée. Pour chacune, indiquez qui s’en charge.

Corrections des exercices

Exercice 1 — Exemple d’Inès, assistante chez Verdier Architectes : 43 comptes retrouvés. Vitaux (8) : messagerie professionnelle, banque de l’agence, logiciel de facturation, espaces impôts et URSSAF, NAS, session de l’ordinateur, gestionnaire de mots de passe, administration du site internet. Importants (11) : Instagram et LinkedIn de l’agence, trois fournisseurs, plateforme de marchés publics, licence du logiciel de dessin, stockage en ligne, visioconférence, messagerie personnelle, opérateur téléphonique. Secondaires (24) : sites marchands, lettres d’information, applications diverses. Le même mot de passe servait sur neuf comptes, dont la messagerie. Le classement donne l’ordre des actions : les comptes vitaux en une demi-journée, les secondaires au fil de l’eau, à chaque connexion.

Exercice 2 — Du plus faible au plus robuste. « admin » : mot de passe d’usine, connu de tous les pirates. « azerty123 » : suite de clavier, en tête des listes de mots de passe courants. « Ines1994 » : prénom et année, surtout réutilisé, c’est lui qui a fui. « M@rs2026 » : court, un mois et une année, une substitution connue. « Verdier2026! » : douze caractères de quatre types, mais le nom de l’agence et l’année se devinent. La phrase de sept mots : longue, aléatoire, propre au coffre. Corrections : pour « admin », un mot de passe aléatoire de vingt caractères, généré et rangé par le gestionnaire ; pour « azerty123 » et « Ines1994 », deux phrases de passe différentes, puisqu’on les tape de tête, avec la double authentification sur la messagerie. La phrase de passe de Claire est un bon mot de passe maître à une condition : ne servir nulle part ailleurs.

Exercice 3 — Ordre proposé :

1. Inès, avec le prestataire : reprendre la main sur la messagerie depuis un appareil sain, puis changer le mot de passe.
2. Claire, en parallèle : prévenir tous les clients, par téléphone ou depuis une autre adresse, que l’agence ne change pas de RIB ; alerter la banque.
3. Prestataire : déconnecter toutes les sessions, supprimer les règles de transfert inconnues, vérifier les coordonnées de récupération.
4. Inès : activer la double authentification.
5. Inès : changer le mot de passe des quatre sites marchands et des comptes qui se réinitialisent par cette messagerie.
6. Claire : conserver les preuves (courriels frauduleux, alertes de connexion), porter plainte et se faire aider sur 17Cyber.
7. Claire : vérifier quelles données personnelles la messagerie contenait et décider d’une notification à la CNIL dans les 72 heures.

L’ordre compte : sans reprendre la main sur la messagerie, le pirate lit vos échanges de crise. Prévenir les clients ne peut pas attendre : c’est pourquoi deux personnes agissent en même temps.

Annexe — Plan d’action « mots de passe »

Remplissez un tableau par personne et un tableau commun pour les accès partagés de l’entreprise. Commencez par les lignes « vital ».

Compte	Niveau	Mot de passe long et unique ?	Dans le gestionnaire ?	Double authentification ?	Action et date
Messagerie professionnelle	Vital
Banque en ligne	Vital
Logiciel de facturation ou de comptabilité	Vital
Espaces administratifs (impôts, URSSAF)	Vital
Gestionnaire de mots de passe (mot de passe maître)	Vital
Session de l’ordinateur	Vital
Administration du site internet	Vital
Box, wifi, NAS, imprimante (mots de passe d’usine)	Vital
Réseaux sociaux de l’entreprise	Important
Fournisseurs et plateformes métier	Important
Messagerie personnelle	Important
Autres comptes

Puis cochez les dix réflexes de Cybermalveillance.gouv.fr.

Réflexe	Fait	À faire avant le
Un mot de passe différent pour chaque service
Au moins 12 caractères de quatre types, ou une phrase de passe
Aucune information personnelle, aucune suite logique
Un gestionnaire de mots de passe
Un changement au moindre soupçon
Aucun mot de passe communiqué à un tiers
Aucun mot de passe saisi sur un ordinateur partagé, ou changé ensuite
La double authentification partout où elle existe
Les mots de passe par défaut remplacés
Une messagerie protégée en priorité

KeePassXC, Bitwarden, Proton Pass, Have I Been Pwned, Google, Microsoft et Apple sont cités à titre d’exemple. Acadigit n’est ni affiliée, ni sponsorisée, ni approuvée par leurs éditeurs, ni par le dispositif Cybermalveillance.gouv.fr. Ce module a été rédigé avec l’aide de l’IA, puis relu, amélioré et validé par Acadigit.