Attaque automatisée qui teste en masse des paires identifiant/mot de passe issues de fuites de données antérieures pour compromettre de nouveaux comptes.
Le credential stuffing exploite la réutilisation de mots de passe : la majorité des utilisateurs emploie les mêmes identifiants sur plusieurs services. L'attaquant achète ou télécharge sur des forums clandestins des listes de couples login/mot de passe issus de fuites passées, puis automatise les tentatives de connexion sur des cibles à haute valeur comme des banques, des plateformes e-commerce ou des assureurs en ligne. Le taux de succès est faible, souvent inférieur à un pour cent, mais un million de tentatives génère tout de même des milliers de comptes compromis. Les défenses classiques sont le CAPTCHA, la limitation du taux de requêtes et l'authentification multifacteur. Pour les assureurs, le credential stuffing est une cause fréquente de fraude sur les espaces clients et d'exposition à des notifications de violation de données, ce qui en fait un critère standard des questionnaires de souscription cyber. Il se distingue du brute force, qui génère des mots de passe aléatoires, et du phishing, qui cible un utilisateur précis : il repose uniquement sur des données déjà compromises.
Un assureur life constate en audit que des milliers de connexions à son espace client proviennent de bots sud-américains. Le credential stuffing a permis d'accéder à 340 comptes, dont certains ont subi des changements de coordonnées bancaires. La notification RGPD est déclenchée et la prime de renouvellement de la police cyber augmente de 15 %.
bourrage d'identifiants, credential stuffing, attaque par liste de mots de passe volés