Les outils alimentés par l'IA peuvent tester des milliards de combinaisons de mots de passe par seconde en exploitant des listes volées lors d'anciennes fuites de données. Mais le vrai danger est plus simple : réutiliser le même mot de passe sur plusieurs sites signifie qu'un seul mot de passe compromis peut déverrouiller des dizaines de comptes. La solution est un gestionnaire de mots de passe, une authentification à deux facteurs et une vérification gratuite des fuites — tout cela peut être configuré en un après-midi sans aucune connaissance technique.
Dans une enquête de l'AARP auprès d'adultes américains de 50 ans et plus, l'inquiétude concernant l'utilisation de l'IA pour pirater des mots de passe s'est classée première avec 87 % — devant les deepfakes (85 %) et le clonage vocal (84 %). (Source : AARP Public Policy Institute.) Cette préoccupation est fondée. Les outils d'IA peuvent désormais tester automatiquement d'énormes listes de mots de passe volés sur des centaines de sites web, plus vite que n'importe quel être humain.
Le côté rassurant : vous n'avez pas besoin de connaissances techniques pour vous protéger. Les quatre étapes ci-dessous fonctionnent que vous ayez un iPhone, un téléphone Android, un PC Windows ou un Mac — et la première étape la plus importante prend environ cinq minutes.
Ce que « deviner des mots de passe par l'IA » signifie vraiment
Quand vous entendez que l'IA peut « pirater » des mots de passe, voici ce qui se passe réellement. Les criminels se procurent des listes de noms d'utilisateur et de mots de passe provenant d'anciennes fuites de données — des fuites sur de grands sites web survenues il y a des années. Ces listes sont vendues en ligne. Un logiciel, de plus en plus alimenté par l'IA, essaie ensuite ces combinaisons automatiquement sur des centaines d'autres sites. Cela s'appelle le credential stuffing (bourrage de mots de passe).
La partie IA le rend plus rapide et plus intelligent. Au lieu de combinaisons aléatoires, le logiciel se concentre sur les combinaisons statistiquement plus susceptibles de fonctionner : mots courants, prénoms, années de naissance, schémas simples. Il apprend quelles tentatives réussissent.
La cible est rarement votre mot de passe le plus fort. C'est votre mot de passe le plus faible — sur un site que vous avez oublié — que vous avez également utilisé quelque part d'important.
Le vrai danger : les mots de passe réutilisés
Si vous utilisez le même mot de passe sur plusieurs sites, une fuite de données sur l'un d'eux peut déverrouiller les autres. C'est la plus grande vulnérabilité en matière de mots de passe pour la plupart des gens. Un mot de passe qui semble fort mais utilisé sur cinq sites est moins sûr qu'un mot de passe plus simple utilisé une seule fois.
Imaginez-le ainsi : chaque site qui a votre adresse e-mail et votre mot de passe détient une copie de votre clé. Si un site perd sa clé et que des criminels la ramassent, ils l'essaient sur votre banque, votre e-mail, vos comptes gouvernementaux, vos dossiers de santé.
La solution n'est pas des mots de passe plus difficiles à mémoriser. Il s'agit de s'assurer qu'aucun deux sites ne partagent un mot de passe — et l'étape suivante vous montre la façon la plus simple d'y parvenir.
Étape 1 : Utilisez un gestionnaire de mots de passe
Un gestionnaire de mots de passe fait une chose : il stocke un mot de passe différent et généré aléatoirement pour chaque site que vous utilisez. Vous n'avez besoin de mémoriser qu'un seul mot de passe principal pour ouvrir le gestionnaire. Chaque autre mot de passe est long, aléatoire et unique — le genre qu'aucun humain et aucune IA ne peut deviner.
Votre téléphone en a presque certainement un intégré. Sur un iPhone, allez dans Réglages, puis Mots de passe. Sur un téléphone Android, allez dans Paramètres, puis Google, puis Saisie automatique. Les deux sont gratuits et fonctionnent automatiquement une fois activés. Quand vous visitez un site, le gestionnaire de mots de passe remplit vos identifiants pour vous.
Vous n'avez pas besoin d'une application payante pour commencer. Les gestionnaires intégrés aux iPhones et aux téléphones Android sont excellents pour la plupart des gens. Commencez par là.
Une règle : votre mot de passe principal — celui qui ouvre le gestionnaire — doit être une phrase secrète. Cela signifie quatre ou cinq mots ordinaires mis bout à bout, par exemple « cuisine violette couverture coucher ». Facile à mémoriser, très difficile à deviner pour un logiciel.
Ce n'est pas juste une astuce pratique : c'est aussi ce que recommandent aujourd'hui les autorités de référence en matière de sécurité informatique. Aux États-Unis, la norme fédérale sur les mots de passe (NIST, Special Publication 800-63B, révision 4) met désormais l'accent sur la longueur plutôt que sur la complexité, et n'exige plus de caractères spéciaux imposés ni de changements de mot de passe à intervalles fixes — une phrase secrète longue que l'on retient vraiment vaut mieux qu'un mot de passe court et « compliqué » qu'il faut noter quelque part pour ne pas l'oublier. En France, l'ANSSI (l'agence nationale de la cybersécurité) donne la même priorité à la longueur sur la complexité : au moins 12 caractères environ pour un compte courant, ou une phrase secrète de 4 à 5 mots, et l'usage d'un gestionnaire de mots de passe pour ne plus jamais réutiliser le même mot de passe. Le dispositif public cybermalveillance.gouv.fr, qui assiste les particuliers victimes d'incidents numériques, donne exactement le même conseil pratique au grand public.
Étape 2 : Essayez les clés d'accès — connectez-vous avec votre visage ou votre empreinte
Une clé d'accès (passkey) est une façon plus récente et plus simple de se connecter. Au lieu d'un mot de passe, vous utilisez votre empreinte digitale, votre visage ou le PIN de votre téléphone. Le site ne reçoit pas du tout de mot de passe, donc les criminels n'ont rien à voler lors d'une fuite.
De plus en plus de grands services — Google, Apple, Microsoft, Amazon, PayPal — proposent maintenant des clés d'accès. Quand un site vous demande si vous voulez « enregistrer une clé d'accès » ou « vous connecter avec une clé d'accès », dites oui. C'est plus sûr que n'importe quel mot de passe que vous pourriez taper.
Vous utilisez probablement déjà une version de cela sur votre téléphone quand vous le déverrouillez avec votre visage ou votre empreinte. Les clés d'accès apportent cette même simplicité aux sites web et aux applications.
Étape 3 : Activez l'authentification à deux facteurs
L'authentification à deux facteurs (souvent appelée 2FA) signifie que même si quelqu'un obtient votre mot de passe, il ne peut toujours pas se connecter sans une deuxième vérification — généralement un code envoyé sur votre téléphone.
Il existe deux types de 2FA, et ils ne sont pas également sûrs :
Codes par SMS — le site envoie un code à six chiffres par message texte. C'est mieux que rien, mais les numéros de téléphone peuvent être détournés par des escrocs dans certaines circonstances, ce qui en fait l'option la plus faible.
Une application d'authentification — des applications gratuites comme Google Authenticator ou Microsoft Authenticator génèrent un nouveau code toutes les 30 secondes sur votre téléphone. Même si un escroc a votre mot de passe, il ne peut pas obtenir ce code sans avoir physiquement votre téléphone en main. C'est beaucoup plus sécurisé.
Commencez par les SMS si c'est la seule option proposée — c'est toujours une amélioration significative par rapport à aucune 2FA. Mais pour vos comptes les plus importants (e-mail, banque, réseaux sociaux), passez à une application d'authentification dès que vous le pouvez.
Étape 4 : Vérifiez si votre e-mail a été compromis dans une fuite
Un site appelé Have I Been Pwned (haveibeenpwned.com) vous permet de saisir votre adresse e-mail et de voir dans quelles fuites de données elle a été exposée. Il a été créé par un chercheur en sécurité et est gratuit. Le site ne demande pas votre mot de passe — seulement votre adresse e-mail.
Rendez-vous sur ce site, tapez votre e-mail et appuyez sur le bouton de vérification. Le site vous montrera une liste des fuites dans lesquelles votre adresse e-mail est apparue. Si votre e-mail figure dans une fuite, votre mot de passe pour ce site est connu des criminels. Changez-le immédiatement — et changez-le sur tout autre site où vous avez utilisé le même mot de passe.
Ce à quoi il faut faire attention
Faux e-mails « votre compte a été piraté ». Des criminels envoient des e-mails qui ressemblent à des alertes de sécurité officielles : « Nous avons détecté une activité inhabituelle. Cliquez ici pour sécuriser votre compte. » Ce sont des tentatives de hameçonnage. Ne cliquez pas sur le lien. Allez directement sur le site en tapant son adresse dans votre navigateur ou appelez l'entreprise en utilisant un numéro figurant sur son site officiel.
Hameçonnage lors de la réinitialisation du mot de passe. Un escroc déclenche un vrai e-mail de réinitialisation de mot de passe d'un service que vous utilisez, puis vous appelle en prétendant être de l'équipe de sécurité de l'entreprise. Il vous demande de lui lire le code qui vient d'arriver sur votre téléphone. Ne lisez jamais un code de sécurité à quelqu'un qui vous a appelé. Les vrais employés d'une entreprise ne demandent jamais cela.
Fausses fenêtres contextuelles imitant votre gestionnaire de mots de passe. Votre vrai gestionnaire de mots de passe remplit les identifiants automatiquement — il ne vous demande jamais de retaper votre mot de passe principal sur une page web. Si un site vous demande votre mot de passe principal, fermez cet onglet.
Ce que vous pouvez essayer ensuite
Les e-mails de hameçonnage sont souvent le premier mouvement que font les criminels avant de tenter de prendre le contrôle d'un compte. Comment repérer les e-mails de hameçonnage générés par l'IA vous donne six vérifications rapides qui révèlent les faux messages — même ceux qui semblent tout à fait légitimes. Si vous vous demandez également quelles informations personnelles vous ne devriez jamais partager avec un chatbot d'IA, Ce qu'il ne faut pas dire à un chatbot d'IA couvre les informations spécifiques qui pourraient vous mettre en danger.
Sources
- Older Adults Express High Concern and Limited Knowledge About AI Scams and Fraud — AARP Public Policy Institute
- Have I Been Pwned — Troy Hunt
- Digital Identity Guidelines: Authentication and Authenticator Management (SP 800-63B-4) — NIST (États-Unis)
- FIDO Passkeys: Passwordless Authentication — FIDO Alliance
- Pourquoi et comment bien gérer ses mots de passe — cybermalveillance.gouv.fr
