Attaques par credential stuffing : pourquoi les listes de mots de passe volés fonctionnent encore

Chaque fuite de données fait deux victimes : l'organisation compromise, et tous les autres services sur lesquels ces mêmes utilisateurs ont réutilisé leur mot de passe. Les attaques par credential stuffing existent à cause d'un comportement humain tenace — la réutilisation des mots de passe — et les attaquants ont industrialisé son exploitation.

Comprendre le fonctionnement de ces attaques et les raisons pour lesquelles les défenses traditionnelles échouent si souvent est la première étape vers un système d'authentification résilient.

Qu'est-ce que le credential stuffing ?

Le credential stuffing est une attaque automatisée qui utilise des couples identifiant/mot de passe dérobés dans des bases de données compromises pour accéder sans autorisation aux comptes d'utilisateurs sur d'autres services. Contrairement aux attaques par force brute, qui testent des combinaisons de caractères aléatoires, le credential stuffing s'appuie sur des identifiants réels et déjà validés, exposés lors d'une fuite de données.

Le mécanisme est simple : les attaquants achètent ou téléchargent des bases de données de fuites sur les places de marché du dark web, chargent les identifiants dans des outils automatisés, puis envoient massivement des requêtes vers les points d'authentification. Une opération typique peut tester des millions de couples d'identifiants par jour, sur des dizaines de services simultanément.

Ce qui rend le credential stuffing particulièrement efficace, c'est sa précision. Les attaques par force brute classiques affichent de faibles taux de réussite parce que les mots de passe sont complexes et variés. Le credential stuffing exploite le fait que 65 % des utilisateurs réutilisent le même mot de passe sur plusieurs comptes. Si un identifiant a fonctionné sur un service, il existe une probabilité non négligeable qu'il fonctionne ailleurs.

Une échelle vertigineuse

Les chiffres bruts du credential stuffing sont difficiles à appréhender. Depuis 2016, des milliards d'identifiants uniques ont été exposés lors de fuites chez Yahoo, LinkedIn, Adobe, RockYou et d'innombrables organisations plus modestes. Les compilations agrégées comme la fameuse « Collection #1 » contenaient plus de 2,7 milliards de combinaisons e-mail/mot de passe uniques.

Les attaquants ne testent pas les comptes manuellement derrière un clavier. Ils déploient des botnets répartis sur des milliers de machines compromises et de proxys résidentiels, distribuant le trafic d'attaque à l'échelle mondiale pour échapper à la détection. Chaque adresse IP prise isolément n'émet parfois qu'une poignée de requêtes par heure — bien en dessous des seuils habituels de limitation de débit — tandis que l'attaque teste collectivement des millions d'identifiants.

Les outils modernes de credential stuffing comme Sentry MBA, Storm ou SNIPR offrent des interfaces pensées pour l'attaquant, avec gestion des identifiants, rotation de proxys et rapports de réussite. La barrière à l'entrée pour mener une campagne de credential stuffing est tombée à un niveau quasi nul.

En quoi le credential stuffing diffère de la force brute

Les équipes sécurité confondent parfois credential stuffing et attaques par force brute. Les deux sont liés, mais réellement différents :

Les attaques par force brute génèrent des tentatives de mots de passe aléatoires ou séquentielles contre un compte précis. Elles se caractérisent par un volume de requêtes élevé sur une cible unique, facilement détecté par les politiques de verrouillage de compte et la limitation de débit.

Les attaques par credential stuffing utilisent des couples d'identifiants réels et visent simultanément de très nombreux comptes différents. Chaque compte ne reçoit parfois qu'un faible nombre de tentatives de connexion, ce qui rend le verrouillage de compte inefficace. L'attaque se répartit sur de nombreuses IP, ce qui limite l'efficacité de la limitation de débit au niveau réseau.

Cette distinction est décisive pour la défense. Les contrôles optimisés pour la force brute — verrouillage après cinq échecs, limitation de la vélocité par compte — n'offrent qu'une protection marginale contre le credential stuffing. L'attaquant passe simplement au couple d'identifiants suivant et réessaie plus tard.

Anatomie d'une attaque par credential stuffing

Une campagne type de credential stuffing suit une séquence prévisible :

1. Acquisition des identifiants — Les attaquants achètent des bases de fuites récentes sur les forums du dark web, en privilégiant souvent les compromissions les plus fraîches, pour lesquelles les utilisateurs ont moins probablement changé leur mot de passe. Les collections sont classées par type de service : les identifiants bancaires atteignent les prix les plus élevés.

2. Approvisionnement en proxys — Pour éviter les blocages fondés sur l'IP, les attaquants se procurent des réseaux de proxys résidentiels. Ceux-ci se présentent comme des connexions FAI grand public légitimes, bien plus difficiles à bloquer que des IP de centres de données.

3. Sélection des cibles — Les cibles à forte valeur sont prioritaires : applications bancaires, sites e-commerce avec moyens de paiement enregistrés, plateformes SaaS hébergeant des données sensibles. Les outils permettent d'adapter la configuration de l'attaque au formulaire de connexion et aux schémas de réponse propres à chaque site.

4. Test et validation — L'outil automatisé soumet les requêtes d'authentification et interprète les réponses pour identifier les connexions réussies. Ces succès sont consignés en vue d'une revue manuelle et d'une exploitation.

5. Monétisation des comptes — Les prises de contrôle de comptes réussies sont monétisées via des achats frauduleux, la revente d'accès, l'extraction de données, ou en utilisant les comptes compromis comme tremplin pour d'autres attaques.

Signaux de détection et anomalies comportementales

Une défense efficace contre le credential stuffing repose sur la détection de l'empreinte comportementale de l'attaque. Aucun signal isolé n'est déterminant, mais leurs combinaisons sont hautement révélatrices :

Réputation et classification des IP — Le trafic de credential stuffing s'appuie massivement sur des infrastructures de proxy. Les IP de centres de données, les fournisseurs de proxys connus, les nœuds de sortie Tor et les adresses IP à mauvaise réputation sont surreprésentés dans ce trafic. Les vrais utilisateurs se connectent depuis des accès résidentiels attribués par un FAI ou depuis des réseaux d'entreprise connus.

Schémas de vélocité de connexion — Une hausse soudaine des échecs d'authentification répartis sur de très nombreux comptes, même à faible cadence par compte, constitue un signal fort. Les schémas d'échec normaux sont dominés par des fautes de frappe sur un petit nombre de comptes. Des échecs distribués simultanément sur des milliers de comptes sont anormaux.

Diversité des user agents — Les outils de credential stuffing font souvent tourner les user agents pour paraître humains. Mais la distribution des user agents dans le trafic d'attaque diffère statistiquement du trafic organique : concentration inhabituelle sur certaines versions d'outils, en-têtes de navigateur attendus absents, ou rotations que de vrais navigateurs ne produisent pas.

Anomalies géographiques — Un utilisateur qui se connecte habituellement depuis la France et s'authentifie soudain depuis l'Europe de l'Est ou l'Asie du Sud-Est justifie une vigilance renforcée. Le voyage impossible — des connexions depuis des lieux géographiquement éloignés dans un intervalle physiquement irréalisable — est un indicateur de fraude à forte confiance.

Changements d'empreinte d'appareil — Les utilisateurs légitimes présentent des empreintes d'appareil persistantes. Un outil de credential stuffing présente une empreinte nouvelle ou incohérente à chaque tentative, sans cookies, sans état de stockage navigateur ni les autres marqueurs d'un visiteur récurrent.

Des stratégies de défense qui fonctionnent

Authentification multifacteur

Le MFA est le contrôle unitaire le plus efficace contre le credential stuffing. Même si un attaquant valide un couple d'identifiants, il ne peut pas achever l'authentification sans le second facteur. Les applications TOTP et les clés matérielles sont nettement plus résilientes que les codes envoyés par SMS.

Le MFA n'est toutefois pas une solution multi-composants. Les utilisateurs doivent l'activer, et même les plateformes bien gérées observent des taux d'adoption inférieurs à 50 % en l'absence d'obligation. Les facteurs résistants au phishing comme FIDO2/WebAuthn offrent un niveau d'assurance supérieur au TOTP, mais requièrent un support matériel ou un authentificateur de plateforme.

Filtrage par réputation IP

Intégrer une intelligence de réputation IP en temps réel à votre couche d'authentification permet de challenger ou de bloquer les requêtes provenant d'infrastructures associées à des attaques passées. Cela inclut le signalement des requêtes issues :

• de réseaux de proxys résidentiels connus
• de plages IP de centres de données sans lien avec des utilisateurs professionnels légitimes
• d'IP présentes sur des blocklists de threat intelligence pour abus d'identifiants
• d'IP provenant de pays à haut risque ou de réseaux d'anonymisation

La réputation IP seule ne suffit pas — les attaquants font tourner leurs proxys de façon agressive — mais combinée à d'autres signaux, elle constitue une première couche efficace.

Analyse comportementale et détection d'anomalies

Des modèles de machine learning entraînés sur l'historique des comportements de connexion peuvent scorer chaque tentative d'authentification en temps réel. Les combinaisons inhabituelles d'empreinte d'appareil, de localisation, d'heure de la journée et de rythme de frappe apportent chacune un faisceau d'indices. Les comptes dont le score est anormal reçoivent une authentification renforcée ou sont mis en attente de revue.

Surveillance des mots de passe compromis

Des services comme HaveIBeenPwned proposent des API permettant de vérifier si un couple d'identifiants figure dans des bases de fuites connues. Contrôler les mots de passe au moment de la connexion permet d'inviter les utilisateurs à changer des identifiants dont on sait qu'ils sont compromis. Cela traite directement le problème des identifiants recyclés.

CAPTCHA et réponses à défi

Les solutions de gestion de bots qui servent des défis invisibles aident à distinguer les navigateurs humains des outils automatisés. La détection de bots moderne va bien au-delà des CAPTCHA traditionnels : elle analyse les mouvements de souris, la dynamique de frappe et les signaux comportementaux du navigateur. Les outils de credential stuffing peinent souvent face aux défis avancés, même lorsqu'ils tentent de simuler un comportement humain.

Construire une défense en profondeur

Aucun contrôle unique n'élimine le risque de credential stuffing. Les architectures les plus résilientes superposent des défenses complémentaires :

1. Scoring de réputation IP en temps réel en bordure de réseau
2. Empreinte utilisateur et appareil au niveau applicatif
3. Détection d'anomalies comportementales sur les schémas d'authentification
4. Corrélation avec les bases de fuites pour les identifiants connus comme compromis
5. MFA en filet de sécurité lorsque les autres signaux indiquent un risque élevé

L'API ismalicious.com fournit un scoring complet de réputation d'IP et de domaines, intégrable directement dans votre parcours d'authentification, ce qui permet à votre application de prendre des décisions fondées sur le risque en quelques millisecondes. Les IP suspectes peuvent recevoir un défi CAPTCHA, être soumises à une vérification supplémentaire ou être limitées en débit avant même l'exécution de la moindre requête en base.

Conclusion

Le credential stuffing n'est pas une attaque sophistiquée exigeant des capacités additionnelles. C'est l'application industrielle d'une constatation simple : les gens réutilisent leurs mots de passe, et les bases de données compromises subsistent indéfiniment. Tant que ces conditions perdurent, les attaquants continueront d'en tirer profit.

L'asymétrie d'effort entre attaquants et défenseurs est frappante. Mener une campagne de credential stuffing demande peu d'expertise et ne coûte que le prix des accès proxy et des bases de fuites. Bâtir des défenses efficaces suppose d'empiler plusieurs contrôles, de surveiller l'évolution des schémas d'attaque et d'intégrer de la threat intelligence en temps réel.

Les organisations qui traitent la sécurité de l'authentification comme un chantier ponctuel plutôt que comme un programme continu accusent systématiquement un retard sur la courbe des attaques. Combiner intelligence de réputation IP, analyse comportementale et MFA obligatoire pour les opérations sensibles constitue le socle minimal de tout service détenant des données utilisateur qui méritent d'être protégées.