Le mot de passe reste utile, mais il ne suffit plus
Pendant longtemps, la sécurité informatique reposait principalement sur une règle simple : choisir un mot de passe complexe et ne jamais le communiquer.
Cette recommandation reste valable. Un mot de passe long, unique et conservé dans un gestionnaire sécurisé protège mieux qu’un mot de passe court ou réutilisé. Mais il ne constitue plus une protection suffisante lorsqu’il est utilisé seul.
Un mot de passe peut aujourd’hui être :
- récupéré lors d’une fuite de données ;
- deviné par des attaques automatisées ;
- réutilisé sur plusieurs services ;
- dérobé par un logiciel malveillant ;
- transmis involontairement sur une fausse page de connexion ;
- enregistré dans un navigateur ou un fichier insuffisamment protégé.
D’après le rapport de défense numérique 2025 de Microsoft, les attaques reposant sur l’identité ont progressé de 32 % durant le premier semestre 2025. Microsoft indique également que plus de 97 % des attaques visant les identités observées dans son environnement reposaient sur des tentatives massives liées aux mots de passe.
Le problème n’est donc plus uniquement de savoir si un mot de passe est suffisamment compliqué. Il faut aussi déterminer qui peut l’utiliser, depuis quel appareil, pendant combien de temps et pour effectuer quelles actions.
Les cybercriminels ne « piratent » plus toujours les entreprises : ils s’y connectent
L’image traditionnelle du pirate informatique qui casse directement les défenses techniques d’une entreprise est incomplète.
Dans de nombreux cas, l’attaquant utilise simplement un compte légitime compromis. Pour les outils de l’entreprise, la connexion peut alors sembler normale : le bon identifiant est utilisé, le mot de passe est valide et l’accès provient parfois d’un navigateur courant.
Microsoft résume cette évolution par une formule particulièrement parlante : les attaquants ne cherchent plus toujours à entrer par effraction, ils se connectent avec des identifiants volés. Les informations nécessaires peuvent provenir de fuites de données ou de logiciels spécialisés dans le vol d’identifiants.
Cette situation est particulièrement dangereuse lorsque le compte compromis possède des droits importants :
- administrateur Microsoft 365 ;
- administrateur du réseau ;
- accès aux serveurs ;
- compte permettant de modifier les sauvegardes ;
- accès à la comptabilité ;
- compte d’un prestataire informatique ;
- clé d’API ou compte technique ;
- accès à une base de données ;
- compte permettant de créer d’autres utilisateurs.
Ces comptes sont souvent appelés comptes à privilèges. Ils donnent accès à des fonctions que les utilisateurs ordinaires ne peuvent pas exécuter.
Les nouvelles menaces qui fragilisent les mots de passe
Le password spraying
Le password spraying consiste à tester quelques mots de passe courants sur un grand nombre de comptes.
Au lieu de tenter des milliers de combinaisons sur un même utilisateur, l’attaquant essaie par exemple un mot de passe probable sur toute une liste d’adresses professionnelles. Cette méthode permet de limiter les blocages automatiques liés aux tentatives répétées.
Les attaquants peuvent également ralentir volontairement leurs essais afin de rester sous les seuils de détection. Microsoft classe le « slow password spray » parmi les méthodes employées pour contourner les protections modernes.
Le credential stuffing
Le credential stuffing repose sur la réutilisation d’identifiants provenant d’anciennes fuites de données.
Lorsqu’une personne utilise le même mot de passe pour son adresse personnelle, un service en ligne et son compte professionnel, la compromission d’un seul de ces services peut exposer tous les autres.
C’est pourquoi un mot de passe doit être unique pour chaque service, même lorsqu’il est particulièrement long.
Les infostealers
Les infostealers sont des logiciels malveillants conçus pour voler les informations présentes sur un ordinateur : mots de passe enregistrés, données de navigateur, portefeuilles numériques, cookies ou jetons de session.
En juin 2026, Microsoft rappelait que certains infostealers pouvaient récupérer silencieusement des mots de passe, des cookies et des jetons de connexion. Une infection sur l’ordinateur personnel d’un salarié peut ainsi exposer des accès professionnels, notamment des identifiants VPN ou des sessions SSO.
Ces logiciels sont devenus plus accessibles grâce au modèle du « malware as a service ». Des opérateurs développent et maintiennent les outils, tandis que d’autres cybercriminels les louent ou les achètent pour mener leurs campagnes.
Le vol de cookies et de jetons de session
Après une authentification réussie, un service conserve généralement la session de l’utilisateur grâce à un cookie ou un jeton.
Si ce jeton est dérobé, l’attaquant peut parfois reprendre la session déjà ouverte sans avoir besoin de connaître le mot de passe. Dans certaines situations, cela lui permet également de contourner l’authentification multifacteur, puisque la victime a déjà validé sa connexion.
Cela explique pourquoi changer le mot de passe après une attaque n’est pas toujours suffisant. Il peut aussi être nécessaire de fermer les sessions actives, révoquer les jetons, contrôler les appareils connectés et rechercher l’origine de la compromission.
Les comptes oubliés et les privilèges excessifs
Un ancien salarié, un prestataire ou un compte créé pour un projet temporaire peut conserver des accès plus longtemps que nécessaire.
Avec le temps, certains collaborateurs accumulent également des permissions liées à leurs différentes fonctions. Ce phénomène est parfois appelé privilege creep, ou accumulation progressive de privilèges. La CISA recommande de réexaminer les droits et d’appliquer le principe du moindre privilège afin de limiter ce risque.
Un compte oublié disposant de droits administratifs constitue une porte d’entrée particulièrement intéressante pour un attaquant.
L’authentification multifacteur est indispensable, mais elle ne règle pas tout
L’authentification multifacteur, ou MFA, demande au minimum deux éléments différents pour vérifier l’identité d’un utilisateur.
Il peut s’agir :
- d’un mot de passe ;
- d’une application d’authentification ;
- d’une clé de sécurité physique ;
- d’un certificat numérique ;
- d’une caractéristique biométrique ;
- d’un appareil professionnel préalablement enregistré.
La CISA recommande l’utilisation du MFA afin de réduire le risque qu’un mot de passe compromis suffise à ouvrir un compte.
Microsoft estime que l’authentification multifacteur moderne permet de réduire de plus de 99 % le risque de compromission de l’identité dans les scénarios étudiés.
Toutes les méthodes MFA ne présentent cependant pas le même niveau de sécurité. Un code reçu par SMS ou saisi sur une fausse page peut être intercepté. Une notification de validation peut également être acceptée par fatigue, erreur ou manipulation.
Le NIST recommande donc des mécanismes d’authentification résistants au phishing pour les niveaux de sécurité les plus élevés. Ces mécanismes reposent notamment sur des protocoles cryptographiques plutôt que sur un simple secret que l’utilisateur peut recopier.
Les passkeys et les clés de sécurité compatibles FIDO font partie des solutions conçues pour résister au phishing et au credential stuffing. Contrairement à un mot de passe, le secret cryptographique utilisé pour l’authentification n’est pas transmis au site auquel l’utilisateur se connecte.
Mais même une excellente authentification ne répond pas à toutes les questions : que peut faire l’utilisateur une fois connecté ? Ses droits sont-ils permanents ? Ses actions sont-elles enregistrées ? C’est précisément à ce niveau qu’intervient le PAM.
Qu’est-ce que le PAM ?
Le sigle PAM signifie Privileged Access Management, que l’on peut traduire par gestion des accès à privilèges.
Le PAM regroupe les méthodes, les règles et les outils destinés à protéger les comptes disposant de droits élevés.
Selon le NIST, une solution PAM vise notamment à protéger, surveiller et gérer l’accès aux comptes à privilèges, en couvrant leur cycle de vie, l’authentification, l’autorisation, l’audit et le contrôle des accès.
L’objectif n’est pas seulement de placer les mots de passe administrateurs dans un coffre-fort numérique. Une stratégie PAM complète cherche à contrôler l’ensemble du parcours d’accès.
Elle doit permettre de répondre aux questions suivantes :
- Quels sont les comptes à privilèges présents dans l’entreprise ?
- Qui est autorisé à les utiliser ?
- Pourquoi cet accès est-il nécessaire ?
- Pendant combien de temps doit-il être accordé ?
- Quelles opérations ont été réalisées ?
- Comment supprimer rapidement les droits en cas d’incident ?
Comment fonctionne une solution PAM ?
Centraliser et protéger les secrets
Les mots de passe administrateurs, clés SSH, certificats, jetons et clés d’API peuvent être conservés dans un coffre-fort spécialisé.
L’utilisateur n’a pas toujours besoin de connaître directement le secret. La solution peut établir la connexion à sa place, ce qui limite les copies dans des fichiers, des messageries ou des documents partagés.
Modifier régulièrement les mots de passe sensibles
Une solution PAM peut renouveler automatiquement les mots de passe des comptes administrateurs ou techniques.
La rotation automatique réduit la durée pendant laquelle un mot de passe volé reste exploitable. Elle facilite également le changement d’un secret après le départ d’un collaborateur ou l’intervention d’un prestataire.
Appliquer le principe du moindre privilège
Le principe du moindre privilège consiste à attribuer uniquement les droits nécessaires à l’accomplissement d’une tâche.
Un salarié qui doit installer ponctuellement un logiciel n’a pas forcément besoin d’être administrateur permanent de son ordinateur. De la même manière, un prestataire chargé d’une application ne devrait pas automatiquement disposer d’un accès complet à tous les serveurs.
Le Zero Trust décrit par le NIST repose notamment sur des décisions d’accès précises, limitées et réévaluées pour chaque demande, plutôt que sur une confiance accordée une fois pour toutes.
Accorder des droits juste à temps
Le modèle Just-in-Time, ou JIT, permet d’accorder un privilège uniquement au moment où il est nécessaire.
Un administrateur peut, par exemple, demander un accès élevé pour une intervention de deux heures. Une fois ce délai terminé, les droits sont automatiquement retirés.
Cette approche réduit le nombre de comptes possédant en permanence des autorisations critiques.
Enregistrer les actions sensibles
Une solution PAM peut journaliser les connexions, les commandes exécutées et, selon les outils, enregistrer les sessions administratives.
Cette traçabilité aide à :
- détecter un comportement inhabituel ;
- comprendre l’origine d’un incident ;
- contrôler les interventions des prestataires ;
- démontrer le respect de certaines obligations ;
- améliorer les procédures internes.
L’ENISA recommande une gestion centralisée des accès à privilèges et la conservation d’éléments permettant de démontrer l’application des contrôles d’accès et le traitement des tentatives non autorisées.
PAM, IAM et gestionnaire de mots de passe : quelles différences ?
Ces trois solutions sont complémentaires, mais elles ne répondent pas exactement au même besoin.
Le gestionnaire de mots de passe
Il permet de créer et conserver des mots de passe uniques. Il constitue une excellente première étape pour les salariés comme pour les dirigeants.
Il ne contrôle cependant pas nécessairement la durée des droits, l’enregistrement des sessions ou l’utilisation des comptes administrateurs partagés.
L’IAM
L’Identity and Access Management gère plus largement les identités et les autorisations :
- arrivée d’un collaborateur ;
- création de son compte ;
- accès aux applications ;
- changement de poste ;
- suppression des droits lors de son départ.
Le PAM
Le PAM se concentre sur les accès les plus sensibles : administrateurs, comptes techniques, clés d’API, comptes de secours, prestataires et opérations critiques.
On peut donc considérer que le PAM est une composante spécialisée de la gestion des identités et des accès.
Le PAM est-il réservé aux grandes entreprises ?
Le terme PAM évoque souvent des plateformes complexes destinées aux banques, aux administrations ou aux grands groupes.
Pourtant, les TPE et PME disposent elles aussi de comptes particulièrement sensibles :
- compte administrateur Microsoft 365 ou Google Workspace ;
- interface d’administration du site internet ;
- console de l’hébergeur ;
- compte du NAS ;
- accès au logiciel comptable ;
- administration du routeur ou du pare-feu ;
- sauvegardes externalisées ;
- accès du prestataire informatique ;
- clés utilisées par les applications.
Une PME peut commencer sans déployer immédiatement une plateforme lourde.
L’essentiel est d’adopter progressivement les principes du PAM : inventorier, séparer, limiter, protéger, surveiller et révoquer.
Cinq actions à mettre en place dès maintenant
1. Recenser les accès critiques
L’entreprise doit identifier tous les comptes capables de modifier son infrastructure, ses utilisateurs, ses données, ses sauvegardes ou ses paramètres de sécurité.
L’inventaire doit aussi inclure les comptes techniques, les clés d’API, les accès des prestataires et les comptes de secours.
2. Séparer les comptes courants des comptes administrateurs
Un administrateur ne devrait pas consulter ses e-mails ou naviguer quotidiennement sur internet avec son compte le plus privilégié.
L’utilisation de comptes distincts réduit le risque qu’une attaque visant une activité ordinaire compromette directement les fonctions d’administration.
L’ANSSI recommande une séparation et une sécurisation renforcée des fonctions d’administration, notamment dans les environnements reposant sur Active Directory.
3. Activer une authentification multifacteur résistante au phishing
Les accès administratifs doivent être protégés en priorité.
Lorsque les services le permettent, les entreprises peuvent privilégier les clés de sécurité, les passkeys ou les certificats plutôt que le SMS. L’ENISA recommande également une authentification renforcée pour les actions privilégiées et les opérations sensibles.
4. Réduire les droits permanents
Chaque utilisateur doit disposer uniquement des autorisations nécessaires à son rôle.
Les accès temporaires, l’élévation ponctuelle des privilèges et la validation préalable des opérations sensibles permettent de réduire l’exposition.
5. Contrôler régulièrement les comptes et les sessions
Les comptes inutilisés doivent être désactivés. Les droits des anciens collaborateurs et prestataires doivent être révoqués immédiatement.
Les journaux de connexion doivent être contrôlés afin de détecter les connexions inhabituelles, les élévations de privilèges ou les opérations réalisées en dehors des horaires attendus.
Le mot de passe n’est plus une frontière de sécurité
En 2026, un mot de passe complexe reste nécessaire lorsqu’un service l’impose. Mais il ne doit plus être considéré comme une protection suffisante à lui seul.
Les entreprises doivent raisonner en termes d’identité, de contexte et de privilèges :
- vérifier plusieurs éléments avant d’autoriser une connexion ;
- renforcer l’authentification des accès sensibles ;
- limiter les permissions accordées ;
- éviter les comptes administrateurs permanents ;
- protéger et renouveler les secrets ;
- surveiller les sessions ;
- supprimer rapidement les accès devenus inutiles.
Le PAM traduit cette évolution : la cybersécurité ne consiste plus simplement à protéger un mot de passe, mais à maîtriser l’utilisation de chaque accès critique.
Conclusion
Une cyberattaque peut commencer par un simple compte oublié, un mot de passe réutilisé ou une session volée sur l’ordinateur d’un collaborateur.
Mettre en place une démarche PAM ne signifie pas nécessairement investir immédiatement dans une infrastructure complexe. Une entreprise peut commencer par recenser ses comptes sensibles, renforcer son authentification, séparer les usages, réduire les privilèges permanents et mieux superviser les interventions techniques.
La bonne question n’est donc plus seulement :
« Notre mot de passe est-il suffisamment sécurisé ? »
Mais plutôt :
« Que pourrait faire une personne qui réussirait à utiliser ce compte ? »
Besoin d’identifier et de mieux protéger les accès sensibles de votre entreprise ?
APT Informa accompagne les professionnels dans l’analyse de leur environnement informatique, la sécurisation de leurs comptes et la mise en place de solutions adaptées à leur activité.
Sources
- NIST — Digital Identity Guidelines, SP 800-63B-4, juillet 2025 : recommandations relatives à l’authentification, aux niveaux d’assurance et à la résistance au phishing.
- Microsoft — Digital Defense Report 2025 : évolution des attaques liées à l’identité, password spraying, vol de jetons et authentification multifacteur.
- Microsoft Security Blog — StealC and Amadey, juin 2026 : rôle des infostealers dans le vol de mots de passe, cookies et jetons de session.
- ANSSI — Recommandations relatives à l’authentification multifacteur et aux mots de passe.
- ANSSI — Recommandations relatives à l’administration sécurisée des systèmes d’information reposant sur Active Directory, octobre 2023.
- ENISA — Technical Implementation Guidance on Cybersecurity Risk Management Measures, juin 2025.
- NIST NCCoE — Privileged Account Management : définition, surveillance et contrôle des comptes à privilèges.