Comment les attaquants construisent des listes de mots de passe ciblées sans IA

Introduction

Les attaques par mot de passe sont souvent perçues comme sophistiquées et basées sur l’intelligence artificielle. En pratique, de nombreuses compromissions reposent sur des techniques beaucoup plus simples. Parmi les plus efficaces figure l’utilisation de listes de mots de passe ciblées, construites à partir d’informations publiques ou issues de fuites de données.

Cette méthode est particulièrement efficace lorsque les organisations appliquent des politiques de mot de passe faibles ou n’utilisent pas l’authentification multifacteur (MFA). Comprendre ces techniques permet d’adopter des mesures défensives plus adaptées.

Qu’est-ce qu’une liste de mots de passe ciblée ?

Une liste de mots de passe ciblée est un ensemble de mots de passe potentiels conçu pour une personne ou une organisation spécifique. Contrairement aux listes génériques contenant des millions d’entrées, ces listes sont plus petites mais bien plus pertinentes.

Les attaquants privilégient la précision à la quantité, en s’appuyant sur des éléments ayant un sens pour la cible.

Sources de données couramment exploitées

Les attaquants n’ont pas besoin d’un accès privilégié pour être efficaces. Les sources les plus fréquentes incluent :

• Profils publics : réseaux sociaux, sites professionnels et pages personnelles révélant noms, centres d’intérêt, lieux ou dates importantes.
• Informations organisationnelles : nom de l’entreprise, produits, projets internes ou éléments de marque.
• Identifiants compromis : données issues de violations antérieures, souvent réutilisées ou légèrement modifiées.
• Adresses courriel et noms d’utilisateur : révélant des conventions de nommage exploitables.
• Documents publics et métadonnées : fichiers PDF ou bureautiques contenant des références internes ou des noms d’auteurs.

Pris isolément, ces éléments semblent anodins. Ensemble, ils constituent une base très efficace pour le devinage de mots de passe.

Construction des listes de mots de passe

Une fois les données collectées, les attaquants les traitent à l’aide d’outils automatisés. Les étapes typiques comprennent :

• Normalisation : variations en minuscules ou majuscules.
• Règles de mutation : ajout de chiffres, de symboles ou de substitutions courantes.
• Combinaisons : assemblage de noms, dates et mots-clés.
• Réutilisation de schémas : application de structures observées dans des mots de passe déjà divulgués.

Aucune intelligence artificielle n’est nécessaire : des règles simples suffisent souvent à produire des milliers de candidats crédibles.

Pourquoi cette méthode reste efficace

Les listes ciblées fonctionnent parce que de nombreux utilisateurs continuent de créer des mots de passe :

• Faciles à mémoriser et donc prévisibles
• Réutilisés sur plusieurs services
• Légèrement modifiés pour respecter les exigences de complexité

Sans mécanismes comme la limitation des tentatives, la surveillance ou la MFA, même des attaques lentes peuvent réussir sans être détectées.

Mesures défensives recommandées

Les organisations peuvent réduire considérablement les risques en appliquant des mesures de base :

• Politiques de mots de passe robustes, évitant les références personnelles.
• Authentification multifacteur pour tous les services exposés.
• Surveillance des journaux d’authentification, même pour des échecs peu fréquents.
• Blocage des mots de passe compromis connus.
• Sensibilisation des utilisateurs aux risques liés à l’exposition d’informations personnelles.

Pour les PME, ces contrôles offrent un excellent rapport efficacité/coût.

Conclusion

Les listes de mots de passe ciblées montrent que les attaquants peuvent rester très efficaces sans recourir à l’intelligence artificielle. En exploitant méthodiquement des informations accessibles, ils contournent des défenses insuffisantes.

Les stratégies de sécurité doivent partir du principe que les attaquants disposent déjà de nombreuses informations. Réduire la dépendance aux mots de passe reste essentiel.

Sources :

• BleepingComputer — Password guessing without AI: How attackers build targeted wordlists
  https://www.bleepingcomputer.com/news/security/password-guessing-without-ai-how-attackers-build-targeted-wordlists/