Le mot de passe : le maillon qu'on continue de négliger
Malgré des années de sensibilisation, "Azerty123", "Password1" ou le prénom d'un enfant suivi d'une année de naissance restent parmi les mots de passe les plus utilisés au monde, y compris en contexte professionnel. Ce n'est pas de l'inconscience : c'est une réponse rationnelle à une contrainte réelle. Un salarié gère en moyenne des dizaines de comptes — messagerie, ERP, outils SaaS, réseaux sociaux de l'entreprise, extranet fournisseur — et retenir un mot de passe unique et complexe pour chacun relève de l'exploit mental. Face à cette charge, le réflexe naturel est de choisir quelque chose de mémorisable, puis de le réutiliser partout, parfois avec une simple variante ("Ebtech2024", "Ebtech2025!"). Dans une PME, ce problème est souvent amplifié par l'absence de politique claire : aucune règle de longueur minimale n'est imposée, aucun outil n'est fourni pour aider les équipes, et la sécurité des mots de passe repose entièrement sur la bonne volonté individuelle. Résultat : un seul mot de passe faible, utilisé par une seule personne sur un seul compte mal protégé, peut suffire à ouvrir une brèche dans tout le système d'information de l'entreprise.
Comment un mot de passe faible tombe concrètement
Un attaquant ne s'assoit pas devant un écran pour deviner un mot de passe caractère par caractère. Les compromissions se font à l'échelle, de façon automatisée, selon trois méthodes principales. La première, le "credential stuffing", consiste à réinjecter automatiquement des millions de combinaisons email/mot de passe issues de fuites de données passées — souvent sans lien avec l'entreprise visée — contre des centaines de services en ligne différents, en pariant que certaines personnes ont réutilisé le même mot de passe ailleurs. La seconde, le brute-force ou l'attaque par dictionnaire, teste des mots de passe courants, des variantes de noms d'entreprise ou des motifs prévisibles (mois, année, ponctuation en fin de chaîne) à très grande vitesse. La troisième, le phishing, ne devine rien : elle pousse la victime, via un email ou une fausse page de connexion convaincante, à saisir elle-même son mot de passe directement dans les mains de l'attaquant. Dans les trois cas, un mot de passe court, prévisible ou déjà exposé dans une fuite connue tombe en quelques secondes à quelques heures — sans que l'entreprise s'en rende compte avant longtemps.
Le vrai danger : réutiliser le même mot de passe partout
C'est souvent ce point qui surprend le plus les dirigeants : la faille ne vient pas toujours de l'entreprise elle-même. Un employé qui utilise le même mot de passe pour son compte professionnel et pour un forum, un site e-commerce ou une application mobile personnelle expose l'entreprise à un risque totalement hors de son contrôle. Si ce site tiers subit une fuite de données — un événement fréquent et rarement médiatisé pour les petites plateformes — la combinaison email professionnel + mot de passe se retrouve en circulation, puis testée automatiquement contre la messagerie de l'entreprise, son VPN ou son extranet. L'entreprise n'a rien fait de mal, son infrastructure n'a jamais été attaquée directement, et pourtant un compte critique peut tomber du jour au lendemain. C'est pour cette raison que la réutilisation de mots de passe entre sphère personnelle et professionnelle doit être traitée comme un risque d'entreprise à part entière, et non comme une simple question d'hygiène individuelle laissée à l'appréciation de chacun.
Un mot de passe fort ne suffit pas : gestionnaire + double authentification
Conseiller "choisissez un mot de passe plus fort" ne suffit pas, car cela ne résout ni le problème de la mémorisation, ni celui de la réutilisation. La longueur compte davantage que la complexité artificielle : une phrase de passe longue et unique est souvent plus robuste qu'un mot de passe court truffé de caractères spéciaux difficiles à retenir. Mais la vraie solution structurelle, à l'échelle d'une entreprise, repose sur deux outils complémentaires. Un gestionnaire de mots de passe génère et stocke un mot de passe unique et complexe pour chaque service, l'employé n'ayant plus qu'un seul mot de passe maître à retenir — ce qui élimine mécaniquement la réutilisation. L'authentification multifacteur (MFA), quant à elle, ajoute une seconde barrière (code temporaire, application d'authentification, clé physique) : même si un mot de passe est compromis via une fuite ou du phishing, l'accès au compte reste bloqué sans ce second facteur. Déployés ensemble, sur les comptes professionnels critiques en priorité (messagerie, ERP, accès administrateur), ces deux réflexes réduisent drastiquement le risque, bien plus efficacement qu'une simple règle de complexité imposée sur le papier.
Vérifiez la solidité de vos mots de passe avec EBH Defender
Avant de déployer une politique de mots de passe à l'échelle de l'entreprise, il est utile de mesurer où en est réellement votre exposition. EBH Security met à disposition gratuitement passcheck.ebh.ma, un outil de l'écosystème EBH Defender qui permet de tester la robustesse d'un mot de passe et de vérifier s'il est déjà apparu dans une fuite de données connue. Un point important pour un outil qui touche à quelque chose d'aussi sensible : la vérification se fait de façon privée, grâce à une méthode dite de k-anonymat — seule une empreinte partielle du mot de passe est comparée, jamais le mot de passe lui-même, qui n'est ni transmis en clair ni stocké. C'est un bon point de départ pour sensibiliser une équipe, identifier les comptes à risque immédiat, et amorcer une démarche plus large vers un gestionnaire de mots de passe et l'activation de la MFA sur les accès critiques de l'entreprise.