Un score de risque contextuel évalue les circonstances d'une tentative d'authentification — terminal, réseau, horaire, comportement — pour moduler l'exigence appliquée. Contre le credential stuffing, il apporte une chose que la limitation de débit ne donne pas : la capacité de traiter des campagnes lentes et distribuées, qui ressemblent individuellement à du trafic légitime. Sa vraie difficulté n'est pas de calculer le score, c'est de décider quoi faire du doute.
Une attaque conçue pour ne pas se voir
Le credential stuffing moderne ne ressemble plus à un pic de trafic. Trois techniques le rendent discret :
- La distribution : proxys résidentiels, terminaux compromis, sortie par des adresses d'opérateurs grand public. L'attaque provient d'endroits statistiquement normaux.
- La lenteur : quelques tentatives par compte, étalées sur des jours. Aucun seuil individuel n'est franchi.
- L'imitation : agents utilisateurs plausibles, cadence de frappe simulée, ordre de chargement des ressources respecté.
Face à cela, un seuil par compte ne voit rien. Ce qui voit quelque chose, c'est une lecture transversale : le même mot de passe testé sur mille comptes, une distribution anormale d'échecs sur des comptes inexistants, une corrélation entre des tentatives sans lien apparent.
Les signaux utiles, et leur durée de vie
| Signal | Ce qu'il révèle | Sa fragilité |
|---|---|---|
| Réputation d'adresse IP | infrastructure connue pour l'abus | contournée par proxys résidentiels |
| Empreinte du terminal | incohérence entre composants déclarés | falsifiable, et fragile en environnement géré |
| Vitesse et régularité | automatisation | imitable |
| Taux d'échec transversal | campagne en cours | nécessite une vue globale, pas par compte |
| Comptes inexistants ciblés | liste issue d'une fuite | disparaît si l'énumération est impossible |
| Géovélocité | usurpation | faux positifs liés aux VPN d'entreprise |
| Incohérence authentification/usage | session relayée ou détournée | suppose une supervision d'usage |
Aucun de ces signaux n'est décisif isolément, et tous se dégradent avec le temps : dès qu'une détection devient standard, elle est intégrée aux outils d'attaque. Un dispositif de scoring est donc un dispositif vivant, à réétalonner, pas une case à cocher.
La vraie question : que faire du doute
Un score produit trois zones. La première — risque faible — et la troisième — risque élevé — sont faciles : laisser passer, bloquer. La zone intermédiaire concentre le volume et la difficulté.
Les réponses habituelles y sont insatisfaisantes :
- Bloquer génère des faux positifs, des appels au support, et pousse à relâcher les seuils.
- Laisser passer avec surveillance revient à assumer le risque sans le traiter.
- Demander un second facteur transmissible offre à l'attaquant l'occasion d'une attaque d'approbation ou d'un relais en temps réel.
D'où l'intérêt d'une élévation d'exigence qui ne réintroduise pas la faiblesse qu'on cherche à éviter. Un step-up cognitif — la résolution d'un challenge, avec une méthode personnelle jamais transmise — a trois propriétés adaptées à cette zone grise :
- Il ne se relaie pas utilement : le résultat ne vaut que pour le challenge en cours.
- Il ne s'approuve pas par réflexe : il n'existe pas de bouton à presser sous pression.
- Il est supportable ponctuellement : réservé à la zone de doute, il ne pèse pas sur le trafic normal.
Prévention et détection ne se remplacent pas
Il faut être clair sur la hiérarchie. Le scoring est une couche de rattrapage. Il traite un symptôme : quelqu'un rejoue des identifiants valides.
La mesure structurelle consiste à supprimer la matière première. Une approche IDless et passwordless retire la clé de jointure entre une base de fuites et vos comptes, et rend l'énumération impossible — ce qui, accessoirement, prive le scoring de son signal le plus fiable, parce que l'attaque ne peut plus commencer.
L'ordre de priorité est donc : supprimer le secret réutilisable, puis scorer ce qui reste, puis élever l'exigence dans le doute. Beaucoup d'organisations font l'inverse et s'étonnent que le scoring devienne un centre de coût.
Ce que les cadres réglementaires en disent
NIS2 (directive UE 2022/2555) cite l'authentification multifacteur ou continue parmi les mesures de gestion des risques. DORA (règlement UE 2022/2554), applicable depuis janvier 2025, demande une résilience opérationnelle démontrable au secteur financier. Aucun de ces textes n'impose un moteur de scoring, mais tous supposent une capacité à justifier pourquoi une exigence a été appliquée à un moment donné. Un score explicable a donc une valeur de conformité, pas seulement de sécurité.
FAQ
Un score de risque suffit-il contre le credential stuffing ?
Non. Il réduit le taux de réussite d'une campagne, mais il ne supprime ni les identifiants en circulation ni la possibilité de réessayer. Il doit être associé à la suppression des secrets réutilisables.
Comment éviter les faux positifs ?
En réservant le blocage aux cas nets et en traitant la zone grise par une élévation d'exigence plutôt que par un refus. C'est ce qui permet d'être strict sans dégrader le service.
Les signaux collectés posent-ils un problème RGPD ?
Ils constituent un traitement à documenter : finalité, durée de conservation, proportionnalité. Une architecture qui minimise les données collectées et évite de centraliser des informations identifiantes simplifie sensiblement cette analyse.
Peut-on ajouter ce dispositif sans changer d'IdP ?
Le facteur peut se déployer en overlay d'une chaîne existante, ce qui permet de brancher l'élévation d'exigence sur les décisions déjà produites par vos outils.
Aller plus loin : le 4ᵉ facteur cognitif · l'IDless face au credential stuffing · l'authentification adaptative · le step-up authentication