Le credential stuffing consiste à rejouer automatiquement, sur un service cible, des couples identifiant / mot de passe issus de fuites de données antérieures. L'attaquant ne devine rien : il teste à grande échelle des secrets déjà valides ailleurs, en pariant sur la réutilisation des mots de passe. Selon le Verizon DBIR, les identifiants volés, réutilisés ou partagés figurent parmi les tout premiers vecteurs d'intrusion.
Ce qui rend l'attaque rentable
Trois conditions suffisent : des bases de fuites accessibles, un service exposant une authentification par mot de passe, et un taux de réussite même très faible — quelques comptes ouverts sur des millions d'essais restent profitables. L'automatisation s'appuie sur des proxys résidentiels et des navigateurs pilotés, ce qui rend le filtrage par adresse IP peu efficace à lui seul.
Les parades habituelles agissent en périphérie : limitation de débit, détection de comportements anormaux, blocage des mots de passe connus comme compromis, surveillance des connexions réussies depuis un contexte inhabituel.
À ne pas confondre avec le password spraying
| Credential stuffing | Password spraying | |
|---|---|---|
| Point de départ | Couples réels issus de fuites | Quelques mots de passe très courants |
| Cible | Beaucoup de comptes, un essai chacun | Beaucoup de comptes, mot de passe unique par vague |
| Objectif | Exploiter la réutilisation | Contourner le verrouillage de compte |
La seule parade structurelle reste la suppression du secret rejouable. Une authentification passwordless et IDless ne laisse rien à réutiliser : sans identifiant permanent ni mot de passe, une base de fuites perd toute valeur d'entrée.
Aller plus loin : l'approche IDless contre le credential stuffing · le score de risque contextuel · définition du password spraying · l'authentification cognitive