Le password spraying (pulvérisation de mots de passe) consiste à tester un petit nombre de mots de passe très courants sur un grand nombre de comptes, plutôt que de nombreux mots de passe sur un seul compte. L'objectif est d'échapper aux verrouillages de compte, qui se déclenchent sur les tentatives répétées visant un même utilisateur.
Pourquoi la méthode reste efficace
L'attaquant commence par constituer une liste d'identifiants — souvent des adresses professionnelles au format prévisible — puis essaie un mot de passe par vague, en espaçant les tentatives pour rester sous les seuils. Les candidats sont choisis parmi les motifs que les politiques de composition encouragent : saison et année, nom de l'entreprise suivi d'un chiffre, variantes du mot « bienvenue ».
Les cibles privilégiées sont les portails exposés sans MFA : messagerie en ligne, VPN, interfaces d'administration, protocoles hérités qui contournent les politiques modernes.
Détection et parades
Le signal caractéristique n'est pas un pic d'échecs sur un compte, mais un volume anormal de premiers échecs répartis sur beaucoup de comptes, souvent depuis un nombre restreint de sources. La surveillance doit donc être menée à l'échelle du répertoire, pas du compte.
Côté prévention : blocage des mots de passe figurant dans les listes de compromission, suppression des protocoles d'authentification hérités, MFA généralisée. Une authentification sans mot de passe supprime purement et simplement la cible : il n'y a plus de secret à pulvériser.
Aller plus loin : définition du credential stuffing · politique de mots de passe · supprimer les mots de passe · l'authentification cognitive