En assurance, le credential stuffing trouve une cible que peu de secteurs offrent : des millions de comptes rarement consultés. Un assuré ouvre son espace une ou deux fois par an. Un attaquant qui rejoue des couples identifiant / mot de passe issus de fuites peut donc s'installer dans un compte sans qu'aucun titulaire ne remarque quoi que ce soit pendant des mois. La valeur du butin n'est pas monétaire à court terme : c'est un dossier complet sur une personne.
Le compte dormant, angle mort structurel
La détection d'usage frauduleux repose largement sur la comparaison avec un comportement habituel. Or, sur un espace assuré, la notion de comportement habituel n'existe presque pas : une connexion par an ne constitue pas une base de référence.
Trois conséquences en découlent.
- Aucune alerte ne se déclenche lors d'une connexion depuis un nouvel appareil, puisque tous les appareils sont nouveaux.
- Le titulaire ne signale rien, parce qu'il ne consulte pas son espace.
- La rotation des mots de passe est inexistante : le secret utilisé à la souscription, souvent ancien, est toujours en place — et souvent déjà présent dans une fuite publique.
Le Verizon DBIR situe les identifiants volés, réutilisés ou partagés parmi les tout premiers vecteurs d'intrusion. En assurance, cette réalité rencontre un parc de comptes que personne ne surveille.
Ce que vaut réellement un espace assuré compromis
| Donnée accessible | Usage par l'attaquant | Détectabilité | Mesure de réduction |
|---|---|---|---|
| État civil et composition du foyer | Usurpation d'identité, souscriptions frauduleuses | Faible | Masquage partiel avant réauthentification |
| Contrats et garanties | Prétexte crédible pour un appel frauduleux | Nulle | Limiter le détail affiché en consultation |
| Historique de sinistres | Fraude à la déclaration, chantage | Faible | Journalisation des consultations |
| Coordonnées bancaires de règlement | Détournement d'indemnisation | Moyenne | Verrouillage et délai de carence |
| Données de santé (prévoyance) | Préjudice grave, exposition RGPD | Faible | Cloisonnement, exigence renforcée |
| Documents téléchargeables | Fabrication de faux justificatifs | Moyenne | Filigrane, limitation des exports |
La colonne « détectabilité » explique pourquoi l'assurance sous-estime souvent son exposition : la majorité des lignes ne produisent aucun signal. Le préjudice apparaît ailleurs, plus tard, sous une autre forme.
Le passage à l'acte : la modification de coordonnées
Quand l'attaquant décide de monétiser, il ne provoque pas un sinistre. Il attend qu'un règlement soit en cours et modifie les coordonnées bancaires de versement. L'opération se fond dans le flux normal : c'est le titulaire qui semble l'avoir demandée, depuis son propre espace.
La contre-mesure la plus efficace ne relève pas de l'authentification de connexion mais du traitement de l'acte :
- Notification systématique de tout changement d'IBAN sur un canal distinct de celui utilisé pour le modifier — courrier ou appel sortant sur un numéro du référentiel.
- Délai de carence avant le premier versement sur des coordonnées modifiées.
- Blocage automatique lorsqu'un changement d'IBAN suit de peu un changement d'adresse de messagerie ou de numéro de téléphone. Cette séquence est le marqueur le plus fiable d'une prise de contrôle.
Réduire la surface, dans l'ordre
Assainir le parc de secrets. Refuser les mots de passe présents dans les corpus de fuites publiques, à l'inscription comme au changement, et déclencher un renouvellement forcé sur les comptes dont le secret est reconnu comme compromis. C'est l'action qui retire le plus de matière première à l'attaque.
Ne pas verrouiller aveuglément. Une politique de blocage après quelques échecs gêne peu une campagne qui teste un mot de passe par compte, mais elle expose à un déni de service sur les assurés légitimes. La limitation doit s'appuyer sur l'empreinte du client et le réseau d'origine, pas seulement sur le compteur d'échecs par compte.
Graduer l'affichage. Un espace assuré peut afficher l'essentiel — échéance, statut — sans exposer d'emblée l'historique complet et les documents. Exiger une élévation d'authentification pour accéder au détail réduit la valeur d'une connexion volée.
Traiter les comptes dormants comme une population à part. Réveil périodique, expiration des sessions, et exigence renforcée lors de la première connexion après une longue absence.
Retirer la cible. Sans mot de passe, une liste de couples n'a plus d'objet ; sans identifiant non plus. C'est l'apport d'une approche passwordless et IDless comme celle du facteur cognitif, qui remplace le secret réutilisable par une preuve d'intention résolue dans un canal éphémère ouvert par QR code dynamique à usage unique. Le déploiement en overlay d'une MFA existante permet de commencer par les gestes sensibles — changement d'IBAN, déclaration de sinistre — avant de traiter l'ensemble du parcours.
FAQ
Le credential stuffing concerne-t-il aussi les extranets courtiers ?
Oui, et avec un enjeu supérieur : un compte d'intermédiaire donne accès à un portefeuille entier, pas à un seul contrat. Ces comptes justifient un facteur résistant au phishing et une surveillance des volumes de consultation.
Une authentification à deux facteurs suffit-elle sur l'espace assuré ?
Elle empêche qu'un mot de passe rejoué ouvre le compte, ce qui traite l'essentiel du stuffing. Elle ne protège pas contre un proxy inverse ni contre une manipulation du titulaire, et n'empêche pas l'attaquant de savoir quels couples sont valides.
Comment traiter des millions de comptes dormants sans dégrader l'expérience ?
Par une exigence graduée : consultation courante avec un niveau standard, élévation obligatoire pour les données sensibles et les gestes à effet financier. Cela concentre la friction là où elle protège.
Le RGPD impose-t-il un niveau d'authentification en assurance ?
Il n'impose pas de méthode, mais exige des mesures adaptées au risque. Pour un espace exposant des données de santé ou de patrimoine, un secret réutilisable seul se défend mal en cas de contrôle.
Aller plus loin : le 4ᵉ facteur cognitif · le score de risque contre le credential stuffing · authentification sans mot de passe · AiTM dans l'assurance