Le credential stuffing consiste à rejouer automatiquement des couples identifiant / mot de passe issus de fuites antérieures sur un service qui n'a pas été compromis. En banque, sa rentabilité ne vient pas du taux de réussite — il reste faible — mais de ce que fait l'attaquant des comptes qu'il ouvre. Contrairement à une idée répandue, l'objectif immédiat est rarement le virement : c'est la reconnaissance qui précède une fraude beaucoup plus élaborée.
Pourquoi le rejeu fonctionne encore malgré la SCA
Le mécanisme repose sur une seule réalité : la réutilisation des mots de passe entre services. Un client qui emploie le même secret sur un forum et sur son espace bancaire offre à l'attaquant une clé déjà publiée. Les identifiants volés, réutilisés ou partagés figurent parmi les tout premiers vecteurs d'intrusion recensés par le Verizon DBIR, tous secteurs confondus.
La DSP2 (directive (UE) 2015/2366) impose une authentification forte avec deux facteurs de catégories distinctes, ce qui empêche qu'un mot de passe valide suffise à ouvrir l'espace client. Mais deux nuances comptent.
D'abord, la validation du mot de passe est souvent observable avant le second facteur : un message d'erreur différent, un temps de réponse différent, une redirection différente. L'attaquant apprend donc quels couples sont valides, même sans entrer.
Ensuite, tous les points d'entrée ne sont pas couverts au même niveau : applications tierces d'agrégation, interfaces de prise de rendez-vous, espaces de simulation de crédit, portails de services connexes. Ce sont ces périphéries qui portent le risque.
De la liste de couples au préjudice : la chaîne complète
| Étape | Ce que fait l'attaquant | Ce qu'il obtient | Où couper |
|---|---|---|---|
| Constitution | Agrégation de fuites publiques et de listes revendues | Millions de couples | Filtrage des mots de passe déjà compromis à l'inscription |
| Reconnaissance | Test à faible cadence depuis des adresses résidentielles | Liste de couples valides | Détection comportementale, pas seulement volumétrique |
| Qualification | Vérification du solde, du profil, du conseiller | Ciblage des comptes rentables | Limitation des informations affichées avant second facteur |
| Exploitation directe | Tentative de virement, ajout de bénéficiaire | Bloquée par la SCA si correctement appliquée | Lien dynamique montant / bénéficiaire |
| Exploitation indirecte | Appel de faux conseiller nourri des données réelles | Virement exécuté par le client lui-même | Preuve d'intention sur l'opération |
| Persistance | Modification des coordonnées de contact | Détournement des notifications | Délai de carence, notification hors bande |
La ligne décisive est l'exploitation indirecte. Le client, appelé par un interlocuteur qui connaît ses dernières opérations, exécute lui-même l'ordre. Aucun contrôle d'authentification classique ne détecte cette situation, puisque tout est fait par le titulaire légitime.
Ce qui distingue le credential stuffing des attaques voisines
Trois familles sont souvent confondues, alors qu'elles appellent des détections différentes.
Le credential stuffing rejoue des couples complets sur de nombreux comptes : peu de tentatives par compte, beaucoup de comptes. Le password spraying essaie quelques mots de passe fréquents sur beaucoup d'identifiants : même profil volumétrique, mais des mots de passe qui ne viennent d'aucune fuite. La force brute concentre de nombreuses tentatives sur un compte unique : c'est la seule des trois qu'un simple verrouillage après plusieurs échecs arrête efficacement.
Une politique de verrouillage agressive est donc une mauvaise réponse au stuffing : elle ne gêne guère l'attaquant, qui teste un mot de passe par compte, mais elle produit un déni de service sur les clients légitimes lorsque l'attaquant décide de saturer volontairement.
Contre-mesures qui tiennent en production
Filtrer les mots de passe déjà compromis. Refuser à l'inscription et au changement les secrets présents dans les corpus de fuites publiques est la mesure au meilleur rapport effort / effet. Elle tarit la matière première de l'attaque.
Détecter le comportement, pas le volume. Les campagnes modernes passent par des réseaux d'adresses résidentielles et étalent les tentatives. Les signaux utiles sont la cohérence entre le navigateur annoncé et le comportement réel, la vitesse de saisie, l'absence de navigation préalable, et la réutilisation d'empreintes sur des comptes sans lien.
Uniformiser les réponses avant le second facteur. Même message, même délai, même redirection, qu'un mot de passe soit valide ou non. C'est une modification peu coûteuse qui réduit la valeur de la reconnaissance.
Protéger les périphéries. Simulateurs, prises de rendez-vous, espaces de services annexes : ils partagent souvent le même identifiant et bénéficient rarement du même niveau de protection.
Supprimer la cible. Une approche passwordless retire le mot de passe de l'équation ; une approche IDless retire également l'identifiant. Sans couple à rejouer, une liste de fuites n'a plus de point d'application. C'est la logique du facteur cognitif, qui substitue au secret réutilisable une preuve d'intention humaine résolue dans un canal éphémère ouvert par QR code dynamique à usage unique.
Instruire le client avant l'incident. La règle « aucun conseiller ne vous demandera de valider une opération pendant un appel » n'a de valeur que si le client la connaît avant d'être appelé.
FAQ
La MFA suffit-elle à éliminer le credential stuffing ?
Elle empêche qu'un mot de passe valide ouvre le compte, ce qui est déjà l'essentiel. Elle n'empêche pas l'attaquant d'apprendre quels couples sont valides, ni de s'en servir pour rendre crédible une fraude par téléphone.
Le verrouillage après trois échecs est-il utile ?
Contre la force brute, oui. Contre le stuffing, il est peu efficace et peut se retourner en déni de service sur les clients légitimes. Une limitation adaptative par empreinte et par réseau donne de meilleurs résultats.
Faut-il notifier un client dont le mot de passe apparaît dans une fuite ?
Le forcer à en changer est plus efficace qu'une simple notification, à condition d'interdire les secrets déjà compromis. Une notification sans action laisse la porte ouverte.
Un CAPTCHA règle-t-il le problème ?
Il augmente le coût de l'attaque sans la rendre impossible, et il dégrade l'accessibilité. Il se justifie en réponse graduée sur un trafic déjà suspect, pas comme protection permanente.
Aller plus loin : authentification cognitive · mot de passe face au credential stuffing · DSP2 dans la banque · supprimer les mots de passe