Dans l'énergie, le credential stuffing frappe sur deux fronts sans rapport l'un avec l'autre. D'un côté, les espaces clients de fourniture, avec leurs millions de comptes grand public et leurs mandats de prélèvement. De l'autre, un patrimoine bien plus critique et bien moins visible : les comptes techniques d'équipements et d'applications, dont les secrets d'usine sont documentés publiquement et n'ont souvent jamais été changés. La deuxième cible ne relève pas exactement du rejeu de fuites, mais elle en partage la mécanique et se traite avec les mêmes réflexes.
Front grand public : l'espace client de fourniture
Le rejeu automatisé de couples issus de fuites fonctionne ici pour une raison connue : la réutilisation des mots de passe. Un client dont le secret a fuité sur un service de commerce en ligne le réemploie sur son espace fournisseur.
Ce que l'attaquant y trouve est plus intéressant qu'il n'y paraît. Les données de consommation révèlent des habitudes de présence et d'absence. Le mandat de prélèvement expose des coordonnées bancaires. Les échéanciers permettent de calibrer une demande de paiement frauduleuse crédible, adressée ensuite par message au client au nom du fournisseur.
Front industriel : les secrets par défaut
Un site de production, un poste de conduite ou une installation de comptage embarque des dizaines d'équipements avec des comptes d'administration livrés avec un secret d'usine. Ces valeurs sont publiées dans les manuels des constructeurs. Un attaquant ne rejoue donc pas une fuite : il consulte une documentation.
Le Cyber Resilience Act (règlement (UE) 2024/2847), en vigueur depuis fin 2024 avec des obligations principales à horizon fin 2027, s'attaque directement à ce point en exigeant une sécurité dès la conception et l'absence de mots de passe par défaut sur les produits comportant des éléments numériques. Pour un exploitant, c'est un signal de calendrier : le parc futur sera meilleur, le parc installé reste à traiter.
| Catégorie de compte | Origine du secret | Rotation observée | Traitement prioritaire |
|---|---|---|---|
| Espace client fourniture | Choisi par le client | Rare | Filtrage des secrets compromis, MFA sur les gestes financiers |
| Compte agent bureautique | Politique interne | Régulière | Facteur lié à l'origine |
| Compte de service applicatif | Fixé au déploiement | Quasi nulle | Coffre à secrets, rotation automatisée |
| Compte d'équipement industriel | Secret d'usine | Souvent jamais | Inventaire, changement, cloisonnement réseau |
| Accès prestataire de maintenance | Contractuel | Variable | Nominativation, ouverture à la demande |
| Compte partagé d'astreinte | Historique | Nulle | Suppression, remplacement par des comptes nominatifs |
Les trois dernières lignes concentrent le risque réel. Elles échappent aux politiques de mots de passe conçues pour les humains, parce que personne ne les considère comme des utilisateurs.
Ce que NIS2 attend sur ce terrain
La directive NIS2 (directive (UE) 2022/2555) classe l'énergie parmi les secteurs hautement critiques et demande des mesures de gestion des risques mentionnant l'authentification multifacteur ou continue. Appliqué au credential stuffing, cela se traduit par trois attentes documentables : un inventaire des comptes, une politique de secrets qui couvre les comptes non humains, et une capacité à détecter puis notifier une prise de contrôle.
L'inventaire est la partie la plus ingrate et la plus décisive. Une politique excellente appliquée à un périmètre inconnu ne protège rien.
Plan de traitement réaliste
Sur le grand public. Interdire les mots de passe présents dans les corpus de fuites, uniformiser les réponses d'erreur pour ne pas révéler qu'un couple est valide, et exiger une élévation d'authentification sur les gestes à effet financier : changement d'IBAN de prélèvement, modification d'adresse, demande de remboursement.
Sur les comptes de service. Les sortir des fichiers de configuration et des scripts, les placer dans un coffre à secrets, et automatiser la rotation. Tant qu'un secret vit dans un dépôt de code, sa force n'a aucune importance.
Sur les équipements. Inventorier, changer les secrets d'usine, et surtout cloisonner : un équipement dont le compte d'administration n'est joignable que depuis un segment restreint réduit le risque même si le secret reste faible.
Sur les prestataires. Remplacer les comptes partagés par des comptes nominatifs ouverts sur une fenêtre d'intervention. Un accès permanent est un point de rejeu permanent.
Sur les gestes d'exploitation. Une manœuvre, une modification de consigne ou une ouverture d'accès temporaire méritent une preuve d'intention indépendante du compte utilisé. Le facteur cognitif répond à ce besoin sans identifiant ni mot de passe : un défi résolu au moment de l'action, dans un canal éphémère ouvert par QR code dynamique à usage unique, avec un enrôlement hors ligne adapté aux sites où la connectivité n'est pas garantie.
FAQ
Le credential stuffing peut-il atteindre un système de conduite ?
Pas directement depuis Internet dans une architecture correctement segmentée. Le risque provient des chemins d'accès légitimes — bureautique, télémaintenance, VPN — et des comptes techniques joignables depuis des segments trop larges.
Faut-il imposer une MFA sur les espaces clients grand public ?
Sur l'ensemble du parcours, la friction est difficile à justifier. Sur les gestes à effet financier, elle est nécessaire. La bonne granularité est le geste, pas la session.
Comment traiter un équipement qui n'accepte pas de secret complexe ?
En le considérant comme non protégeable par le secret, donc en le cloisonnant strictement au niveau réseau et en journalisant les accès. Le remplacement se planifie ensuite, à l'échéance du parc.
Les comptes de service doivent-ils avoir une MFA ?
Ils ne peuvent généralement pas en avoir, faute d'interaction humaine. La réponse est ailleurs : secrets longs et uniques stockés dans un coffre, rotation automatique, restriction d'origine, et surveillance des usages anormaux.
Aller plus loin : authentification cognitive · le mot de passe face au credential stuffing · NIS2 dans l'énergie · le coût caché du mot de passe