Dans le secteur public, le credential stuffing poursuit un objectif qui n'existe nulle part ailleurs : capter un droit. Le rejeu automatisé de couples identifiant / mot de passe issus de fuites permet d'entrer dans un téléservice, de modifier des coordonnées bancaires, et de faire verser une prestation sur un compte contrôlé par l'attaquant. Le service n'a subi aucune fuite : c'est l'usager qui réutilisait ailleurs le secret rejoué.
Ce qui rend les téléservices particulièrement exposés
Une population sans alternative. Un usager ne peut pas changer d'administration. Il utilisera le téléservice quel que soit son niveau d'équipement, ce qui interdit d'imposer un facteur matériel ou un dispositif exigeant.
Une exigence d'accessibilité. Les contre-mesures qui reposent sur des épreuves visuelles ou sur une dextérité particulière posent un problème d'égalité d'accès au service public. Une protection qui exclut une partie des usagers n'est pas une protection acceptable.
Une fréquence d'usage faible. Comme dans l'assurance, beaucoup de comptes sont consultés une ou deux fois par an. Il n'existe donc pas de comportement de référence permettant de repérer un usage anormal.
Une valeur unitaire élevée. Un compte de téléservice social ou fiscal peut donner accès à des sommes, à des attestations, ou à des éléments d'identité réutilisables ailleurs.
Le préjudice ne se situe pas où on l'attend
| Téléservice | Ce que cherche l'attaquant | Signal exploitable | Contrôle efficace |
|---|---|---|---|
| Prestations sociales | Détournement des versements | Changement d'IBAN suivi d'une demande | Délai de carence, notification postale |
| Fiscalité | Attestations, remboursements | Modification de coordonnées bancaires | Contrôle renforcé sur le geste |
| État civil | Actes servant à d'autres fraudes | Demandes multiples depuis une empreinte | Limitation par empreinte, journalisation |
| Inscription scolaire ou périscolaire | Données familiales | Consultations en volume | Masquage par défaut du détail |
| Aides et subventions | Dossiers, versements | Dépôt anormalement rapide | Vérification d'identité renforcée |
| Espace agent | Accès applicatif interne | Connexion hors horaires ou hors zone | Facteur lié à l'origine, obligatoire |
La ligne « espace agent » se traite différemment de toutes les autres : la population est identifiée, équipée et finançable. Il n'y a aucune raison d'y accepter un mot de passe seul, et c'est le périmètre où une bascule rapide vers un facteur résistant au phishing est réaliste.
Le changement de coordonnées bancaires, verrou central
Presque toutes les fraudes aux prestations passent par le même geste : la modification de l'IBAN de versement. Trois contrôles, appliqués ensemble, en réduisent fortement le rendement.
- Une notification sur un canal indépendant de celui utilisé pour effectuer la modification. Le courrier postal, souvent considéré comme obsolète, présente ici un avantage décisif : il n'est pas contrôlable par un attaquant à distance.
- Un délai de carence avant le premier versement sur les nouvelles coordonnées.
- Une corrélation de séquence : un changement d'IBAN qui suit de peu un changement d'adresse de messagerie ou de numéro de téléphone est le marqueur le plus fiable d'une prise de contrôle. Cette règle ne demande aucun outil sophistiqué.
Une politique d'authentification graduée
L'erreur classique consiste à chercher un niveau unique pour tout le monde. Une administration a intérêt à raisonner par geste.
La consultation courante peut rester accessible avec un niveau standard, complété par une détection comportementale et une limitation par empreinte plutôt que par compte — un verrouillage par compte transforme une campagne de rejeu en déni de service sur les usagers légitimes.
Les gestes à effet financier ou identitaire justifient une élévation d'authentification, une notification hors bande et un délai.
Les comptes agents relèvent d'un régime distinct, aligné sur l'application la plus sensible du catalogue accessible via la fédération d'identité.
Perspectives réglementaires et souveraines
NIS2 (directive (UE) 2022/2555) cite l'authentification multifacteur ou continue parmi les mesures de gestion des risques attendues. Le règlement eIDAS 2 (règlement (UE) 2024/1183) engage le déploiement d'un portefeuille d'identité européen qui, à terme, offrira aux usagers un moyen d'authentification de niveau élevé sans que chaque administration ait à l'émettre.
En attendant, le levier disponible consiste à réduire la valeur d'un compte rejoué et à ancrer la preuve sur l'acte. Le facteur cognitif s'inscrit dans cette logique : sans identifiant ni mot de passe, une liste issue d'une fuite n'a plus de point d'application, et le défi résolu au moment de l'opération prouve une intention plutôt qu'une possession. L'architecture décentralisée, la biométrie traitée localement, l'absence de donnée identifiante détenue par l'éditeur et une conception française répondent par ailleurs aux exigences habituelles des marchés publics.
FAQ
Une administration peut-elle imposer une MFA à tous ses usagers ?
Difficilement sur l'ensemble du parcours, pour des raisons d'équité d'accès. Sur les gestes à effet financier ou identitaire, l'exigence est en revanche défendable et proportionnée.
Le verrouillage de compte après plusieurs échecs est-il adapté ?
Non, pris isolément. Contre une campagne qui teste un mot de passe par compte, il protège peu et expose à un déni de service massif sur les usagers. La limitation doit porter sur l'origine et l'empreinte.
Comment détecter un compte pris en main sur un téléservice peu utilisé ?
Par la séquence des gestes plutôt que par le comportement de navigation : modification de coordonnées de contact, puis de coordonnées bancaires, puis demande. Cette chaîne est plus discriminante que n'importe quel indicateur de connexion.
Faut-il forcer les usagers à changer de mot de passe ?
Plutôt interdire les secrets déjà présents dans les corpus de fuites publiques et forcer le changement uniquement pour ceux-là. Une rotation générale produit des secrets prévisibles et multiplie les sollicitations au guichet.
Aller plus loin : le 4ᵉ facteur cognitif · AiTM dans le secteur public · NIS2 et le secteur public · authentification sans identifiant