Face au phishing, le mot de passe n'offre aucune protection intrinsèque. La raison est structurelle : un mot de passe est fait pour être saisi et transmis, donc pour être donné. Sa longueur, sa complexité et sa fraîcheur ne changent rien à ce qui se produit quand l'utilisateur le communique lui-même. La seule question utile n'est pas « ce secret est-il robuste ? » mais « ce secret est-il transmissible à un tiers ? ».
Le mot de passe n'est même plus le butin recherché
Le phishing moderne s'appuie sur un proxy inverse : la victime consulte une page relais qui transmet en temps réel chaque saisie vers le service authentique et renvoie ses réponses. L'attaquant capture le mot de passe, mais ce n'est pas ce qui l'intéresse en priorité. Ce qu'il attend, c'est le cookie de session émis à l'issue d'une authentification réussie.
La conséquence pratique est mal intégrée dans beaucoup de procédures de réponse : changer le mot de passe après un incident ne ferme rien. La session volée reste active. Il faut révoquer les jetons, puis vérifier les facteurs enrôlés et les règles de redirection de messagerie.
Le mot de passe conserve toutefois une valeur pour l'attaquant, différée : il alimente le credential stuffing sur d'autres services, et il sert à préparer une campagne de MFA fatigue quand un second facteur bloque l'accès direct.
Ce qui protège encore, et dans quelle mesure
Toutes les mesures habituelles ne se valent pas. Une seule apporte une protection technique réelle, et ce n'est pas celle que l'on cite le plus souvent.
| Mesure | Protection réelle contre le phishing | Pourquoi |
|---|---|---|
| Longueur et complexité | Nulle | Le secret est donné, pas deviné |
| Renouvellement périodique | Très faible | Le délai d'exploitation se compte en minutes |
| Sensibilisation des utilisateurs | Partielle | Réduit le taux, ne l'annule jamais |
| Filtrage des messages et des domaines | Partielle | Efficace en volume, contournable en ciblé |
| Gestionnaire de mots de passe | Réelle mais indirecte | Il ne remplit pas le formulaire sur un domaine non enregistré |
| Second facteur rejouable (SMS, TOTP, push) | Faible | Relayable en temps réel par le proxy |
| Facteur lié à l'origine (FIDO2/WebAuthn) | Forte sur la connexion | La réponse n'est valide que pour le domaine légitime |
Le cas du gestionnaire de mots de passe mérite d'être souligné, car il illustre le bon principe. Sa valeur défensive ne tient pas au stockage chiffré mais au fait qu'il associe le secret à un domaine : sur une page relais hébergée sur un domaine voisin, il ne propose rien. Ce silence est un signal, à condition que l'utilisateur ait appris à l'interpréter au lieu de saisir manuellement.
C'est exactement le mécanisme que FIDO2/WebAuthn porte au niveau cryptographique avec la liaison à l'origine : la réponse est calculée pour un domaine précis et devient inexploitable ailleurs.
Pourquoi la sensibilisation ne peut pas suffire
Il faut être précis sur ce point, car les programmes de sensibilisation représentent souvent l'essentiel du budget consacré au phishing.
Le phishing ciblé n'exploite pas l'ignorance mais le contexte. Un message qui reprend un fil existant, cite une référence de dossier réelle et arrive au moment attendu ne présente aucun des signaux enseignés en formation. Les indices classiques — fautes d'orthographe, adresse d'expéditeur douteuse, ton alarmiste — ont largement disparu des campagnes soignées, et les outils de génération de contenu ont rendu la rédaction irréprochable accessible à tous.
Un programme de sensibilisation reste utile pour deux raisons : il abaisse le taux de réussite des campagnes de masse, et il crée un réflexe de signalement qui raccourcit le délai de détection. Mais concevoir une défense qui suppose que tous les utilisateurs réussissent tous les tests revient à concevoir une défense qui échouera.
Ce que change un facteur non transmissible
La sortie du problème passe par un changement de nature du secret, pas par son durcissement.
Une approche passwordless supprime la valeur transmissible. Une liaison à l'origine rend la réponse inutilisable sur un domaine relais. Une preuve d'intention ajoute une propriété que ni l'une ni l'autre n'apportent : elle porte sur l'action réellement demandée, et pas seulement sur l'ouverture d'une session.
C'est l'angle du facteur cognitif « je sais faire » : l'utilisateur démontre une intention humaine consciente au moment de l'opération, via un QR code dynamique à usage unique ouvrant un canal éphémère chiffré. Il n'y a rien à recopier sur une page relais, et rien qui conserve de la valeur une fois l'échange terminé. Un déploiement en overlay d'une MFA existante permet de commencer par les parcours les plus ciblés — messagerie, administration, validation d'opérations — sans attendre une refonte complète.
FAQ
Un mot de passe très long protège-t-il mieux contre le phishing ?
Non, et c'est contre-intuitif. La difficulté à deviner un secret n'a aucun rapport avec la facilité à l'obtenir en le demandant. Un secret de cinquante caractères communiqué sur une page relais est compromis aussi complètement qu'un secret trivial.
Le smishing et le vishing relèvent-ils de la même analyse ?
Oui, avec un canal différent. Le SMS frauduleux conduit à une page relais, l'appel frauduleux convainc directement la victime de communiquer un code ou d'approuver une demande. Dans les deux cas, la faiblesse exploitée est la transmissibilité du secret.
Que faut-il faire en priorité après un phishing avéré ?
Révoquer les sessions actives avant toute chose, puis réinitialiser les identifiants, contrôler les facteurs d'authentification enrôlés et inspecter les règles de transfert de messagerie. L'ordre compte : réinitialiser sans révoquer laisse l'attaquant en place.
Faut-il conserver le mot de passe comme premier facteur ?
Tant qu'il subsiste, il reste un point d'entrée exploitable et une charge d'assistance permanente. Le supprimer des parcours sensibles est un objectif atteignable par étapes, en commençant par les populations les plus ciblées plutôt que par une bascule générale.
Aller plus loin : authentification cognitive : le pilier · MFA résistante au phishing · mot de passe et credential stuffing · l'authentification sans mot de passe