Le risque n'est pas l'e-mail dans une fuite : c'est le même mot de passe qui ouvre un compte professionnel. Changer ce qui est exposé, MFA partout et gestionnaire de mots de passe.
Plus de 10 postes · contrat d’assistance · support à distance, sur site et par téléphone
Pour les décideurs pressés.
Un seul mot de passe réutilisé suffit à un attaquant pour entrer dans la messagerie de la direction, modifier un IBAN sur une facture et détourner un paiement. Les mots de passe exposés dans des fuites de données sont la voie la moins chère vers cette attaque.
La bonne nouvelle : on peut savoir en quelques minutes quelles adresses de l'entreprise circulent dans des fuites connues et fermer la porte en une semaine : audit du domaine, changement des identifiants concernés, MFA obligatoire et gestionnaire de mots de passe. C'est ce que la cybersécurité gérée de DataRoad - IT Services and Consulting applique par défaut.
Parce que l'équipe utilise l'adresse professionnelle pour tout : webinaires, boutiques en ligne, plateformes de formation, outils en version d'essai. Chacun de ces sites peut être compromis. Quand c'est le cas, les couples email/mot de passe finissent publiés ou mis en vente.
Personne n'a attaqué votre entreprise. Mais si le collaborateur a repris sur Microsoft 365 le mot de passe de ce forum, l'intrus n'a rien à deviner.
Le terme technique est credential stuffing, bourrage d'identifiants : un logiciel teste automatiquement des milliers d'identifiants volés sur des dizaines de services. L'OWASP, fondation internationale dédiée à la sécurité des applications, attribue le succès de cette technique à la réutilisation du même email et du même mot de passe. Imaginez la clé perdue d'une maison de vacances que quelqu'un essaie, simplement pour voir, sur la serrure du bureau.
Recherche individuelle. Sur haveibeenpwned.com, chacun saisit sa propre adresse et voit les fuites connues qui la contiennent. Utile pour sensibiliser ; inutile pour gérer le risque de l'entreprise.
Recherche par domaine. Pour lister d'un coup toutes les adresses @votreentreprise.pt, Have I Been Pwned exige la preuve que le domaine vous appartient. Quatre méthodes sont acceptées :
Pour qui gère le DNS, c'est l'affaire de quelques minutes. Selon la grille tarifaire du service, la surveillance est sans frais jusqu'à 10 adresses exposées ; au-delà, un abonnement payant par paliers s'applique.
Recherche de mots de passe. Pwned Passwords recense les mots de passe déjà vus dans des fuites et permet de les vérifier sans les révéler. C'est exactement ce que demande le NIST, l'organisme de normalisation américain : comparer chaque nouveau mot de passe à des listes de mots de passe courants ou déjà divulgués, et le refuser en cas de correspondance. L'écosystème Microsoft dispose de mécanismes similaires qui bloquent les choix faibles ou déjà vus.
| Phase | Action | Délai |
|---|---|---|
| Inventaire | Adresses concernées, fuite d'origine et date de chacune | Jour 1 |
| Rotation | Nouveaux mots de passe, en commençant par l'administration, la finance et la direction ; sessions actives fermées | Jours 1 à 3 |
| Second facteur | MFA obligatoire pour chaque compte ; anciens protocoles sans MFA désactivés | Semaine 1 |
| Coffre de mots de passe | Gestionnaire de mots de passe professionnel pour chacun, fin de la réutilisation | Mois 1 |
Oui. Le NIST ne recommande plus les changements périodiques forcés. Il recommande d'exiger le changement en cas de preuve de compromission, et une adresse présente dans une fuite constitue cette preuve.
Parce qu'il rend le mot de passe volé inutile : sans validation sur le téléphone, pas d'accès. Microsoft indique que le MFA, associé à la coupure de l'authentification héritée, bloque plus de 99,9 % des tentatives courantes de prise de contrôle de comptes. Détails dans l'authentification multifacteur en entreprise.
Avec un gestionnaire de mots de passe. Personne ne retient 40 mots de passe longs et distincts ; le gestionnaire les génère, les stocke et les saisit. Le NIST veut que les systèmes acceptent ces gestionnaires et la fonction « coller », et fixe un minimum de 15 caractères lorsque le mot de passe est le seul facteur. Critères de choix dans les gestionnaires de mots de passe professionnels.
Être exposé ne signifie pas être compromis. Ces indices exigent toutefois une réaction immédiate :
Le détecter à temps exige une supervision avec alertes. Dans les plans IT Unlimited, elle fait partie de la sécurité incluse, avec le second facteur et la protection des postes de travail.
Ventask est client de DataRoad depuis 2016. Elle compte aujourd'hui 350 postes sous IT Unlimited : pare-feu gérés, protection des terminaux, télétravail sécurisé et outils de cybersécurité maintenus par nos soins. À cette échelle, il y aura toujours une adresse dans une fuite ; ce qui compte, c'est la vitesse à laquelle un identifiant exposé perd toute valeur.
Étude de cas complète : Ventask : 350 postes et pare-feu sous gestion. Approche complète : cybersécurité gérée.
Oui, à condition qu'il s'agisse de son propre domaine ; la preuve de contrôle demandée par le service existe pour cela. L'objectif est de protéger les comptes professionnels, pas de surveiller la vie privée des collaborateurs.
Non. Cela signifie que l'adresse, et parfois le mot de passe, provient d'un autre service. Le danger réel dépend de la réutilisation du mot de passe au travail et de la présence du MFA.
Non. La recommandation du NIST est de changer en cas de signe de compromission ; des identifiants longs et uniques, dans un coffre et avec MFA, protègent mieux que des rotations fréquentes.
En continu, avec une alerte à chaque nouvelle fuite contenant des adresses de l'entreprise. Au minimum une fois par trimestre, et chaque fois qu'une fuite touche un service utilisé par l'équipe.
Nous recherchons le domaine dans les fuites connues, signalons chaque compte vulnérable, validons le second facteur utilisateur par utilisateur et livrons le plan de rotation et de gestionnaire de mots de passe prêt à exécuter. Proposition sans engagement.
Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone.
Appelez le +351 211 459 950 * ou écrivez à sales@dataroad.pt.
*Appel vers un fixe portugais.
Choisie par des entreprises reconnues et internationales
![MUN[it]](/assets/img/logos-c/munit.webp "MUN[it]"){kind=small}
★★★★★ 5,0 · 52 avis Google
Le vrai risque en voyage est le portable perdu non chiffré, pas le Wi-Fi de l'hôtel. Disque chiffré, gestion centrale, MFA et connexion maît…
· 7 min de lecture
Les attaques automatisées cherchent des versions vulnérables, quelle que soit la taille de l'entreprise. En 2025, le CERT.PT a enregistré 3 …
· 6 min de lecture
La question n'est pas d'avoir un SOC : c'est qui reçoit l'alerte à 22 h un samedi et ce qu'il fait ensuite. Chez DataRoad, nuits, week-ends …
· 7 min de lecture
Dans Microsoft 365, la plateforme appartient à Microsoft et les clés sont à vous. Selon Microsoft, le MFA et le blocage de l'authentificatio…
· 7 min de lecture
Sans mesures techniques documentées, une violation de données passe d'incident IT à problème avec l'autorité de contrôle. Dix contrôles en t…
· 7 min de lecture
Sans inventaire des actifs, pas de renouvellement planifié, pas de sécurité démontrable ni de réponse au CNCS. Les entités NIS2 doivent tran…
· 7 min de lecture
Un administrateur bloqué peut laisser e-mail, Teams et fichiers sans gestion pendant des jours. Les comptes break-glass sont l'administrateu…
· 6 min de lecture
Le PC cloud est rentable pour consultants, saisonniers, équipes sans bureau et parcs mixtes Mac et Windows. Pour la vidéo, la CAO ou un inte…
· 7 min de lecture
Une sauvegarde jamais restaurée est un risque différé. En 30 minutes, un ancien document, un e-mail supprimé et un serveur démarré en isolem…
· 7 min de lectureDes chiffres vérifiables
Partenaires et certifications
DataRoad · IT géré pour entreprises
Nous anticipons les pannes avant qu’elles n’atteignent votre activité. Chaque réseau est conçu, documenté et géré comme s’il était le nôtre.
We do IT right.
Sauvegardes automatiques et supervisées, conservées hors des locaux.
