--- title: "Mots de passe exposés : auditer le domaine et agir en 5 jours" description: "Un mot de passe réutilisé ouvre le Microsoft 365 de l'entreprise. Auditer son domaine dans les fuites et neutraliser le risque. Proposition sans engagement." language: fr url: https://www.dataroad-it.com/fr/identifiants-entreprise-fuites-de-donnees/ source: https://www.dataroad-it.com/fr/identifiants-entreprise-fuites-de-donnees/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > Un mot de passe réutilisé ouvre le Microsoft 365 de l'entreprise. Auditer son domaine dans les fuites et neutraliser le risque. Proposition sans engagement. # Mots de passe exposés : auditer le domaine et agir en 5 jours En bref Pour les décideurs pressés. - 01 Le risque n'est pas l'email dans une fuite : c'est le même mot de passe sur un compte pro. - 02 Have I Been Pwned montre tout le domaine, une fois prouvé que vous le contrôlez. - 03 Réponse : changer ce qui est exposé, MFA sur tous les comptes, gestionnaire de mots de passe. - 04 Le NIST impose le changement sur signe de compromission, et une fuite en est un. ### Dans cet article **Un seul mot de passe réutilisé suffit à un attaquant pour entrer dans la messagerie de la direction, modifier un IBAN sur une facture et détourner un paiement.** Les mots de passe exposés dans des fuites de données sont la voie la moins chère vers cette attaque. La bonne nouvelle : on peut savoir en quelques minutes quelles adresses de l'entreprise circulent dans des fuites connues et fermer la porte en une semaine : audit du domaine, changement des identifiants concernés, MFA obligatoire et gestionnaire de mots de passe. C'est ce que la cybersécurité gérée de DataRoad - IT Services and Consulting applique par défaut. ## Pourquoi votre entreprise figure-t-elle déjà dans ces listes ? Parce que l'équipe utilise l'adresse professionnelle pour tout : webinaires, boutiques en ligne, plateformes de formation, outils en version d'essai. Chacun de ces sites peut être compromis. Quand c'est le cas, les couples email/mot de passe finissent publiés ou mis en vente. Personne n'a attaqué votre entreprise. Mais si le collaborateur a repris sur Microsoft 365 le mot de passe de ce forum, l'intrus n'a rien à deviner. Le terme technique est *credential stuffing*, bourrage d'identifiants : un logiciel teste automatiquement des milliers d'identifiants volés sur des dizaines de services. L'OWASP, fondation internationale dédiée à la sécurité des applications, attribue le succès de cette technique à la réutilisation du même email et du même mot de passe. Imaginez la clé perdue d'une maison de vacances que quelqu'un essaie, simplement pour voir, sur la serrure du bureau. ## Comment auditer le domaine dans les fuites de données ? **Recherche individuelle.** Sur haveibeenpwned.com, chacun saisit sa propre adresse et voit les fuites connues qui la contiennent. Utile pour sensibiliser ; inutile pour gérer le risque de l'entreprise. **Recherche par domaine.** Pour lister d'un coup toutes les adresses @votreentreprise.pt, Have I Been Pwned exige la preuve que le domaine vous appartient. Quatre méthodes sont acceptées : - **Enregistrement TXT** Ajouté au DNS avec la valeur fournie. - **Balise meta** Placée sur la page d'accueil du site. - **Fichier HTML** Déposé sur l'hébergement. - **Email de confirmation** Envoyé à une adresse administrative du domaine. Pour qui gère le DNS, c'est l'affaire de quelques minutes. Selon la grille tarifaire du service, la surveillance est sans frais jusqu'à 10 adresses exposées ; au-delà, un abonnement payant par paliers s'applique. **Recherche de mots de passe.** Pwned Passwords recense les mots de passe déjà vus dans des fuites et permet de les vérifier sans les révéler. C'est exactement ce que demande le NIST, l'organisme de normalisation américain : comparer chaque nouveau mot de passe à des listes de mots de passe courants ou déjà divulgués, et le refuser en cas de correspondance. L'écosystème Microsoft dispose de mécanismes similaires qui bloquent les choix faibles ou déjà vus. ## Que faire quand des comptes exposés apparaissent ? | Phase | Action | Délai | | --- | --- | --- | | Inventaire | Adresses concernées, fuite d'origine et date de chacune | Jour 1 | | Rotation | Nouveaux mots de passe, en commençant par l'administration, la finance et la direction ; sessions actives fermées | Jours 1 à 3 | | Second facteur | MFA obligatoire pour chaque compte ; anciens protocoles sans MFA désactivés | Semaine 1 | | Coffre de mots de passe | Gestionnaire de mots de passe professionnel pour chacun, fin de la réutilisation | Mois 1 | ### Le changement tous les 90 jours, c'est fini ? Oui. Le NIST ne recommande plus les changements périodiques forcés. Il recommande d'exiger le changement en cas de preuve de compromission, et une adresse présente dans une fuite constitue cette preuve. ### Pourquoi le MFA est-il l'étape décisive ? Parce qu'il rend le mot de passe volé inutile : sans validation sur le téléphone, pas d'accès. Microsoft indique que le MFA, associé à la coupure de l'authentification héritée, bloque plus de 99,9 % des tentatives courantes de prise de contrôle de comptes. Détails dans [l'authentification multifacteur en entreprise](https://www.dataroad-it.com/fr/mfa-authentification-multifacteur-plan-14-jours/). ### Comment en finir avec la réutilisation ? Avec un gestionnaire de mots de passe. Personne ne retient 40 mots de passe longs et distincts ; le gestionnaire les génère, les stocke et les saisit. Le NIST veut que les systèmes acceptent ces gestionnaires et la fonction « coller », et fixe un minimum de 15 caractères lorsque le mot de passe est le seul facteur. Critères de choix dans [les gestionnaires de mots de passe professionnels](https://www.dataroad-it.com/fr/gestionnaire-mots-de-passe-entreprise/). ## Comment savoir si quelqu'un est déjà entré dans un compte ? Être exposé ne signifie pas être compromis. Ces indices exigent toutefois une réaction immédiate : - **Géographie improbable** Connexions depuis des pays sans aucune activité de l'entreprise. - **Règles de messagerie inconnues** Transfert vers l'extérieur ou suppression automatique de messages. - **Notifications MFA inattendues** Que quelqu'un peut accepter par inattention. - **Messages étranges envoyés aux partenaires** Comme des factures avec un IBAN modifié ; nous décrivons le stratagème dans [la fraude à la facture modifiée](https://www.dataroad-it.com/fr/fraude-email-iban-modifie-faux-president/). Le détecter à temps exige une supervision avec alertes. Dans les plans [IT Unlimited](https://www.dataroad-it.com/fr/support-informatique-illimite/), elle fait partie de la sécurité incluse, avec le second facteur et la protection des postes de travail. ## Comment cela fonctionne-t-il dans une entreprise de 350 postes ? Ventask est client de DataRoad depuis 2016. Elle compte aujourd'hui 350 postes sous IT Unlimited : pare-feu gérés, protection des terminaux, télétravail sécurisé et outils de cybersécurité maintenus par nos soins. À cette échelle, il y aura toujours une adresse dans une fuite ; ce qui compte, c'est la vitesse à laquelle un identifiant exposé perd toute valeur. Étude de cas complète : [Ventask : 350 postes et pare-feu sous gestion](https://www.dataroad-it.com/fr/ventask-pare-feu-geres-350-postes/). Approche complète : [cybersécurité gérée](https://www.dataroad-it.com/fr/cybersecurite-entreprise/). ## Questions fréquentes ### L'entreprise peut-elle légalement rechercher ses emails dans des fuites de données ? Oui, à condition qu'il s'agisse de son propre domaine ; la preuve de contrôle demandée par le service existe pour cela. L'objectif est de protéger les comptes professionnels, pas de surveiller la vie privée des collaborateurs. ### Une adresse dans une fuite signifie-t-elle un compte piraté ? Non. Cela signifie que l'adresse, et parfois le mot de passe, provient d'un autre service. Le danger réel dépend de la réutilisation du mot de passe au travail et de la présence du MFA. ### Faut-il imposer des changements de mot de passe mensuels ? Non. La recommandation du NIST est de changer en cas de signe de compromission ; des identifiants longs et uniques, dans un coffre et avec MFA, protègent mieux que des rotations fréquentes. ### À quelle fréquence faut-il auditer le domaine ? En continu, avec une alerte à chaque nouvelle fuite contenant des adresses de l'entreprise. Au minimum une fois par trimestre, et chaque fois qu'une fuite touche un service utilisé par l'équipe. ## Prochaine étape : audit des identifiants exposés en 5 jours ouvrés Nous recherchons le domaine dans les fuites connues, signalons chaque compte vulnérable, validons le second facteur utilisateur par utilisateur et livrons le plan de rotation et de gestionnaire de mots de passe prêt à exécuter. Proposition sans engagement. **Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone.** Appelez le +351 211 459 950 * ou écrivez à sales@dataroad.pt. **Appel vers un fixe portugais.* ## Sources - [Have I Been Pwned : valider la propriété du domaine](https://support.haveibeenpwned.com/hc/en-au/articles/15543011690767-How-do-I-verify-my-domain) - [Have I Been Pwned : grille des abonnements](https://haveibeenpwned.com/Subscription) - [Have I Been Pwned : questions fréquentes](https://haveibeenpwned.com/FAQs) - [NIST : norme SP 800-63B-4 sur l'authentification](https://pages.nist.gov/800-63-4/sp800-63b.html) - [OWASP : attaques par bourrage d'identifiants](https://community.owasp.org/attacks/Credential_stuffing) - [Microsoft Learn : paramètres de sécurité par défaut d'Entra ID](https://learn.microsoft.com/en-us/entra/fundamentals/security-defaults) Choisie par des entreprises reconnues et internationales ★★★★★ 5,0 · 52 avis Google ★★★★★ 5,0 · 52 avis Google DataRoad ## Articles associés [Infogérance et cybersécuritéÉquipes en déplacement : portables, mobiles et Wi-Fi public sûrsLe vrai risque en voyage est le portable perdu non chiffré, pas le Wi-Fi de l'hôtel. Disque chiffré, gestion centrale, MFA et connexion maît…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/cybersecurite-equipes-en-deplacement/)[Infogérance et cybersécuritéSurface d'attaque externe : ce qu'Internet voit de votre sociétéLes attaques automatisées cherchent des versions vulnérables, quelle que soit la taille de l'entreprise. En 2025, le CERT.PT a enregistré 3 …12 octobre 2026 · 6 min de lecture](https://www.dataroad-it.com/fr/surface-attaque-externe-entreprise/)[Infogérance et cybersécuritéNOC et cybersécurité gérée : qui surveille votre PME, et quandLa question n'est pas d'avoir un SOC : c'est qui reçoit l'alerte à 22 h un samedi et ce qu'il fait ensuite. Chez DataRoad, nuits, week-ends …12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/noc-soc-cybersecurite-geree-pme/)[Infogérance et cybersécuritéSécurité Microsoft 365 : les 10 contrôles qui vous incombentDans Microsoft 365, la plateforme appartient à Microsoft et les clés sont à vous. Selon Microsoft, le MFA et le blocage de l'authentificatio…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/microsoft-365-cybersecurite-geree-responsabilite/)[Infogérance et cybersécuritéRGPD et cybersécurité gérée : 10 contrôles techniques à prouverSans mesures techniques documentées, une violation de données passe d'incident IT à problème avec l'autorité de contrôle. Dix contrôles en t…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/rgpd-cybersecurite-geree-10-mesures-techniques/)[Infogérance et cybersécuritéInventaire des actifs : la base de la gestion du parc et de NIS2Sans inventaire des actifs, pas de renouvellement planifié, pas de sécurité démontrable ni de réponse au CNCS. Les entités NIS2 doivent tran…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/inventaire-actifs-gestion-parc-informatique/)[Infogérance et cybersécuritéComptes break-glass Microsoft 365 : l'assurance de l'entrepriseUn administrateur bloqué peut laisser e-mail, Teams et fichiers sans gestion pendant des jours. Les comptes break-glass sont l'administrateu…12 octobre 2026 · 6 min de lecture](https://www.dataroad-it.com/fr/comptes-break-glass-microsoft-365/)[Infogérance et cybersécuritéWindows 365 en entreprise : quand le PC cloud réduit les coûtsLe PC cloud est rentable pour consultants, saisonniers, équipes sans bureau et parcs mixtes Mac et Windows. Pour la vidéo, la CAO ou un inte…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/windows-365-pc-cloud-entreprise/)[Infogérance et cybersécuritéSauvegarde gérée : le test de restauration de 30 minutesUne sauvegarde jamais restaurée est un risque différé. En 30 minutes, un ancien document, un e-mail supprimé et un serveur démarré en isolem…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/sauvegarde-geree-test-restauration-30-minutes/) Des chiffres vérifiables **11** ans d’activité **232** clients **< 10 min** délai moyen de réponse **15+** Certifications IT de constructeurs **10+** Pays avec des clients accompagnés **5,0 ★** 52 avis Google Transparence ## Ce que beaucoup de prestataires taisent, nous le publions. [Voir les offres et les prix →](https://www.dataroad-it.com/it-unlimited/) - **Prix affichés** Essential dès 395 €/mois + TVA, Premium dès 750 € et Premium 365 dès 1 200 €. - **Sans engagement long** Contrat annuel, sans engagement et aucun frais d’adhésion. - **Tout par écrit** Ce qui est inclus, le périmètre et le prix, avant de signer. - **Support sans heures comptées** À distance et par téléphone dans tous les plans ; sur site à partir de Premium. Partenaires et certifications DataRoad · IT géré pour entreprises ## One StepAhead of IT. Nous anticipons les pannes avant qu’elles n’atteignent votre activité. Chaque réseau est conçu, documenté et géré comme s’il était le nôtre. - **11** ans d’activité, depuis 2015 - **PT · EU · US** support à distance et sur site - **Top 5%** PME · scoring.pt We do **IT** right. DataRoad IT Unlimited ## Vos sauvegardes ont-elles déjà été mises à l’épreuve ? Sauvegardes automatiques et supervisées, conservées hors des locaux. [Demander une proposition sans engagement →](https://www.dataroad-it.com/fr/#contact)+351 211 459 950 **Appel vers un fixe portugais · Plus de 10 postes · contrat d’assistance · support à distance, sur site et par téléphone[Vous ne savez pas ce qu’il vous faut ? Parlez à l’assistant →](https://www.dataroad-it.com/fr/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/fr/identifiants-entreprise-fuites-de-donnees/