Les mots de passe exposés : comment savoir si votre entreprise figure dans les fuites de données

7 min de lecture · DataRoad

Déterminer si les mots de passe de votre entreprise sont exposés C’est plus simple que cela paraît : avec un service comme Have I Been Pwned, et après avoir vérifié que le domaine est à vous, vous verrez en quelques minutes quels adresses de l’équipe apparaissent dans des fuites de données connues et dans lesquelles. La prochaine étape est ce qui protège réellement l’entreprise : s’assurer que aucune de ces mots de passe n’ouvre encore une compte de travail et que seul un mot de passe suffise pour y accéder.

Pourquoi cela arrive à toutes les entreprises ?

Les collaborateurs utilisent leur adresse e-mail professionnelle pour s’enregistrer sur des outils en ligne, des conférences, des magasins et des plateformes de formation. Lorsqu’un de ces services est attaqué, la liste d’adresses e-mail et mots de passe finit souvent par être publiée ou vendue. Votre entreprise n’a pas été attaquée — mais les données de votre équipe y sont présentes.

Si le mot de passe utilisé sur ce site est le même que celui de Microsoft 365, l’attaquant possède déjà la clé. Il n’a pas besoin de deviner quoi que ce soit.

Comment vérifier votre entreprise : étape par étape

Vérification individuelle

Tout le monde peut rechercher son propre email sur haveibeenpwned.com et voir où se trouvent les fuites connues. C’est utile pour sensibiliser l’équipe, mais il ne donne pas une vue d’ensemble de l’entreprise.

Verification de tout le domaine

Pour voir tous les adresses @suaempresa.pt d'un seul coup, Have I Been Pwned exige que vous prouviez que vous contrôlez le domaine. Il existe quatre façons de le faire :

1. Ajouter un enregistrement TXT au DNS du domaine avec la valeur indiquée.
2. Colloquer une étiquette meta sur la page d’accueil du site.
3. Charger un petit fichier HTML sur le serveur du site.
4. Cliquez sur un lien envoyé à une adresse d’administration du domaine.

En pratique, ceux qui gèrent le DNS ou le site le font en quelques minutes. Selon la page des prix du service, la surveillance est gratuite pour les domaines avec jusqu'à 10 adresses exposées ; les domaines plus importants nécessitent une souscription payante, avec des niveaux en fonction du nombre d'adresses exposées.

Contrôler les mots de passe, pas seulement les e-mails

Le même service dispose d'une base de mots de passe qui ont déjà été publiés en fuites, le Pwned Passwords, conçue pour être consultée sans révéler le mot de passe à celui qui le vérifie. Le NIST, l'institut américain de normes, recommande exactement cela : comparer chaque nouvelle parole de passe avec une liste de mots de passe courants ou compromis et la refuser si elle y correspond. Dans les environnements Microsoft, il existe des protections équivalentes qui bloquent les mots de passe faibles ou connus.

Que faire ensuite : le plan en 4 étapes

Échanger, mais avec discernement

Depuis des années, les entreprises ont été contraintes de changer de mot de passe tous les 90 jours. Le NIST a abandonné cette recommandation : l’orientation actuelle est de ne pas forcer les changements périodiques, mais d’obliger à un changement lorsque des indices de compromission apparaissent. Apparaitre dans une fuite de données est précisément ce signe.

MFA : l’œuvre qui change tout

Avec MFA, un mot de passe volé ne suffit plus — il faut l’approbation sur le téléphone. Selon Microsoft, la MFA combinée au blocage de l’authentification ancienne bloque plus de 99,9% des attaques courantes contre les comptes. Nous expliquons les options dans MFA : authentification multifactorielle dans l’entreprise.

Gestionnaire de mots de passe : mettre fin à la réutilisation

Personne ne peut se souvenir de 40 mots de passe différents et longs. Un gestionnaire de mots de passe les génère, les sauvegarde et les complète. Le NIST recommande que les systèmes permettent l’utilisation de ces gestionnaires et le “ coller ” des mots de passe, et exige un minimum de 15 caractères lorsque le mot de passe est le seul facteur. Voyez comment choisir et implémenter Gestionnaire de mots de passe pour les entreprises.

Les signes d’une utilisation antérieure d’un compte

L'apparition dans une fuite ne signifie pas que quelqu'un y est déjà entré. Mais il y a des signes qui nécessitent une intervention immédiate :

• Initiation de sessions depuis des pays où l’entreprise n’opère pas.
• Nouveaux règles de messagerie qui redirigent les messages vers d'autres serveurs ou les supprime.
• Demandes de MFA que le collaborateur n’a pas formulées — et que celui-ci peut approuver par erreur.
• Des clients ou fournisseurs qui reçoivent des emails étranges provenant du compte, par exemple avec un IBAN modifié — nous avons traité ce problème. Fraude par courriel : la facture modifiée.

Pour que ces signaux parviennent à quelqu'un à temps, il faut une surveillance avec des alertes — ce qui est prévu dans les plans. IT Unlimited DataRoad fait partie de la sécurité incluse, en plus de la MFA et de la protection des postes.

Un cas réel : 350 postes sous gestion de sécurité

Ventask travaille avec DataRoad depuis 2016. Aujourd'hui, il y a 350 postes chez IT Unlimited, avec la gestion des pare-feu, la sécurité des postes de travail (endpoints), les solutions de travail à distance et la maintenance des solutions de cybersécurité. Dans une entreprise de cette taille, la question n'est jamais si un courriel de l'équipe apparaît dans une fuite, mais plutôt combien rapidement un compte exposé cesse d'être une porte ouverte. Lisez l'histoire Ventask : IT Unlimited avec 350 postes et firewalls et découvrez notre approche cybersécurité pour les entreprises.

Foire aux questions

Est-il judicieux de vérifier si les courriels de mon entreprise sont en train de se faire échapper ?

Oui, pour votre propre domaine. C’est pourquoi Have I Been Pwned exige une preuve que vous en contrôlez le contrôle avant de montrer la liste complète. L’objectif est de protéger les comptes de l’entreprise, et non d’enquêter sur la vie privée des collaborateurs.

Si un e-mail apparaît dans une fuite, l’adresse e-mail a-t-elle été piratée ?

Pas nécessairement. Cela signifie que le courriel, et parfois un mot de passe, a été exposé dans un autre service. Le risque réel dépend de la possibilité que ce mot de passe soit encore utilisé au travail et de la présence ou non de MFA sur le compte.

Devons-nous obliger l'équipe à changer de mot de passe tous les mois ?

Non. L’orientation actuelle du NIST est de ne pas forcer les échanges périodiques, mais d’obliger à les effectuer lorsque des signes de compromission sont constatés. Les mots de passe longs, uniques, stockés dans un gestionnaire et protégés par MFA sont plus efficaces que des échanges fréquents.

Combien de fois devons-nous vérifier le domaine ?

L’idéal est une surveillance continue, avec une alerte dès qu’une nouvelle fuite avec les adresses de l’entreprise apparaît. Au minimum, une vérification trimestrielle et une autre chaque fois qu’une fuite est signalée dans un service que l’équipe utilise.

Verification des mots de passe exposés en 5 jours ouvrables

Nous avons vérifié votre domaine pour détecter d’éventuelles fuites de données, identifié les comptes à risque, confirmé la MFA sur toutes les comptes et avons mis en place un plan de remplacement et de gestion des mots de passe prêt à être appliqué. Pour les entreprises avec plus de 10 postes · contrat d’assistance · support distant, local et téléphonique.

Sources

• J'ai été piraté — Comment puis-je vérifier mon domaine ?
• J'ai été piraté — Tarification (domaines jusqu'à 10 adresses exposées gratuitement)
• J'ai été piraté — Foire aux questions (Recherche de domaines et mots de passe piratés)
• NIST SP 800-63B-4 — Gestion de l’authentification et des authentificateurs
• OWASP — Entretien des identités
• Microsoft Learn — Les paramètres de sécurité par défaut dans Microsoft Entra ID