Une analyse de plus de 19 milliards de mots de passe divulgués révèle une réalité inquiétante : 94 % sont prévisibles, faibles ou réutilisés.

À l’ère de l’intelligence artificielle, du edge computing et de l’informatique quantique, des millions de personnes continuent de protéger leurs comptes en ligne avec des mots de passe tels que "123456", "password" ou leur propre nom. C’est ce que montre l’analyse la plus complète à ce jour sur les mots de passe divulgués lors d’incidents de cybersécurité survenus entre 2024 et 2025.

L’étude révèle qu’à peine 6 % des mots de passe analysés sont uniques, tandis que la majorité présente des motifs communs, faciles à deviner et hautement vulnérables aux attaques automatisées.

Mots de passe peu sûrs en 2025 : principales conclusions

• 42 % des mots de passe contiennent entre 8 et 10 caractères, avec huit comme longueur la plus courante.
• 27 % se composent uniquement de lettres minuscules et de chiffres.
• À peine 19 % incluent des lettres majuscules, des minuscules, des chiffres et des symboles.
• "123456" reste le mot de passe le plus courant, présent dans plus de 338 millions de comptes.
• Des mots comme "admin", "password", les noms propres (surtout "Ana") et des termes positifs tels que "amour", "soleil" ou "rêve" sont extrêmement populaires.
• On trouve également des mots offensants et vulgaires ainsi que des références à la culture pop comme "Mario", "Batman" ou "Elsa".

Pourquoi est-ce un problème critique ?

En matière de cybersécurité, les mots de passe faibles sont des portes ouvertes. Les attaques par force brute et le credential stuffing — où les cybercriminels essaient des millions de combinaisons issues de fuites — deviennent de plus en plus sophistiqués. Même un taux de réussite de 0,2 % peut entraîner des milliers de comptes compromis.

De plus, ces identifiants sont souvent vendus et réutilisés dans des chaînes d’attaques plus complexes, incluant :

• Accès aux comptes bancaires et services financiers.
• Vol d’identité et fraude numérique.
• Accès à des infrastructures d’entreprise.
• Déploiement de ransomwares ou de malwares personnalisés.

Modèles les plus fréquents en 2025

1. Mots de passe par défaut et séquences de clavier

   • Malgré les avertissements, "123456", "admin" et "qwerty" demeurent les plus utilisés. Les mots de passe préconfigurés par des dispositifs comme des routeurs ou des mobiles restent souvent inchangés après l’installation.

2. Utilisation de noms, de dates et de mots courants

   • Les noms propres, surtout "Ana", apparaissent dans près de 1 % des mots de passe. D’autres composants fréquents incluent des mots comme "banana", "lundi", "dieu", "pizza", "liberté" ou "été".

3. Combinaisons offensives

   • Étonnamment, des millions de mots de passe contiennent des termes comme "merde", "putain", "bite" ou "chienne", utilisés pour la personnalisation mais courants dans les dictionnaires de mots de passe.
4. Mots de passe simples et structures pauvres
   • Un pourcentage élevé de mots de passe ne comprend pas de symboles ni de majuscules. Seul 19 % atteint un minimum de complexité, bien loin des normes recommandées par les experts en sécurité.

Distribution de la composition des mots de passe

Une visualisation fondée sur l’analyse montre que :

• 28 % utilisent des minuscules et des chiffres.
• 28 % mélangent majuscules, minuscules et chiffres.
• 19 % incluent lettres, chiffres et symboles.
• Le reste se répartit entre mots de passe uniquement numériques, uniquement en minuscules ou d’autres motifs.

Recommandations clés pour utilisateurs et entreprises

Pour les utilisateurs :

1. Utilisez des mots de passe longs (minimum 12 caractères) et variés.
2. Ne répétez jamais de mots de passe entre différents services.
3. Évitez d’utiliser votre nom, des dates ou des mots reconnaissables.
4. Activez la vérification en deux étapes (2FA) toujours que possible.
5. Utilisez un gestionnaire de mots de passe fiable.

Pour les organisations :

• Imposez des politiques de mots de passe robustes, avec expiration périodique.
• Appliquez une détection proactive des identifiants divulgués.
• Surveillez les accès et les comportements anormaux.
• Éduquez et formez le personnel sur les bonnes pratiques de cybersécurité.
• Implémentez des outils de protection contre les attaques de credential stuffing.

Conclusion

Le rapport souligne que, malgré les avancées technologiques, la sécurité de millions de comptes repose encore sur des mots de passe faibles. Dans un contexte où les attaques sont automatisées et mondiales, continuer à utiliser "123456" revient à laisser la porte ouverte aux attaquants.

Investir cinq minutes pour créer un mot de passe fort peut vous éviter des mois de tracas, de pertes financières et de risques pour votre réputation.