Journée mondiale du mot de passe : pourquoi les identifiants restent la faille la plus sous-estimée des entreprises
À l’occasion de la Journée mondiale du mot de passe, Darren Guccione, CEO & Co-Founder de Keeper Security, alerte sur un risque toujours largement sous-estimé par les organisations : la compromission des identifiants. Les mots de passe demeurent l’un des principaux points d’entrée utilisés lors des cyberattaques, en particulier lorsque les accès ne sont ni encadrés ni surveillés avec suffisamment de rigueur. Selon lui, la sécurité ne repose plus seulement sur la robustesse d’un mot de passe, mais sur la capacité des entreprises à gouverner l’ensemble des accès sensibles de manière continue.
« Chaque année, la Journée mondiale du mot de passe suscite les mêmes discussions. Et chaque année, les pirates s’engouffrent sans encombre par les mêmes portes laissées ouvertes. Les identifiants restent les points d’entrée les plus exploités lors des violations de sécurité dans les entreprises – non pas parce que le risque est méconnu, mais parce que les accès ne sont toujours pas contrôlés avec la rigueur que la menace exige. Un mot de passe compromis ne se contente pas de déverrouiller un compte. Il offre au pirate un point d’ancrage pour se déplacer latéralement, exposer des données et, dans de nombreux cas, prendre le contrôle total de l’environnement.
La force du mot de passe n’est pas le seul problème. Le véritable risque réside dans la manière dont les identifiants sont stockés, partagés et gérés entre les utilisateurs, les systèmes et les comptes de service. C’est là que la gestion des accès privilégiés (PAM) devient essentielle. Appliquer le principe du moindre privilège, faire tourner les identifiants, supprimer les accès permanents et instaurer une visibilité sur l’utilisation des identifiants modifie complètement le profil de risque.
Les clés d’accès connaissent un essor considérable au sein des institutions. Le Centre national de cybersécurité (NCSC) du Royaume-Uni et des agences américaines, dont la CISA, encouragent activement l’authentification résistante au phishing conforme aux normes FIDO – et son adoption est déjà visible dans les services publics. La voie est tracée. Malgré tout, la plupart des organisations évoluent encore dans des environnements hybrides où les mots de passe persistent. La gouvernance ne disparaît pas dans ce modèle. Elle s’étend en parallèle aux clés d’accès et aux mots de passe traditionnels.
Les mots de passe forts restent importants. Mais sans contrôle sur qui peut les utiliser, quand et dans quelles conditions, ils offrent un faux sentiment de sécurité. Les organisations qui traitent l’accès comme une configuration ponctuelle plutôt que comme un risque géré en continu ne sont pas protégées. Le problème des identifiants est soluble. Ce qui manque, c’est la volonté de régir l’accès avec la même rigueur que celle que nous appliquons à toutes les autres fonctions critiques de l’entreprise. »
