Une fuite d’une ampleur inédite
Le 22 juin 2025, la CNIL a relayé une alerte majeure : une base de données regroupant plus de 16 milliards d’identifiants et de mots de passe compromis a été repérée en ligne.
Cette base, qualifiée de “mother of all breaches” par Cybernews, est constituée d’agrégats provenant de multiples fuites passées.
Un outil à risque pour les cybercriminels
Facilement accessible, cette base peut être exploitée pour :
- des attaques par “credential stuffing” (essais automatisés d’identifiants),
- des tentatives d’hameçonnage personnalisées,
- des intrusions dans des comptes professionnels ou personnels.
Les recommandations de la CNIL
La CNIL appelle les entreprises et les particuliers à renforcer leurs pratiques de sécurité pour limiter les risques liés à cette exposition massive.
1. Utiliser des mots de passe uniques et robustes
Les mots de passe ne doivent jamais être réutilisés sur plusieurs services. Pour chaque compte :
- Choisir un mot de passe long et complexe (au moins 12 caractères),
- Éviter les informations personnelles (date de naissance, prénom, etc.),
- Utiliser un gestionnaire de mots de passe pour les stocker en toute sécurité.
2. Activer l’authentification à deux facteurs (2FA)
La double authentification ajoute une couche de sécurité. Même si un mot de passe est compromis, l’accès à un compte reste protégé.
3. Réagir rapidement en cas de compromission
- Vérifier régulièrement si ses identifiants ont fuité via des outils comme Have I Been Pwned,
- Changer immédiatement les mots de passe concernés,
- Surveiller les connexions suspectes sur les comptes professionnels.
Que doivent faire les entreprises ?
1. Sensibiliser les collaborateurs
Les responsables de la sécurité et les DPO doivent s’assurer que les employés :
- comprennent les risques des mots de passe faibles ou réutilisés,
- savent détecter les signes d’un piratage.
2. Mettre à jour les politiques de mot de passe
Il est essentiel d’imposer des critères minimums dans les systèmes internes et de veiller à la rotation régulière des mots de passe sensibles.
3. Auditer les accès et les pratiques
Un audit des systèmes d’accès et de gestion des identifiants peut permettre :
- d’identifier les vulnérabilités,
- de supprimer les comptes inactifs,
- de renforcer les contrôles d’accès.
Conclusion
🔐 L’exposition de 16 milliards d’identifiants rappelle que la cybersécurité passe d’abord par de bonnes pratiques d’authentification.
Les entreprises doivent réagir, adapter leurs procédures internes et former leurs équipes pour éviter des intrusions coûteuses.