Mot de passe compromis : comment le savoir, et quoi faire
dans l'ordre

Un mot de passe compromis a un sens précis : ce mot de passe figure déjà, tel quel, dans une base de fuites qui circule et que des outils publics savent interroger. Rien à voir avec un pirate qui forcerait votre compte en direct. iOS le signale dans les Réglages, Android et Chrome dans le gestionnaire de Google, en général avec la liste des comptes concernés. L'alerte est utile ; encore faut-il savoir quoi en faire, et dans quel ordre.

Personne n'est en train de taper dans votre compte pendant que le message clignote : c'est un simple avertissement, et il tombe à point. Le piège est ailleurs. On traite l'alerte à moitié : on change le mot de passe sur le site qui a prévenu, et on laisse le même mot de passe recyclé sur dix autres comptes. C'est cette moitié oubliée qui fait mal.

"Votre mot de passe a été compromis" : qu'est-ce que ça veut dire

Quand votre appareil déclare un mot de passe compromis, il fait une chose simple : il compare, de façon protégée, les mots de passe enregistrés dans votre trousseau avec des milliards d'identifiants qui circulent dans des fuites connues. Si le vôtre est dans le lot, il lève le drapeau. Reste à comprendre comment un mot de passe se retrouve dans ces bases. Il y a quatre chemins principaux, et ils n'ont pas la même gravité.

• La fuite d'une base de données. Un service que vous utilisez se fait pirater, ou expose sa base par une mauvaise configuration. Des millions de couples e-mail plus mot de passe partent dans la nature, puis sont revendus ou publiés sur des forums. C'est le cas le plus courant, et vous n'y êtes pour rien : la faille est chez eux.
• La réutilisation. C'est le vrai problème, celui qui transforme une fuite lointaine en risque direct. Si le mot de passe volé chez le service A est aussi celui de votre boîte mail et de votre banque, l'attaquant n'a plus qu'à le tester partout. Cette technique porte un nom, le credential stuffing, et elle est automatisée à grande échelle.
• Le phishing. Vous avez tapé vous-même votre mot de passe, mais sur une fausse page qui imitait le vrai site. Là, la fuite ne vient d'aucune base piratée : vous l'avez livré à un attaquant qui l'ajoute ensuite à ses propres listes.
• L'infostealer. Un logiciel malveillant installé sur une machine (souvent via un crack, une pièce jointe ou une extension vérolée) siphonne directement les mots de passe enregistrés dans le navigateur. Les "logs" de ces voleurs alimentent un marché entier, et ils sont particulièrement vicieux : ils récupèrent le mot de passe tel qu'il est, sans avoir à casser quoi que ce soit.

Le fil rouge de ces quatre scénarios, c'est qu'à un moment votre mot de passe existe quelque part en dehors de votre contrôle. Peu importe qu'il soit long ou "compliqué" : une fois fuité, sa complexité ne le protège plus. La seule réponse qui vaut, c'est de le rendre inutile en le changeant.

Vérifier qu'un mot de passe compromis l'est vraiment

Avant d'agir, autant confirmer, et comprendre où vous en êtes. Plusieurs outils font ce travail, et ils reposent tous sur le même corpus de fuites ou sur une astuce cryptographique qui vous évite de livrer votre secret.

• Have I Been Pwned, la référence. Vous y testez une adresse e-mail (dans quelles fuites elle apparaît) ou un mot de passe précis. La partie mots de passe utilise la k-anonymity : votre navigateur n'envoie que les cinq premiers caractères de l'empreinte, jamais le mot de passe. On a détaillé pourquoi c'est fiable dans notre avis sur Have I Been Pwned et sa façon de vérifier si un mot de passe a fuité.
• La vérification intégrée du téléphone. C'est elle qui a probablement déclenché l'alerte. Sur iOS, Réglages puis Mots de passe puis "Recommandations de sécurité". Sur Android et Chrome, le "Check-up des mots de passe" de Google. Les deux tournent en continu sur votre trousseau et surlignent les mots de passe fuités, réutilisés ou faibles.
• Votre gestionnaire de mots de passe. 1Password, Bitwarden et les autres intègrent la même vérification en tâche de fond, souvent avec un tableau de bord de "santé" qui liste tout ce qui doit changer. C'est le plus confortable : vous ne cherchez plus, on vous prévient.

Que faire quand votre mot de passe est compromis : l'ordre des opérations

C'est le cœur du sujet, et l'ordre compte vraiment. Changer le mot de passe sur le service touché sans traiter la réutilisation ailleurs, c'est colmater une fuite en laissant la porte d'à côté grande ouverte. Voici la séquence, de la plus urgente à la plus structurante.

Étape 1, le service directement touché. Connectez-vous et changez le mot de passe tout de suite, pour un mot de passe neuf que vous n'utilisez nulle part ailleurs. Si l'alerte vient d'une fuite ancienne et que vous avez déjà changé depuis, tant mieux, mais vérifiez que le nouveau n'est pas, lui aussi, une variante de l'ancien.

Étape 2, la réutilisation, l'étape qu'on saute toujours. Demandez-vous honnêtement où ce mot de passe servait encore. Boîte mail, réseaux sociaux, boutiques en ligne, compte professionnel : partout où c'était le même, il faut le remplacer, chacun par un mot de passe distinct. Commencez par votre adresse e-mail principale, car c'est elle qui permet de réinitialiser tous les autres comptes. Si elle tombe, tout tombe.

Étape 3, la double authentification. Activez la 2FA sur vos comptes importants, de préférence via une application d'authentification ou une clé physique plutôt que par SMS (interceptable). Encore mieux quand le service le propose : les passkeys, qui remplacent carrément le mot de passe par une clé cryptographique liée à votre appareil, et qui résistent au phishing par construction. Avec un second facteur, un mot de passe volé ne suffit plus à ouvrir la porte.

Étape 4, le gestionnaire de mots de passe. C'est ce qui transforme une corvée en réflexe. Un gestionnaire génère un mot de passe long et aléatoire par compte, le retient à votre place, et le remplit automatiquement. Vous n'avez plus qu'un seul secret à mémoriser, celui du coffre. Et comme chaque mot de passe devient unique, la réutilisation, ce moteur de propagation, disparaît d'elle-même.

Le vrai danger : quand le compte compromis est un compte pro

Changeons d'échelle. Le collaborateur qui réutilise sur son webmail d'entreprise le mot de passe déjà fuité de son compte de jeu vidéo vient d'ouvrir une porte que personne ne surveille. Pour un attaquant, ce couple e-mail professionnel et mot de passe fuité vaut un billet d'entrée : le fameux accès initial, celui par lequel commencent la plupart des intrusions et des rançongiciels.

À l'échelle d'une organisation, l'alerte du téléphone ne suffit plus. Le périmètre à couvrir n'a plus rien de commun avec deux adresses perso : chaque employé a ses comptes, les prestataires ont leurs accès, et des clés de service dorment dans des dépôts de code que plus personne ne relit. Aucune équipe ne va ressaisir tout ça à la main dans un formulaire une fois l'an. Il faut une surveillance en continu, corrélée au reste de la surface d'attaque.

C'est le rôle d'un module Leaks & Secrets de détection des identifiants exposés : il garde un œil permanent sur les identifiants et secrets rattachés à votre organisation, les relie aux bons actifs, et déclenche une alerte dès qu'une fuite touche un de vos comptes. Même logique que l'alerte de votre téléphone, mais étendue à tout un périmètre et sans dépendre de la vigilance de quelqu'un. Pour comprendre comment les identifiants s'échappent en amont, notre pilier sur les fuites de secrets et de credentials exposés détaille les mécaniques qui alimentent ces bases.

À retenir

• "Mot de passe compromis" n'est pas un piratage en direct : c'est un avertissement que ce mot de passe figure dans une fuite connue. Il faut le traiter, pas paniquer.
• Quatre origines : fuite d'une base, réutilisation, phishing, infostealer. La réutilisation est celle qui transforme une fuite lointaine en risque direct.
• Vérifiez proprement via Have I Been Pwned, la vérification intégrée de votre téléphone ou votre gestionnaire. Jamais en collant votre mot de passe sur un site inconnu.
• Agissez dans l'ordre : le service touché d'abord, puis partout où le mot de passe était réutilisé, puis double authentification ou passkeys, puis un gestionnaire pour des mots de passe uniques.
• Un compte pro qui réutilise un mot de passe fuité est un vecteur d'accès initial. À l'échelle d'une entreprise, la vérification ponctuelle laisse place à une surveillance continue et corrélée.

Vous gérez plus qu'une boîte mail personnelle ? Savoir quels identifiants de votre domaine traînent déjà dans une fuite, c'est précisément ce que couvre notre module Leaks & Secrets, brique de notre plateforme EASM. Envie d'en discuter de vive voix ? La page contact ouvre la conversation.