Comment vérifier si les identifiants de votre entreprise ont fuité

Pour vérifier si les identifiants de votre entreprise ont fuité, recherchez vos domaines et les adresses e-mail de vos équipes dans les jeux de données de fuites connues et dans les logs d’infostealers, puis renouvelez tout mot de passe qui ressort et activez l’authentification multifacteur. Des outils gratuits comme Have I Been Pwned couvrent les fuites publiques en quelques minutes. Les identifiants qui n’apparaissent jamais dans ces dumps publics, ceux dérobés discrètement par un malware sur le poste d’un salarié, sont ceux qui exigent une surveillance continue.

Voilà toute la réponse. La suite explique d’où viennent les identifiants fuités, comment mener les vérifications sans rien exposer au passage, et quoi faire dès qu’un identifiant réellement compromis apparaît.

D’où viennent les identifiants d’entreprise fuités

« Fuité » recouvre trois origines différentes, et la vérification diffère un peu pour chacune.

La première est la fuite de données classique : un service utilisé par vos équipes est compromis, et sa table d’utilisateurs (e-mails et empreintes de mots de passe, parfois en clair) se retrouve échangée ou publiée. Si un salarié a réutilisé son mot de passe professionnel sur ce service, la fuite devient un problème d’entreprise.

La deuxième est le log d’infostealer. Un malware présent sur un appareil personnel ou professionnel récolte discrètement chaque identifiant enregistré dans le navigateur, chaque cookie de session et chaque saisie automatique, puis les transmet à un opérateur qui les regroupe et les revend. Ces logs font rarement la une, et c’est précisément ce qui les rend dangereux : les identifiants sont récents, liés à des sessions actives réelles, et incluent souvent des logins professionnels captés sur un appareil qui héberge aussi des comptes personnels.

La troisième n’est pas une fuite mais sa conséquence : le credential stuffing, où des attaquants rejouent des couples identifiant/mot de passe issus d’une fuite contre vos pages de connexion, en pariant sur la réutilisation. La recherche du DBIR 2025 de Verizon constate que la part quotidienne médiane du credential stuffing atteignait 19 % de toutes les tentatives d’authentification, et que l’usage d’identifiants compromis était le vecteur d’accès initial dans 22 % des fuites analysées. La réutilisation transforme un seul mot de passe fuité en plusieurs.

Comment vérifier tout de suite, gratuitement

Vous pouvez obtenir un premier constat en moins d’une heure sans rien acheter. Procédez dans l’ordre.

Recherchez les fuites publiques par domaine

Commencez par Have I Been Pwned, l’index de référence des fuites connues publiquement. Son jeu de données couvre aujourd’hui plus de 17,6 milliards de comptes issus de plus de 1 000 sites compromis, et sa recherche par domaine affiche chaque adresse compromise d’un domaine que vous contrôlez, une fois la propriété du domaine vérifiée. Vérifiez vos principaux domaines d’entreprise et lisez la liste des fuites où figure chaque adresse. Un résultat indique qu’un compte figurait dans une fuite ; il ne dit pas si le mot de passe est encore valide, d’où l’importance des deux étapes suivantes.

Vérifiez les mots de passe sans jamais les envoyer

On peut légitimement craindre que tester un mot de passe auprès d’un service de fuites revienne à le lui livrer. Les outils bien conçus l’évitent. Le service Pwned Passwords de Have I Been Pwned utilise une recherche par plage avec k-anonymat : votre client calcule localement l’empreinte SHA-1 du mot de passe et n’envoie que les cinq premiers caractères de cette empreinte. Le service renvoie tous les suffixes correspondants, et la comparaison finale se fait de votre côté : le mot de passe lui-même ne quitte jamais la machine. Utilisez ce mécanisme pour tester si un mot de passe en usage figure dans un corpus connu, et rejetez ceux qui y apparaissent.

Cherchez l’exposition par infostealer, pas seulement les fuites

La recherche par domaine trouve les dumps de fuites. Elle ne fait pas remonter, à elle seule, les logs d’infostealers, où circule désormais une large part des identifiants d’entreprise récents. Les repérer suppose d’examiner les collections de logs de stealers et les places de marché criminelles pour vos domaines et, idéalement, pour des jetons de session exposés. C’est la partie que la plupart des équipes ne peuvent pas faire à la main, et c’est pourquoi une recherche publique ponctuelle est un point de départ, pas une conclusion.

Pourquoi un seul mot de passe fuité reste rarement isolé

Ce qui rend une fuite unique digne d’attention, c’est la réutilisation des mots de passe. La même recherche de Verizon constate que, dans le cas médian, seuls 49 % des mots de passe d’un utilisateur d’un service à l’autre étaient distincts les uns des autres. Autrement dit : environ la moitié des mots de passe d’une personne typique sont partagés avec au moins un autre compte. Un mot de passe volé sur un forum sans enjeu a donc de réelles chances d’ouvrir la messagerie d’entreprise, le VPN ou la console d’administration : c’est tout le mécanisme du credential stuffing.

C’est pourquoi le nombre de comptes exposés est le mauvais indicateur à fixer, et le schéma le bon. Une fuite qui expose le login personnel d’un salarié ne vous concerne que s’il a réutilisé ce mot de passe au travail. Comme la réutilisation est invisible de l’extérieur, l’hypothèse prudente est que tout identifiant exposé appartenant à un membre de l’équipe est une piste à renouveler.

Quoi faire quand un identifiant ressort

Un résultat positif n’est pas une urgence en soi, mais il lance un compte à rebours. Quatre gestes.

Renouvelez d’abord l’identifiant concerné, avant toute investigation. Si le mot de passe est exposé, c’est sa validité qui constitue le risque, et le renouvellement le referme immédiatement. Faites-le même sans certitude que le compte a été abusé.

Activez l’authentification multifacteur partout où elle ne l’est pas déjà, en commençant par la messagerie, le VPN et tout compte d’administration ou d’authentification unique. La MFA ne rend pas un mot de passe fuité inoffensif, mais elle retire à l’attaquant la possibilité de se connecter avec le seul mot de passe, exactement le scénario dont dépend le credential stuffing.

Bloquez la réutilisation des mots de passe connus comme compromis à l’entrée. Le NIST SP 800-63B précise que les vérificateurs DOIVENT comparer les mots de passe proposés à une liste de blocage incluant les valeurs issues de corpus de fuites antérieurs, et rejeter toute correspondance en indiquant le motif. Intégrer ce contrôle à votre flux de changement de mot de passe empêche de redéfinir simplement le mot de passe fuité.

Cherchez l’usage, pas seulement l’exposition. Une fois l’identifiant renouvelé, examinez les journaux d’authentification de ce compte autour et après la date de fuite, à la recherche de connexions depuis des lieux ou appareils inhabituels. L’exposition est un avertissement ; une connexion réussie est un incident, et les deux se traitent très différemment.

Vérification ponctuelle ou surveillance continue

Une recherche manuelle répond à « figurions-nous dans une fuite connue à ce jour ». Elle est périmée dès le lendemain, car de nouvelles fuites et de nouveaux logs de stealers apparaissent sans cesse et les index publics se mettent à jour à leur propre rythme. Pour un domaine qui compte vraiment, la posture utile est une couverture permanente : une surveillance dark web continue qui scrute les dumps de fuites et les places de marché d’infostealers pour vos domaines et fait remonter les nouvelles expositions à mesure qu’elles surviennent, pour que le renouvellement se fasse en quelques jours plutôt qu’au prochain contrôle manuel.

Le choix n’est pas l’un ou l’autre. Lancez la vérification publique gratuite cette semaine pour établir une base de référence, corrigez ce qu’elle révèle, puis décidez si le risque continu justifie une couverture permanente. Pour la plupart des équipes qui détiennent des données clients ou des systèmes réglementés, c’est le cas.

Questions rapides

Comment vérifier si l’e-mail de mon entreprise figure dans une fuite ? Utilisez une recherche par domaine sur un index de fuites réputé comme Have I Been Pwned, après avoir vérifié que vous contrôlez le domaine. Elle renvoie chaque adresse de votre domaine présente dans son jeu de données, avec les fuites concernées.

Est-il prudent de saisir un mot de passe dans un vérificateur de fuites ? Avec un outil bien conçu, oui. L’approche par k-anonymat calcule l’empreinte du mot de passe sur votre appareil et n’envoie que les cinq premiers caractères de l’empreinte : le mot de passe ne quitte jamais votre machine. Évitez tout vérificateur qui demande de soumettre le mot de passe complet en clair.

Qu’est-ce qu’un log d’infostealer et pourquoi compte-t-il plus qu’une fuite ? C’est un lot d’identifiants, de cookies et de jetons de session récoltés par un malware directement sur un appareil infecté. Il compte parce que les données sont récentes et incluent souvent des logins professionnels actifs, et parce que ces logs apparaissent rarement dans les index publics de fuites sur lesquels reposent la plupart des vérifications manuelles.

Trouver un identifiant fuité signifie-t-il que nous avons été piratés ? Non. L’exposition signifie qu’un identifiant circule, pas que quelqu’un l’a utilisé contre vous. Renouvelez-le, activez la MFA et vérifiez l’historique de connexion du compte. Une connexion depuis un lieu inattendu est ce qui transforme une exposition en incident.

À quelle fréquence vérifier les identifiants fuités ? Une vérification unique ne reflète que ce qui est public aujourd’hui. Comme de nouvelles fuites et de nouveaux logs de stealers surgissent en continu, seule une surveillance permanente permet de repérer les expositions récentes près du moment où elles surviennent, plutôt que des mois plus tard.