En bref : qu'est-ce que le credential stuffing
- Test automatisé de paires de nom d'utilisateur et mot de passe fuités contre un endpoint de login, souvent des milliers par seconde.
- Ça marche parce qu'environ 65% des gens réutilisent les mots de passe et les compilations de brèches comme RockYou2024 exposent des milliards de paires.
- Le stack de détection : lookup HIBP, réputation IP, flags de navigateur headless, limites de vélocité, scoring de confiance de session comportemental.
En quoi le credential stuffing diffère des attaques connexes
Le credential stuffing utilise de vrais identifiants issus de fuites antérieures plutôt que de les deviner, ce qui explique pourquoi les contrôles conçus pour arrêter les attaques par devinette le laissent passer.
Credential stuffing vs force brute. Une attaque par force brute génère des tentatives de mots de passe de façon algorithmique : chaînes aléatoires, mots du dictionnaire, combinaisons de caractères. Elle ne nécessite aucune connaissance préalable du véritable mot de passe de la victime. Le credential stuffing fonctionne dans l'autre sens. Il rejoue de vraies paires e-mail/mot de passe tirées de fuites antérieures, de sorte que l'attaquant teste des identifiants qui ont déjà fonctionné sur un autre service plutôt que de les deviner.
Credential stuffing vs password spraying. Le password spraying essaie un ou quelques mots de passe courants (comme « Password1 » ou « Welcome2024 ») contre une longue liste de comptes, en restant sous les seuils de verrouillage grâce à un très faible nombre de mots de passe par compte. Le credential stuffing teste un mot de passe spécifique, celui associé à cet e-mail dans les données de fuite, contre le service visé. Il exécute une paire connue par compte plutôt qu'un mot de passe courant sur de nombreux comptes.
Comment se déroule une attaque de credential stuffing
Le credential stuffing suit un schéma constant en cinq étapes.
-
L'attaquant achète une liste d'identifiants sur une place de marché de fuites. Les listes contenant des millions de paires e-mail/mot de passe coûtent peu, et beaucoup circulent gratuitement sur les forums. Les paires proviennent de fuites antérieures survenues sur des services sans rapport entre eux.
-
Un framework automatisé teste chaque paire contre le point de terminaison de connexion visé. Il est réglé pour rester sous les limites de débit, imiter le rythme naturel des requêtes et alterner entre de nombreuses adresses IP.
-
Les requêtes sont réparties sur des réseaux de proxys résidentiels, si bien que chaque IP ne réalise que quelques tentatives de connexion. Cela maintient chaque adresse sous les limites de débit par IP et hors des listes de blocage. Une seule campagne peut couvrir des centaines de milliers d'adresses IP.
-
Les connexions réussies sont enregistrées automatiquement. Sur une liste vaste et récente, le taux de réussite se situe généralement entre 1 % et 3 %. Sur 10 millions de paires, cela représente jusqu'à 300 000 comptes fonctionnels en une seule campagne.
-
L'attaquant monétise les correspondances : en vidant les moyens de paiement enregistrés, les points de fidélité ou les données personnelles ; en revendant en gros les paires validées ; ou en injectant les comptes dans une opération de fraude plus vaste.
Pourquoi le credential stuffing fonctionne encore en 2026
Deux facteurs se cumulent en faveur de l'attaquant. Les bases de données de fuites contenant des centaines de millions d'identifiants réels sont bon marché et faciles à trouver, et la plupart des gens réutilisent encore leurs mots de passe d'un service à l'autre.
Les données de fuite sont abondantes. Le Verizon Data Breach Investigations Report 2026 a relevé des identifiants volés dans 39 % de l'ensemble des fuites de données, si bien qu'une large part des utilisateurs actifs possèdent déjà au moins une paire exposée en circulation. La matière première d'une attaque est triviale à obtenir.
La réutilisation des mots de passe reste courante malgré des années de mises en garde. Une personne qui s'est inscrite en 2019 à un service victime d'une fuite et qui a réutilisé ce mot de passe sur cinq autres sites a remis à un attaquant les clés des cinq. L'attaquant n'a pas besoin de savoir quels services la victime utilise. Il teste la paire contre les services web les plus populaires et enregistre les correspondances.
Mises bout à bout, une grande base de données de fuites et un taux de réussite même modeste produisent un nombre significatif de comptes compromis par campagne, ce qui maintient le credential stuffing en tête de l'économie de la fraude.
Trois exemples documentés
Trois incidents bien connus présentent la même structure. Dans chaque cas, l'attaquant a utilisé des identifiants issus d'une fuite sans rapport pour compromettre des comptes sur la plateforme visée, et non une faille de la plateforme elle-même.
Zoom, 2020. Après l'explosion de la visioconférence pendant la pandémie, une campagne de credential stuffing contre les comptes Zoom a produit un vaste lot d'identifiants valides mis en vente. Les identifiants ne provenaient pas d'une fuite chez Zoom. Ils résultaient du rejeu de paires précédemment divulguées contre les points de terminaison de connexion de Zoom, ce qui a montré à quelle vitesse la croissance de la base d'utilisateurs accroît l'exposition, indépendamment de la sécurité propre à l'entreprise.
PayPal, 2022. PayPal a révélé un incident de credential stuffing touchant environ 35 000 comptes. Les attaquants ont accédé à des noms, des adresses, des dates de naissance, des numéros d'identification fiscale et des données partielles de cartes. Les paires d'identifiants provenaient de l'extérieur, et non d'une compromission des systèmes de PayPal.
23andMe, 2023. Les attaquants ont utilisé le credential stuffing pour accéder à des comptes 23andMe où les utilisateurs avaient réutilisé des mots de passe d'autres services victimes de fuites. Dans les comptes où la fonctionnalité DNA Relatives était activée, ils ont rebondi via le graphe social pour atteindre les données de profil d'un ensemble d'utilisateurs bien plus vaste. Un nombre modeste de comptes directement compromis a entraîné une exposition en aval bien plus importante.
Pourquoi les défenses classiques ne suffisent pas
Les défenses les plus répandues (limitation de débit, CAPTCHA et MFA) présentent chacune des limites structurelles que les campagnes modernes sont conçues pour exploiter.
Limitation de débit par IP. La rotation de proxys résidentiels répartit l'attaque sur un immense pool d'adresses. Une règle qui bloque après cinq tentatives échouées par IP n'a aucun effet lorsque chaque IP réalise une à trois tentatives avant de changer.
CAPTCHA. Les services de résolution de CAPTCHA fonctionnent à grande échelle pour très peu d'argent. La résolution automatisée est devenue un produit banalisé, si bien que le CAPTCHA ajoute de la friction sans arrêter un attaquant déterminé qui détient une longue liste.
Réinitialisations forcées des mots de passe. Les réinitialisations sont réactives. Elles coupent l'accès une fois que l'attaquant est déjà à l'intérieur, souvent des heures ou des jours après la fin de la campagne et l'exportation des comptes.
MFA. L'authentification multifacteur est la défense standard la plus solide et réduit la surface d'attaque, mais elle ne protège que les comptes où elle est activée, et l'adoption reste souvent faible. Même lorsque la MFA est activée, les attaquants qui obtiennent un accès à la session par un autre moyen (par exemple le détournement de session après une connexion valide) demeurent une menace.
Ce qui la détecte vraiment : la corrélation d'empreintes d'appareil
Le trait caractéristique d'une campagne de credential stuffing est qu'un seul appareil, ou un petit ensemble d'appareils, tente de se connecter à de nombreux comptes différents à la suite. La rotation d'IP masque cela au niveau réseau, si bien qu'un WAF ou un limiteur de débit examinant les requêtes individuelles ne le voit jamais.
L'empreinte d'appareil au niveau du navigateur rend ce schéma visible. Lorsqu'une même empreinte d'appareil stable apparaît sur des tentatives de connexion à dix comptes différents dans un court laps de temps, c'est un signal de credential stuffing, quel que soit le nombre d'adresses IP impliquées. L'empreinte suit l'appareil, pas le chemin réseau.
cside construit une empreinte d'appareil stable qui persiste à travers la navigation privée, les connexions VPN et l'effacement des cookies, en s'appuyant sur plus de 100 signaux de navigateur par session, et expose la corrélation d'appareils entre les comptes en temps réel via une API et une balise de script. Le verdict revient avant que la connexion ne soit traitée, de sorte que votre couche d'authentification peut soumettre la tentative à un défi ou la bloquer au moment où elle se produit, au lieu de la découvrir une fois les comptes déjà vidés.
Pour un tour d'horizon complet des méthodes de détection et de l'architecture défensive, consultez le guide compagnon, Credential Stuffing : comment le détecter et l'arrêter.
Pour aller plus loin
