Réutilisation des mots de passe : tu ne peux pas le savoir

En brefTu ne peux pas le savoir, et c’est exactement le problème. La réutilisation des mots de passe ne laisse aucune trace dans tes systèmes. C’est pour ça que la MFA et un gestionnaire de mots de passe valent plus que n’importe quelle consigne affichée dans la cuisine. Et une simulation de crise de 30 minutes, autour d’une table, te dira où tu en es vraiment.

« Est-ce que vos employés réutilisent leurs mots de passe? »

En général, la réponse arrive vite, en réunion : non, on leur a expliqué. On a fait une formation l’an passé. Il y a même une affiche dans la cuisine.

La vraie question n’est pas de savoir si tes employés réutilisent leurs mots de passe. C’est : comment ferais-tu pour t’en apercevoir?

Alors prends dix secondes avant de continuer. Quel rapport, quel outil, quelle alerte te le dirait? Si rien ne te vient, tu n’as pas un problème de formation. Tu as un angle mort.

Pourquoi tu ne peux pas le savoir

D’abord, le même mot de passe est rarement à un seul endroit. Il sert pour les comptes personnels, pour le compte de travail, et parfois pour plusieurs systèmes internes chez toi. Le plus souvent avec de légères variantes : un chiffre à la fin, une majuscule, l’année en cours.

Ces variantes ne protègent de rien. Quand un mot de passe se retrouve dans une fuite, les outils des attaquants en génèrent automatiquement des centaines de déclinaisons et les essaient toutes. Automne2025! mène à Automne2026! en une fraction de seconde.

Ensuite, la fuite ne vient presque jamais de chez toi. Elle vient d’une boutique en ligne, d’un forum, d’un service de streaming, du portail d’un ancien employeur. Autrement dit, l’événement qui déclenche le problème se produit à un endroit où tu n’as aucune visibilité.

Ces identifiants volés se retrouvent ensuite dans des listes, et quelqu’un les essaie automatiquement sur des milliers de services, dont Microsoft 365. C’est ce qu’on appelle le bourrage d’identifiants, ou credential stuffing. Si ton employé utilisait le même mot de passe pour son compte de travail, la connexion fonctionne.

Et dans tes journaux, ça ressemble à quoi? À une connexion réussie. Le bon nom d’utilisateur, le bon mot de passe. Rien d’anormal à signaler. C’est précisément ce qui rend cette menace différente des autres : il n’y a pas d’effraction à détecter.

D’ailleurs, selon le rapport 2026 de Verizon sur les violations de données, le vol d’identifiants demeure l’un des deux premiers points d’entrée des violations, juste derrière l’exploitation de vulnérabilités.

La règle Ékivo : arrête de gérer le comportement, change l’architecture

Tu ne peux pas contrôler ce qu’un employé fait avec son mot de passe sur un site externe. Tu peux par contre faire en sorte que ça ne suffise plus pour entrer chez toi. Trois décisions, par ordre d’impact.

La MFA partout

Un mot de passe volé ne donne plus accès à rien tout seul. Sur tous les comptes, pas juste la direction, et sur tous les services exposés à Internet.

Un gestionnaire fourni par l’entreprise

Si tu veux des mots de passe uniques, il faut que ce soit plus facile que de réutiliser le même. C’est l’entreprise qui paie l’outil, pas l’employé.

Une surveillance des fuites

Être averti quand une adresse de ton domaine apparaît dans une brèche. C’est la seule façon d’avoir une réponse à la question du début.

Surtout, remarque ce que ces trois décisions ont en commun. Aucune ne dépend de la discipline d’un employé un mardi après-midi.

Pourquoi la consigne dans la cuisine ne tient pas

La sensibilisation reste utile, mais seule, elle demande quelque chose d’irréaliste. Une personne gère aujourd’hui des dizaines de comptes, parfois plus de cent. Lui demander un mot de passe unique et complexe pour chacun, sans outil, c’est lui demander d’être une base de données.

Alors elle fait ce que tout le monde fait. Un mot de passe de base avec des variantes. Un chiffre à la fin qu’on incrémente. Le même mot de passe pour les comptes « pas importants », sauf que la définition de pas important est très personnelle.

En fait, ce n’est pas de la négligence. C’est tout simplement la seule stratégie viable quand on n’a pas d’outil.

Trois questions à te poser maintenant

Prends une minute et réponds pour ton entreprise, pas en théorie.

Si le mot de passe du courriel de ta contrôleuse apparaissait demain dans une fuite, combien de temps avant que quelqu’un s’en aperçoive?
Qui, dans ton entreprise, peut se connecter à un système d’affaires sans MFA en ce moment?
Où sont les mots de passe partagés : le compte bancaire, le portail du fournisseur, les réseaux sociaux? Dans un fichier Excel, dans un courriel, sur un papier?

Donc, si tu hésites sur une des trois, tu viens de trouver ton prochain chantier.

Les comptes partagés, l’angle mort dans l’angle mort

Par ailleurs, la réutilisation individuelle n’est pas le seul problème. Les comptes partagés en sont un autre, souvent pire, parce qu’ils n’apparaissent dans aucun outil de gestion des identités.

Le compte du fournisseur de transport que trois personnes utilisent. Le portail de la municipalité avec le mot de passe écrit dans un courriel de 2021. La page Facebook de l’entreprise, avec le mot de passe de l’ancienne adjointe.

Par exemple, quand quelqu’un quitte, tu désactives son compte Microsoft 365. Les comptes partagés, eux, gardent le même mot de passe. Un gestionnaire de mots de passe d’entreprise règle ça : les accès se partagent sans que le mot de passe soit connu, et se retirent d’un clic.

Ce que recommande le Centre canadien pour la cybersécurité

Par chance, ses conseils sont clairs et faciles à transmettre à ton équipe :

une phrase de passe plutôt qu’un mot de passe : au moins quatre mots et quinze caractères, plus facile à retenir et plus difficile à casser;
un minimum de douze caractères quand une phrase de passe est impossible;
un mot de passe unique pour chaque compte;
un gestionnaire qui signale les mots de passe faibles ou recyclés et qui avertit quand un mot de passe semble avoir fait l’objet d’une fuite;
la MFA (authentification multifacteur, ou AMF en français) en plus du mot de passe, jamais à sa place.

De plus, le Centre recommande, en cas de fuite, de changer immédiatement le mot de passe concerné et ceux de tous les comptes où il a été réutilisé. Ce qui suppose de savoir lesquels. Encore une fois, sans gestionnaire, personne ne le sait.

La simulation de crise : 30 minutes pour savoir où tu en es

C’est la partie que presque personne ne fait, et pourtant celle qui change la conversation. En pratique, c’est une simulation sur papier, ce que les spécialistes appellent un tabletop exercise. Aucun système n’est touché, rien n’est interrompu. Juste des gens autour d’une table qui répondent à « qu’est-ce qu’on fait, là, maintenant? ».

Le scénario à lire à voix haute

Voici le scénario à utiliser, tel quel.

Lundi, 8 h 10. Un fournisseur appelle : il n’a jamais reçu les deux derniers paiements. En vérifiant, vous découvrez que les factures ont été modifiées et payées dans un autre compte bancaire. Les courriels venaient bien de la boîte de votre contrôleuse. Elle n’a rien envoyé.

Les six questions à poser autour de la table

Qui remarque le problème en premier, et comment? Un appel de fournisseur, une alerte, une règle de boîte de réception suspecte?
Qui coupe l’accès, et en combien de temps? Qui a le droit de réinitialiser le compte et de fermer les sessions actives, un lundi matin?
Comment savoir ce qui a été consulté? Est-ce que tu as les journaux, et sur combien de temps en arrière?
Qui appelle la banque, les fournisseurs, les clients? Et qui parle au nom de l’entreprise?
Quelles sont tes obligations? Si des renseignements personnels étaient dans cette boîte, l’incident va dans ton registre, et la Commission d’accès à l’information doit être avisée s’il y a un risque de préjudice sérieux.
Et ce mot de passe, il était où d’autre? La question qui fait le plus mal, et celle à laquelle tu dois pouvoir répondre.

Deux règles d’animation

Enfin, deux règles pour que ça fonctionne. Aucun blâme : l’exercice sert à trouver les trous dans le processus, pas le coupable. Et on note tout ce qui provoque un silence dans la salle. Ces silences sont ton plan d’action.

Dans les PME québécoises, c’est souvent la cinquième question qui crée le plus long silence. Les obligations de la Loi 25 sont rarement claires avant qu’on se les fasse poser à froid.

Bon à savoir : la MFA et la gestion des mots de passe reviennent dans presque tous les questionnaires de cyber assurance. Les mêmes contrôles servent à démontrer que tu as pris des mesures raisonnables au sens de la Loi 25. Si tu veux que ce soit déployé, surveillé et testé plutôt que laissé à la bonne volonté de chacun, c’est le travail qu’on fait avec Ékivo Fortify, notre service de cybersécurité gérée pour PME.

Questions fréquentes

La MFA rend-elle la réutilisation des mots de passe sans conséquence?

Non. En effet, la MFA bloque l’accès direct aux comptes qu’elle protège, comme Microsoft 365. Elle ne protège pas les services tiers où le même mot de passe est utilisé sans MFA, et elle n’empêche pas les attaques de lassitude, où un attaquant bombarde l’employé de notifications jusqu’à ce qu’il approuve. C’est pour ça qu’on privilégie une MFA résistante à l’hameçonnage et qu’on garde quand même des mots de passe uniques.

Le gestionnaire du navigateur, est-ce suffisant?

C’est mieux que rien pour un usage personnel. Cependant, en entreprise, il manque l’essentiel : le partage sécurisé des comptes communs, le retrait des accès au départ d’un employé, la visibilité sur les mots de passe faibles ou recyclés et l’alerte en cas de fuite.

Faut-il forcer le changement de mot de passe tous les 90 jours?

C’est une pratique en voie d’abandon, car elle pousse les gens vers des variantes prévisibles, du genre Automne2026!, qui ne protègent de rien. Mieux vaut des mots de passe longs et uniques, changés quand il y a un doute ou une fuite.

Combien de temps prend une simulation de crise?

Trente minutes pour une première fois, avec la direction, la personne responsable des TI et une ou deux personnes des opérations. L’objectif n’est pas de finir le scénario, c’est de voir où les réponses manquent. Pour une simulation de plus grande portée, avec plusieurs équipes ou un scénario complet, on travaille avec une partenaire spécialisée.

Alors, comment le saurais-tu?

Reprends les trois questions du milieu de l’article, puis fais la simulation de crise avec ton équipe. Tu peux le faire seul, cette semaine, sans outil et sans budget.

Si tu préfères qu’on anime la simulation avec ton équipe et qu’on regarde ce que tes systèmes montrent vraiment, parlons-en. On accompagne des PME des Laurentides et d’ailleurs au Québec, et en 30 minutes tu repars avec tes prochaines étapes.

Réserver un appel de découverte

Tes employés réutilisent-ils le même mot de passe sans que tu le saches?