Les chercheurs ont analysé plus de 19 milliards de mots de passe divulgués.
Seulement 6 % étaient uniques (Cybernews, 2026).
Les 94 % restants étaient soit des réutilisations exactes de mots de passe déjà observés lors de précédentes violations de données, soit de légères variations sur des schémas courants.
Cette simple constatation explique la plupart des façons dont les comptes sont piratés.
Les attaquants n'ont pas besoin de déchiffrer quoi que ce soit. Ils essaient simplement des mots de passe existants.
Voici ce que montrent les données, et la solution gratuite qui permet d'enrayer la quasi-totalité du problème. 🔑
🎁 Comparer les versions d'essai des gestionnaires de mots de passe →
🧾 Principaux résultats en bref
| Mesure | Chiffre | Source |
|---|---|---|
| Analyse des mots de passe divulgués | Plus de 19 milliards | Cybernews (2026) |
| Partager ce qui était unique | 6% | Cybernews (2026) |
| Les personnes qui réutilisent leurs mots de passe | Environ 48% | Gitnux (2026) |
| Nombre moyen de réutilisations d'un mot de passe | 14 | Gitnux (2026) |
| Trafic de bots utilisant le bourrage d'identifiants | 18% | Frappe profonde (2026) |
| Les violations de données commencent par des identifiants volés. | 22 %, contre 31 % auparavant | Rapport d'impact de Verizon (2025) |
| Réduction des compromissions de compte dans le cadre de l'authentification multifacteur | 99,22% | Microsoft (2026) |
| Même chose, lorsque le mot de passe a déjà fuité. | 98,56% | Microsoft (2026) |
🔍 Ce que les 19 milliards nous disent
C’est l’ampleur de cette analyse qui la rend convaincante.
Dix-neuf milliards de mots de passe, ce n'est pas un sondage. C'est presque un recensement des fuites de données.
🥧 Sur 19 milliards de mots de passe divulgués, combien étaient uniques ?
Que signifie réellement « non unique » ?
Deux catégories, et toutes deux sont exploitables.
Certains correspondaient exactement à des mots de passe déjà divulgués lors de précédentes violations de données.
D'autres modifications étaient mineures, comme l'ajout d'un chiffre ou le remplacement d'une lettre par un symbole.
Les attaquants testent les deux, car les schémas de variation sont parfaitement prévisibles.
Pourquoi ajouter « 1 » à la fin n'aide pas
Les outils de devinette de mots de passe appliquent les mêmes transformations que vous.
Mettez une majuscule à la première lettre. Ajoutez une année. Remplacez le « a » par « @ ».
Ce sont les premières choses essayées, pas des solutions de dernier recours ingénieuses.
Les chiffres de réutilisation qui le sous-tendent
Environ 48 % des personnes réutilisent leurs mots de passe sur différents sites (Gitnux, 2026).
En moyenne, une personne réutilise son mot de passe 14 fois.
Une seule fuite ne révèle donc pas un seul compte, mais quatorze.
🤖 Comment fonctionne le bourrage d'identifiants
C’est cette attaque que permet la réutilisation des données, et elle est d’une simplicité désespérante.
| Étape | Ce qui se produit |
|---|---|
| 1 | Un site est piraté, des identifiants sont divulgués. |
| 2 | Des listes sont compilées et échangées. |
| 3 | Des bots les testent par rapport à d'autres services |
| 4 | Un faible pourcentage de travail |
| 5 | Ces comptes sont vidés ou revendus |
Il n'y a ni piratage, ni ruse, ni ciblage.
Il s'agit d'un système de devinettes automatisé qui fonctionne car les gens réutilisent leurs mots de passe.
Le volume impliqué
Environ 18 % du trafic de bots observé est du bourrage d'identifiants (Deepstrike, 2026).
Chez les fournisseurs de services d'authentification unique, environ 19 % des tentatives d'authentification quotidiennes sont des tentatives de bourrage de requêtes.
Près d'une tentative de connexion sur cinq est une attaque.
Pourquoi un faible taux de réussite est suffisant
Les taux de réussite par tentative sont infimes, souvent bien inférieurs à 1 %.
Cela n'a aucune importance quand on peut tenter des millions de connexions à moindre coût.
L'automatisation transforme un faible taux de réussite en une activité fiable.
Que font les attaquants avec les comptes
Cela dépend du contenu du compte.
Informations de paiement enregistrées, points de fidélité ou accès à un système professionnel.
Souvent, le compte est tout simplement revendu, car un identifiant et un mot de passe vérifiés ont de la valeur.
🔎 Essayez gratuitement les outils de sécurité →
✅ La solution et son efficacité
L'authentification multifacteurs est exceptionnellement bien documentée.
Microsoft a étudié la compromission de comptes au sein d'une très large population.
L'authentification multifacteur a réduit le risque de compromission de 99,22 %. (Microsoft, 2026).
Et voici le chiffre qui importe le plus pour cet article.
📊 Réduction des compromissions de comptes grâce à l'authentification multifacteur
La deuxième barre est la plus importante.
Même lorsque le mot de passe avait déjà fuité, l'authentification multifacteur a empêché 98,56 % des compromissions.
Cela signifie qu'un mot de passe volé devient quasiment inutile en soi.
Le bourrage d'identifiants repose entièrement sur la suffisance du mot de passe. L'authentification multifacteur (MFA) élimine cette condition.
Autres figures de soutien
L'authentification multifacteur (MFA) bloque environ 99,9 % des attaques automatisées.
Il empêche environ 96 % des attaques de phishing de masse et 76 % des attaques ciblées (Deepstrike, 2026).
Remarquez la baisse des attaques ciblées, ce qui est honnête et important.
⚠️ Tous les MFA ne se valent pas
C’est là que la plupart des articles s’arrêtent, et que commencent les détails utiles.
L’« authentification multifacteur » (MFA) englobe tout, du code envoyé par SMS à la clé matérielle.
Les attaquants ont appris à vaincre les formes les plus faibles.
| Méthode | Force | Principale faiblesse |
|---|---|---|
| Code SMS | le plus faible | Échange de carte SIM, interception |
| Code de messagerie | Faible | La sécurité dépend uniquement du compte de messagerie. |
| Code de l'application d'authentification | Bien | Piège à hameçonnage si vous le saisissez dans |
| Approbation de la poussée | Bien | Lassitude face à l'approbation |
| Clé d'accès ou clé matérielle | Le plus fort | Perte de l'appareil, nécessite une sauvegarde |
La rangée du bas est décrite comme résistante au phishing pour une raison précise.
Un code d'accès est lié au véritable site web, il ne peut donc pas être communiqué à un faux site.
Pourquoi les SMS restent utiles
Le SMS est la forme la plus rudimentaire, et c'est tout de même infiniment mieux que rien.
L'écart entre l'absence d'authentification multifacteur et l'authentification multifacteur par SMS est bien plus important que l'écart entre l'authentification par SMS et l'utilisation d'un code d'accès.
Ne laissez pas la recherche de la meilleure option vous empêcher d'activer n'importe quelle option.
Le problème de la lassitude face à l'approbation
Les notifications push vous demandent d'approuver une connexion en un seul clic.
Les attaquants envoient des requêtes répétées jusqu'à ce que quelqu'un appuie dessus pour les arrêter.
Si vous recevez une demande d'approbation que vous n'avez pas déclenchée, refusez-la et changez ce mot de passe.
📉 Une bonne nouvelle
La tendance s'améliore en réalité, ce qui est rarement rapporté.
Verizon a découvert que les identifiants volés constituaient la voie d'accès initiale. 22 % des violations, contre 31 % auparavant (Verizon, 2025).
Il s'agit d'une baisse significative sur une seule période de déclaration.
Pourquoi est-ce que ça tombe ?
L'adoption de l'authentification multifacteur a fortement augmenté sur les principales plateformes.
De nombreux services l'activent désormais par défaut au lieu de le proposer.
Dans certains endroits, les clés d'accès ont également commencé à remplacer complètement les mots de passe.
Ce que cela ne signifie pas
Les identifiants restent la deuxième méthode d'accès la plus courante.
Une baisse de 31 % à 22 % représente un progrès, pas une résolution.
L'attaque fonctionne toujours sur tous ceux qui n'ont pas activé l'authentification multifacteur.
📉 La tendance, illustrée
Le chiffre de Verizon mérite d'être vu plutôt que simplement lu.
📊 Les violations de données commencent par le vol d'identifiants
Une progression de neuf points en une seule période de reporting représente une hausse substantielle.
Il s'agit de l'un des rares indicateurs de sécurité qui s'améliorent réellement.
Pourquoi cela mérite d'être remarqué
La couverture médiatique des questions de sécurité est systématiquement négative, ce qui rend les progrès réels invisibles.
Les mécanismes de défense fonctionnent parfois, et l'accord multifamilial en est l'exemple actuel le plus clair.
Ne rapporter que les mauvais chiffres rend les gens fatalistes, ce qui n'est bénéfique à personne.
Les 22% restants
Les identifiants restent la deuxième méthode d'intrusion la plus courante pour les pirates.
L'amélioration est due aux personnes qui ont activé l'authentification multifacteur.
Ceux qui ne l'ont pas fait restent pleinement exposés à la même attaque.
🔐 Que faire concrètement
Cinq étapes, classées par ordre de valeur par minute passée.
| Étape | Temps | Effet |
|---|---|---|
| 1. Activez d'abord l'authentification multifacteur (MFA) sur votre messagerie. | 3 minutes | L'email réinitialise tout le reste |
| 2. Activez l'authentification multifacteur (MFA) pour les opérations bancaires et professionnelles. | 10 min | Comptes de plus grande valeur |
| 3. Installez un gestionnaire de mots de passe | 20 min | Permet de créer des mots de passe uniques |
| 4. Modifiez les mots de passe réutilisés sur les comptes importants | 30 min | Rompt la chaîne de réutilisation |
| 5. Vérifiez que votre messagerie électronique ne figure pas dans les bases de données de violations de données. | 2 minutes | Vous révèle ce qui a déjà fuité |
La première étape compte plus que toutes les autres réunies.
Pourquoi le courrier électronique est prioritaire
Votre compte de messagerie peut réinitialiser le mot de passe sur presque tous les autres services.
Un attaquant qui le contrôle contrôle tout ce qui se trouve en aval.
La sécurisation des courriels ne se limite pas à un seul compte. C'est la clé principale.
Pourquoi un gestionnaire de mots de passe est un outil indispensable
Personne ne peut se souvenir de 100 mots de passe différents. Ce n'est pas un manque de discipline.
Un gestionnaire supprime la nécessité de se souvenir, ce qui supprime toute raison de réutiliser.
Cela transforme une habitude impossible à résoudre en un problème résolu.
Vous n'avez pas besoin de tout changer.
Changer 200 mots de passe est un projet que personne ne termine.
Modifiez les éléments importants : courriel, compte bancaire, emploi, tout ce qui contient des informations de paiement.
Laissez le reste être remplacé progressivement au fur et à mesure de vos connexions.
🔑 Clés d'accès : Qu'est-ce qui change réellement ?
La solution à plus long terme consiste à supprimer complètement les mots de passe.
Des mots de passe sont déjà disponibles sur les principales plateformes, et leur fonctionnement diffère.
| Mot de passe | Clé d'accès | |
|---|---|---|
| Ce dont vous vous souvenez | Un secret | Rien |
| Stocké sur le serveur | Un hachage de votre secret | Une clé publique uniquement |
| Valeur en cas de piratage du serveur | Haut pour les attaquants | Inutile aux attaquants |
| Peut être victime d'hameçonnage | Oui | Non — lié au site réel |
| Peut être réutilisé sur plusieurs sites | Oui, et les gens le font | Impossible |
La troisième ligne est celle qui résout tout le problème de cet article.
Un serveur compromis contenant des clés d'accès ne divulgue rien qu'un attaquant puisse utiliser.
Pourquoi le phishing cesse de fonctionner
Une clé d'accès est liée cryptographiquement à l'adresse réelle du site web.
Présentez-lui un domaine similaire et il ne répondra tout simplement pas.
Vous ne pouvez pas vous laisser berner et le remettre, car il n'y a rien à remettre.
Les mises en garde pratiques
Les clés d'accès sont liées aux appareils et aux comptes, la perte d'un appareil a donc des conséquences.
Mettez en place un plan de récupération avant de vous y fier.
Et le support reste inégal, donc les mots de passe continueront de coexister pendant des années.
Que faire maintenant
Activez les mots de passe lorsqu'ils sont proposés, notamment pour la messagerie et les comptes importants.
Conservez l'authentification multifacteur pour tout le reste.
La transition se fera progressivement, et les deux coexisteront pendant longtemps.
🧪 Vérification des fuites existantes
Étant donné qu'il existe 19 milliards de mots de passe divulgués, supposez que certains des vôtres en font partie.
Les services gratuits de vérification des violations de données vous permettent d'effectuer des recherches par adresse électronique.
Comment lire le résultat
Une alerte ne signifie pas qu'un compte est actuellement compromis.
Cela signifie que des identifiants de ce service ont été compromis lors d'une fuite de données à un moment donné.
Considérez comme public tout mot de passe utilisé sur un service compromis.
Configurez des alertes plutôt que de vérifier une seule fois.
Les infractions sont fréquentes, donc un seul contrôle a une durée de vie limitée.
La plupart des services de notification de violation de données vous enverront un courriel lorsque votre adresse apparaîtra dans une nouvelle fuite.
Cela transforme une tâche ponctuelle en une protection permanente sans effort supplémentaire.
Que faire des anciennes brèches
Si vous avez réutilisé ce mot de passe ailleurs, changez-le également à ces endroits.
Il s'agit des exploits de bourrage d'identifiants en chaîne.
Une seule faille de sécurité et sa réutilisation peuvent entraîner la compromission de nombreux comptes.
🧩 Pourquoi les règles relatives aux mots de passe ont empiré les choses
Pendant vingt ans, les sites ont exigé de la complexité et des changements fréquents.
Cet avis a depuis été annulé par les organismes de normalisation qui l'avaient émis.
| Ancienne règle | Ce que cela a causé | Orientations actuelles |
|---|---|---|
| Imposer un changement tous les 90 jours | Incréments prévisibles | Changez uniquement en cas de suspicion. Le changement ne doit être effectué qu'en cas de suspicion. Le changement doit être effectué uniquement sur suspicion. Le |
| Symboles obligatoires et casse mixte | Même mot, décoré | Privilégiez la longueur. |
| Interdire les gestionnaires de mots de passe | Réutilisation et notes adhésives | Encourager les gestionnaires |
| Questions de sécurité | Les réponses sont accessibles au public. | Éviter ou randomiser |
La première ligne représente le but contre son camp le plus évident.
La rotation forcée a produit l'été 2024, puis l'été 2025, puis l'automne 2025.
Les attaquants connaissent ce schéma mieux que la plupart des utilisateurs.
Pourquoi la longueur l'emporte sur la complexité
La difficulté à deviner augmente beaucoup plus rapidement avec la longueur qu'avec la variété des symboles.
Une longue phrase de passe composée de mots courants est plus efficace et plus facile à mémoriser.
Les exigences de complexité ont surtout produit des substitutions prévisibles.
Pourquoi les vieux conseils ont persisté
Il a été écrit avant que des données de fuites de données à grande échelle n'existent.
Une fois que les chercheurs ont pu examiner des milliards de mots de passe réels, les hypothèses ont échoué (Bright Defense, 2026).
Les directives ont changé. Les politiques d'entreprise, dans de nombreux endroits, sont restées les mêmes.
🏢 Le même problème au travail
Tout ce qui précède s'applique aux organisations, à plus grande échelle.
Les identifiants volés restent une voie d'accès privilégiée aux systèmes d'entreprise (Verizon, 2025).
Notre analyse des coûts de violation montre ce qui se passe ensuite lorsque cela réussit.
Pourquoi l'authentification multifacteur en entreprise échoue parfois
Généralement parce que c'est facultatif, ou que cela ne s'applique qu'à certains systèmes.
Les attaquants repèrent le seul service qui en est dépourvu.
L'authentification multifacteur partielle est bien moins efficace qu'il n'y paraît sur une liste de contrôle de conformité.
Les comptes partagés constituent la faiblesse cachée.
La plupart des équipes utilisent quelques identifiants partagés entre plusieurs personnes.
Comptes sur les réseaux sociaux, portail de facturation, système de fournisseurs.
Les mots de passe partagés ne peuvent pas être renouvelés lorsqu'une personne quitte l'entreprise, donc ils ne le sont généralement jamais.
Un gestionnaire de mots de passe d'équipe résout ce problème de manière appropriée, en partageant l'accès plutôt que le secret lui-même.
Le problème du joint et du levier
Les comptes appartenant à des personnes qui ont quitté l'entreprise continuent souvent de fonctionner.
Ces comptes font rarement l'objet d'une vérification MFA et personne ne remarque les connexions inhabituelles.
Ils figurent parmi les cibles les plus intéressantes au sein de toute organisation.
🧰 Choisir un gestionnaire de mots de passe
Étant donné que c'est le gestionnaire qui rend possibles les mots de passe uniques, son choix est important.
| Que vérifier | Pourquoi |
|---|---|
| Chiffrement à connaissance nulle | Le fournisseur ne peut pas accéder à votre coffre-fort. |
| Audits de sécurité indépendants | Allégations vérifiées par des tiers |
| Historique et réponse à la violation de données | Leur comportement lors des tests |
| Exportez facilement vos données | Vous n'êtes pas enfermé |
| Fonctionne sur tous vos appareils | Non utilisé sur mobile signifie non utilisé |
| accès ou récupération d'urgence | Que se passe-t-il si vous oubliez le mot de passe principal ? |
La première rangée est essentielle.
Le chiffrement à connaissance nulle signifie que votre coffre-fort est crypté avant même de quitter votre appareil.
Même une intrusion chez le fournisseur permet d'obtenir des données chiffrées qu'il ne peut pas déchiffrer.
L'objection évidente
On me demande si tout stocker au même endroit n'est pas risqué.
C'est une question légitime qui appelle une réponse claire.
L'alternative consiste à réutiliser le même mot de passe partout, ce qui représente un point de défaillance unique sans aucun chiffrement.
L'option intégrée au navigateur
Les navigateurs intègrent désormais des gestionnaires de mots de passe performants et gratuits.
Elles sont nettement meilleures que la réutilisation, et le frottement est quasi nul.
Si l'idée d'un manager dédié vous semble excessive, commencez par là plutôt que de ne rien faire.
Le mot de passe principal
C'est celle-ci que vous devez retenir, alors choisissez une phrase de passe longue.
Plusieurs mots sans lien apparent rythment une courte suite complexe.
Et configurez votre plan de récupération avant d'en avoir besoin, pas après.
🔬 Cette recherche est-elle fiable ?
| Source | Force | Mise en garde |
|---|---|---|
| 19 milliards d'analyses de mots de passe | Échantillon énorme | Ne couvre que les mots de passe divulgués |
| Étude MFA de Microsoft | De très gros comptes réels | Une plateforme |
| DBIR de Verizon | De longue durée et constant | Incidents signalés uniquement |
| enquêtes sur les mots de passe des fournisseurs | Pratique | Ils vendent des managers |
La première rangée présente un biais subtil qu'il convient de mentionner.
Les mots de passe divulgués ne constituent pas un échantillon aléatoire de l'ensemble des mots de passe.
Elles proviennent de services compromis, qui peuvent présenter une sécurité plus faible.
Le taux de réutilisation réel de tous les mots de passe pourrait être légèrement inférieur à 94 %.
Pourquoi cette conclusion perdure-t-elle malgré tout ?
Même avec un taux de réutilisation bien inférieur, le bourrage d'identifiants fonctionne toujours.
Et les données de l'analyse multifactorielle sont totalement indépendantes du chiffre de réutilisation.
Cette recommandation ne dépend pas de l'exactitude de la statistique la plus spectaculaire.
🚫 Ce que ces données ne vous disent pas
Il ne mesure pas votre risque personnel. Cela dépend de vos propres habitudes.
Les mots de passe divulgués constituent un échantillon biaisé. Ils proviennent de services ayant subi des violations de sécurité.
Les chiffres du MFA proviennent en grande partie d'une seule plateforme. D'autres peuvent avoir un avis différent.
Il ne peut pas détecter les infractions non signalées. Ces chiffres ne sont jamais comptabilisés dans les statistiques.
Certaines recherches sont financées par les fournisseurs. Les gestionnaires de mots de passe tirent profit de ces découvertes.
🏁 La version courte
Sur 19 milliards de mots de passe divulgués, seuls 6 % étaient uniques (Cybernews, 2026).
Environ 48 % des personnes réutilisent leurs mots de passe, en moyenne 14 fois chacun.
C’est pourquoi le bourrage d’identifiants fonctionne, et pourquoi 18 % du trafic de bots est précisément cela.
L'authentification multifacteur a réduit les compromissions de comptes de 99,22 %, et de 98,56 % même lorsque le mot de passe avait déjà fuité. (Microsoft, 2026).
L'action la plus importante à mettre en œuvre consiste donc à activer l'authentification multifacteur (MFA) sur votre compte de messagerie.
Ensuite, un gestionnaire de mots de passe, pour que les mots de passe uniques ne nécessitent plus de mémorisation.
Tous les MFA ne se valent pas, mais n'importe quel MFA vaut largement mieux que rien.
Un dernier point qu'il convient de mentionner, car ce sujet est source de honte.
Réutiliser ses mots de passe n'est pas de la négligence. Se souvenir d'une centaine de chaînes de caractères uniques n'a jamais été possible.
L'erreur résidait dans les conseils, qui exigeaient quelque chose que la mémoire humaine ne peut pas faire.
Les gestionnaires de mots de passe et les clés d'accès modifient le système, pas l'utilisateur. 🔑
🚀 Consultez les essais de sécurité →
❓ Questions fréquemment posées
Combien de personnes réutilisent leurs mots de passe ?
Environ 48 %, et une personne moyenne réutilise un mot de passe 14 fois sur différents comptes (Gitnux, 2026).
Qu’a révélé l’étude portant sur 19 milliards de mots de passe ?
Seulement 6 % étaient uniques. Le reste étaient des réutilisations exactes ou des variations prévisibles (Cybernews, 2026).
Est-ce que l'ajout d'un chiffre à mon mot de passe est utile ?
Très peu. Les outils de prédiction appliquent précisément ces transformations en premier, et non en dernier.
Qu'est-ce que le bourrage d'identifiants ?
Tests automatisés de paires nom d'utilisateur/mot de passe divulguées sur d'autres services. Environ 18 % du trafic de bots provient de ce type d'attaque.
L'authentification multifacteur (MFA) est-elle efficace ?
Elle a réduit les compromissions de comptes de 99,22 %, et de 98,56 % même lorsque le mot de passe avait déjà fuité (Microsoft, 2026).
L'authentification multifacteur par SMS est-elle utile ?
Oui. C'est la forme la plus faible, mais l'écart entre l'absence d'authentification multifacteur et l'authentification multifacteur par SMS est bien plus important qu'entre l'authentification par SMS et un code d'accès.
Quel compte dois-je sécuriser en premier ?
L'email. Il permet de réinitialiser le mot de passe de presque tous les autres services, ce qui en fait la clé principale.
Dois-je changer tous mes mots de passe ?
Non. Modifiez d'abord votre adresse e-mail, vos coordonnées bancaires, professionnelles et tout autre document contenant vos informations de paiement. Remplacez le reste progressivement.
Est-ce que le passage aux clés d'accès vaut la peine ?
Oui, là où c'était possible. Un serveur compromis contenant des mots de passe ne divulgue aucune information utilisable, et ces mots de passe ne peuvent pas être volés par hameçonnage car ils sont liés au site légitime.
Dois-je encore changer mes mots de passe tous les 90 jours ?
Non. La rotation forcée produit des incréments prévisibles, comme l'été 2024 puis l'été 2025. Les directives actuelles prévoient un changement en cas de suspicion de compromission.
Un gestionnaire de mots de passe est-il sûr et fiable ?
Privilégiez le chiffrement à connaissance nulle, ce qui signifie que vos données sont chiffrées avant même de quitter votre appareil. L'alternative, un mot de passe réutilisé, représente un point de défaillance unique et ne repose sur aucun chiffrement.
Que se passe-t-il si j'oublie mon mot de passe principal ?
Configurez la récupération avant d'en avoir besoin. Les fournisseurs de solutions à connaissance nulle ne peuvent pas la réinitialiser pour vous, et c'est justement le but.
Le problème s'améliore-t-il ?
Dans une certaine mesure. Les identifiants volés sont passés de 31 % à 22 % des points d'entrée des violations de données à mesure que l'adoption de l'authentification multifacteur (MFA) augmentait (Verizon, 2025).
📚 Références
Cybernews. (2026). Analyse de 19 milliards de mots de passe divulgués, cité dans les statistiques de réutilisation des mots de passe Gitnux. Consulté le 8 août 2026. https://gitnux.org/password-reuse-statistics/
Microsoft. (2026). Dans quelle mesure l'authentification multifactorielle est-elle efficace pour dissuader les cyberattaques ? Récupéré le 8 août 2026, de https://cdn-dynmedia-1.microsoft.com/is/content/microsoftcorp/microsoft/final/en-us/microsoft-brand/documents/MFA-Microsoft-Research-Paper-update.pdf
Frappe en profondeur. (2026). Statistiques sur le bourrage d'identifiants : prises de contrôle d'accès, bots, API et fuitesConsulté le 8 août 2026 sur https://deepstrike.io/blog/credential-stuffing-statistics
Verizon. (2025). rapport d'enquête sur les violations de données, cité dans les statistiques de mots de passe de Deepstrike. Consulté le 8 août 2026. https://deepstrike.io/blog/password-statistics-2025
Défense brillante. (2026). Plus de 160 statistiques de mots de passeConsulté le 8 août 2026 sur https://www.brightdefense.com/resources/password-statistics/
Lectures complémentaires sur ce site
Notre analyse des coûts de violation montre ce qui se passe après le vol d'identifiants. Voir aussi notre Recherche sur le Wi-Fi public, où de faux portails de connexion récupèrent précisément ces identifiants, et le Répertoire des essais gratuits pour les essais de gestionnaires de mots de passe.
À propos de cette analyse
Le taux de réutilisation de 94 % provient de fuites de mots de passe, qui ne constituent pas un échantillon aléatoire de l'ensemble des mots de passe ; cette limitation est explicitement mentionnée. La recommandation relative à l'authentification multifacteur (MFA) ne dépend pas de l'exactitude de ce chiffre, car les données fournies par Microsoft sont indépendantes de celui-ci. Les chiffres ont été vérifiés le 8 août 2026.
- Open Rate Benchmarks After Privacy Changes - 9 octobre 2026
- Email Marketing ROI: Separating Claim From Evidence - octobre 6, 2026
- Free AI Tools for YouTube: The Stack That Costs Nothing - octobre 6, 2026