Credential Stuffing (Bourrage de credentials)

Définition

Le credential stuffing est une attaque automatisée exploitant des paires identifiant/mot de passe issues de fuites de données précédentes pour tenter de compromettre d'autres services. Contrairement au brute force classique, cette technique s'appuie sur le comportement courant de réutilisation des mots de passe par les utilisateurs : si un compte est compromis sur un service, les mêmes credentials fonctionnent souvent sur d'autres plateformes. Des botnets de grande taille testent des millions de credentials sur des cibles comme les banques, les e-commerces ou les messageries, en distribuant les tentatives pour contourner les limites de taux. Des outils comme Sentry MBA ou OpenBullet circulent sur les forums cybercriminels. La défense efficace combine le MFA (authentification multi-facteurs), la détection d'anomalies comportementales, le monitoring des tentatives de connexion échouées, et l'utilisation de services comme HaveIBeenPwned pour alerter les utilisateurs dont les credentials ont été compromis.