Credential Stuffing

Définition

Le Credential Stuffing, ou bourrage d'identifiants, est une technique d'attaque automatisée qui consiste à tester massivement, contre un service ou une application cible, des combinaisons de nom d'utilisateur et de mot de passe préalablement obtenues lors de fuites de données antérieures ayant affecté d'autres services totalement distincts, en exploitant la pratique très répandue et documentée de la réutilisation d'un même mot de passe sur plusieurs comptes par un nombre significatif d'utilisateurs. Contrairement à une attaque par force brute classique qui teste systématiquement toutes les combinaisons possibles de caractères contre un compte donné, le credential stuffing s'appuie sur des paires identifiant-mot de passe déjà connues et fonctionnelles ailleurs, ce qui rend l'attaque nettement plus efficace en termes de taux de succès et bien plus difficile à distinguer d'authentifications légitimes puisque chaque tentative correspond à des identifiants réels valides quelque part. Les attaquants exploitent des outils d'automatisation dédiés, souvent distribués via des réseaux de bots répartis sur de nombreuses IP pour contourner les mécanismes de limitation de débit, ainsi que des bases massives de credentials divulgués circulant sur des marchés clandestins. Les contre-mesures efficaces incluent l'authentification multifacteur, qui neutralise l'exploit même en cas de mot de passe correct, la détection comportementale identifiant des schémas d'authentification automatisés, et la vérification de mots de passe compromis lors de l'inscription.