Pourquoi ajouter seulement une lettre ou un chiffre à un mot de passe existant est une très mauvaise idée

Cybersécurité : Pratiques de Réutilisation des Mots de Passe

Modifier "admin" en "admin1" ou transformer "motdepasse" en "Motdepasse1" peut donner une impression de sécurité. Cependant, ces changements comptent parmi les pratiques les plus risquées pour la gestion des identifiants. Une analyse récente révèle une tendance répandue : de nombreux utilisateurs préfèrent recycler leurs mots de passe avec de légères variations plutôt que d'en créer de nouveaux pour chaque service.

Les Chiffres Illustrent l'Ampleur du Phénomène

Aux États-Unis, environ deux internautes sur trois admettent réutiliser leurs mots de passe sur plusieurs comptes. Ce constat est similaire au Royaume-Uni et en Allemagne. En moyenne, un même mot de passe est utilisé pour environ cinq services différents , et une minorité significative l'utilise pour dix comptes ou plus. Lorsqu'un seul identifiant est compromis, il peut potentiellement ouvrir l'accès à d'autres espaces numériques, parfois sensibles.

La modification superficielle d’un mot de passe est devenue une habitude. Parmi ceux qui réutilisent leurs identifiants, une majorité explique se contenter d'ajouter ou de modifier un chiffre, une lettre ou un caractère spécial. Ces transformations sont précisément celles que les logiciels d’attaque testent en priorité.

Les suites numériques comme 12345 ou 12345678 restent omniprésentes, tout comme les déclinaisons autour du mot "admin". Les combinaisons inspirées du clavier, les répétitions de chiffres ou de lettres, ou encore les mots simples accompagnés d’un nombre sont également largement représentés. Bien que ces mots de passe puissent sembler différents, ils suivent des schémas très identifiables.

Dans la liste des " 200 mots de passe les plus courants 2025 ", les chercheurs ont trouvé 119 mots de passe presque identiques, regroupés en sept catégories :

Variations de nombres séquentiels : 12345, 123456, 1234567, 987654321. Variations de "Admin" : admin, Admin, adminadmin, admin123. Variations de "mot de passe" : motdepasse, Motdepasse1, m0td3p@ss3, M0td3p4ss3. Variations de motifs de clavier : azerty, azerty123, abcd1234, Abcd@1234. Variations de motifs répétitifs : 11111111, 111111111, aa112233, aabb1122. Variations de mots courants : bonjour, Bonjour1, test123, Test@123. Variations de préfixe/suffixe : a123456, Aa123456, Aa@123456, 12345678a.

En entreprise, ces pratiques peuvent contourner certaines règles internes, car un mot de passe légèrement modifié respecte parfois formellement les exigences. Cela complique la détection par les équipes informatiques, augmentant le risque de compromission et d'attaques telles que le déploiement de rançongiciels, l'exfiltration de données ou le chantage.

La sensibilisation en entreprise peut limiter la réutilisation des identifiants, à condition qu'elle s'inscrive dans la durée. Les politiques internes peuvent intégrer des contrôles automatiques empêchant l’usage de mots de passe déjà compromis ou trop proches de combinaisons connues. L’authentification multifacteur, qui impose une validation supplémentaire, est une protection efficace contre la prise de contrôle de comptes.

Les gestionnaires de mots de passe représentent une autre piste. Ils génèrent des combinaisons longues et aléatoires, puis les stockent de manière sécurisée, évitant ainsi la tentation des variantes prévisibles. Enfin, les clés d’accès, basées sur la cryptographie et la biométrie, commencent à se déployer sur certaines grandes plateformes. Bien que leur adoption soit progressive, elles pourraient à terme limiter le recours aux mots de passe traditionnels.

D’après Journal du Geek.