Guide · Identifiants compromis
Réagir à des identifiants compromis : les sept étapes
Une alerte « identifiants compromis » arrive, par un service de surveillance, un partenaire ou un article. Voici, dans l’ordre, ce qu’une équipe de sécurité doit faire dans les heures qui suivent. Une alerte « identifiants compromis » arrive, par un service de surveillance, un partenaire ou un article. Voici, dans l’ordre, ce qu’une équipe de sécurité doit faire dans les heures qui suivent, et ce qui peut attendre.
- Guide
- Guide
- Étapes
- 7 ·9 min de lecture
- Publié le
- Dernière mise à jour
En une phrase
Face à des identifiants compromis, on qualifie la fuite, on contient l’accès, on cherche la réutilisation et l’origine, on vérifie qu’il n’a pas déjà servi, puis on notifie et on documente.
Un identifiant compromis n’est pas un incident en soi : c’est une clé en circulation. L’incident commence quand quelqu’un s’en sert. Toute la réponse consiste donc à réduire le temps entre la mise en circulation et la révocation, et à vérifier que la clé n’a pas déjà tourné dans la serrure.
Les étapes ci-dessous valent pour une adresse professionnelle comme pour un compte de service ; elles distinguent deux origines très différentes, la fuite d’une base tierce et le journal d’un logiciel voleur, parce que la seconde signifie qu’un appareil est infecté.
Étapes
Les sept étapes, dans l’ordre
- 01
Qualifier l’alerte
Notez la source, la date de collecte et le type de fuite. Vérifiez si l’identifiant est encore actif, si un mot de passe figure dans la fuite et s’il respecte votre politique actuelle. Un mot de passe d’un ancien format, sur un compte désactivé, n’appelle pas la même réponse qu’un mot de passe conforme sur un compte administrateur.
La date de collecte compte plus que la date de publication : une fuite ancienne republiée dans une combolist n’est pas une nouvelle exposition.
- 02
Contenir l’accès
Réinitialisez le mot de passe, révoquez les sessions ouvertes et les jetons d’application, forcez la ré-inscription du second facteur si l’attaquant a pu l’enregistrer. Faites-le pour le compte concerné et pour tout compte utilisant le même mot de passe.
- 03
Chercher la réutilisation
Un mot de passe fuité sur un service tiers a souvent été réutilisé sur la messagerie, le VPN, un extranet partenaire ou une application héritée sans second facteur. Interrogez la personne, vérifiez les comptes de service qu’elle administre et les accès historiques oubliés.
- 04
Déterminer l’origine
Fuite d’une base tierce : le risque est la réutilisation. Journal de logiciel voleur : un appareil a été infecté, et tout ce qui y a été saisi (mots de passe, cookies, formulaires) est exposé. Dans ce second cas, isolez l’appareil, réinstallez-le et changez tous les mots de passe utilisés dessus, y compris personnels.
- 05
Vérifier qu’il n’a pas déjà servi
Relisez les journaux d’authentification depuis la date de collecte : connexions depuis des pays ou des fournisseurs d’accès inhabituels, échecs suivis d’un succès, règles de transfert de messagerie créées, appareils ajoutés, jetons OAuth accordés. Une règle de transfert discrète est le signe le plus fréquent d’un compte déjà exploité.
- 06
Notifier et documenter
Si des données personnelles ont pu être consultées, le RGPD impose de notifier l’autorité de contrôle sous 72 heures après en avoir pris connaissance. Selon votre statut, NIS2 prévoit une alerte précoce sous 24 heures. Prévenez votre assureur cyber selon les termes du contrat. Consignez la chronologie : elle servira à l’auditeur et, le cas échéant, à l’enquête.
- 07
Prévenir la prochaine
Gestionnaire de mots de passe déployé, second facteur résistant au phishing sur les accès sensibles, comptes de service inventoriés, et surveillance continue des fuites rattachées à vos domaines pour que la prochaine alerte arrive avant l’usage, pas après.
Fuite tierce ou journal de voleur : deux situations différentes
Une fuite de base tierce expose ce que le service compromis stockait : une adresse, souvent un mot de passe haché, parfois en clair. Le risque tient à la réutilisation du mot de passe ailleurs. La réponse est un changement de mot de passe partout où il a servi.
Un journal de logiciel voleur expose ce qu’un appareil infecté a vu passer : chaque identifiant saisi, chaque cookie de session, les formulaires enregistrés dans le navigateur. L’identifiant n’est qu’un symptôme ; le problème est l’appareil, souvent personnel, sur lequel la personne s’est connectée à vos services.
Ce qu’une surveillance externe apporte à chaque étape
La qualification est le point où le temps se perd. Une surveillance continue livre l’alerte déjà rattachée à une identité, datée, dédoublonnée, avec le type de fuite et la présence d’un mot de passe : l’étape 1 est faite avant que l’alerte n’arrive.
Elle permet aussi de distinguer immédiatement une fuite tierce d’un journal de voleur, et de voir les autres identifiants et sessions exposés depuis le même appareil, ce qui transforme une réinitialisation isolée en un traitement complet.
Questions fréquentes
Faut-il réinitialiser le mot de passe si la fuite est ancienne ?
Oui, si le mot de passe exposé est encore valide ou a pu être réutilisé. L’ancienneté de la fuite ne dit rien de l’ancienneté du mot de passe. Si le compte est désactivé et le mot de passe changé depuis, documentez et classez.
Le second facteur nous protège-t-il complètement ?
Il bloque la réutilisation simple d’un mot de passe, pas le rejeu d’un cookie de session volé sur un appareil infecté, ni les applications héritées qui n’en ont pas. Vérifiez les deux cas.
Devons-nous prévenir la personne concernée ?
Oui, et vite : elle seule sait où le mot de passe a été réutilisé, et si l’appareil concerné est personnel. Formulez-le sans reproche ; la réutilisation est la norme, pas l’exception.
Combien de temps conserver les preuves ?
Au moins la durée fixée par votre politique de gestion des incidents et par vos obligations sectorielles. Conservez la chronologie, les journaux extraits et les décisions prises, pas le mot de passe lui-même.
Savoir avant l’usage, pas après
Une évaluation d’exposition montre, sur vos domaines réels, quels identifiants circulent déjà et lesquels ouvrent encore un accès.
Offre sur mesure : un prix par service, aucun prix public, aucun pack.