Les fuites massives françaises de ces derniers mois ne sont pas le vrai choc.
ump — Un mot de passe pourri recent 2026-03-10 · Voir sur Substack ↗
7000 machines infostealées par jour. Dedans : des comptes français actifs, exploitables, non expirés. Le credential stuffing n'a rien de nouveau. Ce qui a changé : l'échelle industrielle et notre refus collectif de voir ce qui se passe. https://unmotdepassepourri.substack.com/p/les-fuites-massives-francaises-de
1/ J'analyse 7000 machines infectées par infostealers chaque jour. Dans quasiment chacune : plusieurs credentials français encore valides. E-commerce, SaaS, services publics. Pas des archives. Des comptes actifs. Exploitables maintenant.
2/ Le credential stuffing existe depuis 2016 (Sentry MBA, OpenBullet). Ce qui a changé : avant on récupérait des fuites web en espérant une réutilisation. Maintenant les infostealers récupèrent directement dans le navigateur. À la source.
3/ Ces incidents récents ne nécessitent ni budget fou ni sophistication. Des combos + des proxys + de la patience. Quand la réutilisation est massive et le MFA absent, l'attaque devient mécanique.
4/ Les stacks modernes savent faire : rate limiting, verrouillage progressif, MFA, scoring comportemental, device binding. La capacité existe. Si elle n'est pas activée, c'est un arbitrage business. Pas une impossibilité technique.
5/ Côté utilisateur : réutilisation massive, stockage dans les navigateurs, partage par email. Aucune architecture ne peut compenser indéfiniment ce comportement. Le credential stuffing marche parce qu'on le laisse marcher.
6/ Dans mes pentests sur 12 mois : plus de la moitié des accès initiaux réussis passent par réutilisation de credentials. Pas par une CVE. On continue à auditer des injections pendant que les accès se font par la porte d'entrée.
7/ Le choc n'est pas la fuite. C'est qu'on continue à organiser la sécurité comme si le mot de passe seul était tenable. Spoiler : il ne l'est plus depuis longtemps. https://unmotdepassepourri.substack.com/p/les-fuites-massives-francaises-de
J'analyse 7000 machines infostealées par jour. Dans chacune : plusieurs credentials français encore valides. E-commerce, SaaS, services publics. Pas des archives. Des comptes actifs, exploitables maintenant. Le credential stuffing n'a rien de nouveau. L'échelle, oui.
Les stacks modernes savent implémenter rate limiting, MFA, scoring comportemental. Si ce n'est pas activé, ce n'est pas un problème technique. C'est un arbitrage business. On a choisi la friction minimale plutôt que la sécurité. Assumons-le.
Sur mes 12 derniers mois de pentest : +50% des accès initiaux réussis via réutilisation de credentials. Pas une CVE. Pendant qu'on audite des injections SQL, les attaquants entrent par la porte d'entrée. Vos budgets sécu sont mal alloués.