« Ils ont mon mot de passe » L'arnaque expliquée
ump — Un mot de passe pourri new 2026-05-10 · Voir sur Substack ↗
"Ils ont mon mot de passe" ne prouve pas qu'ils ont piraté ton PC. Ça prouve qu'un service tiers s'est fait casser et que tu recyclais ce mdp. Le credential stuffing fait le reste. https://unmotdepassepourri.substack.com/p/ils-ont-mon-mot-de-passe-larnaque
1/ Mail de sextorsion avec ton mot de passe en clair ? Pas de magie : ce mdp vient d'une fuite publique (breach). L'attaquant n'a jamais touché ton PC. Il compte sur ta peur pour convertir.
2/ Voir son mdp dans un mail ne prouve pas qu'on est ciblé. Ça prouve qu'un dev a mal config une BDD, qu'un admin a recyclé un mdp, qu'une lib tierce avait une faille. Toi, tu n'y pouvais rien.
3/ Le festival des breaches 2025 continue : des millions de credentials dans la nature. RGPD oblige la notif ? Oui. Respecté ? Rarement. Tu l'apprends souvent par l'attaquant lui-même.
4/ Distinction technique clé : compromettre une boîte mail avec un mdp connu = trivial si pas de MFA. Compromettre un PC = vecteur d'infection, exécution, bypass défenses. Pas à portée d'un spam de masse.
5/ Le seul levier réel : un mdp unique par service. Une fuite sur un forum de cuisine ne doit pas compromettre ta messagerie. Le credential stuffing devient inopérant. Le mail perd sa seule dent.
6/ Action maintenant : change le mdp exposé partout où tu le réutilises. Active le 2FA sur ta messagerie. Installe un gestionnaire de mdp. Ne réponds pas, ne paie pas, signale sur cybermalveillance.gouv.fr.
7/ L'arnaque évolue, pas les auteurs. Ils suivent ce qui convertit. Toi, tu casses la chaîne en cloisonnant : un compte piraté ne doit jamais en menacer un autre.
8/ Débrief complet ici, avec la mécanique réelle et les protections concrètes : https://unmotdepassepourri.substack.com/p/ils-ont-mon-mot-de-passe-larnaque
Un attaquant qui affiche ton mdp dans un mail n'a jamais touché ton PC. Il a juste téléchargé un dump public et espère que tu paniques. Credential stuffing + psycho, zéro 0day. Mais ça marche encore en 2025.
Le RGPD impose la notif en cas de breach. Dans les faits ? Tu l'apprends souvent par l'attaquant lui-même. La vraie défense n'est pas de choisir des services "sûrs" — ils n'existent pas. C'est un mdp unique par service. Point.
Ton entreprise déploie un EDR dernière génération mais laisse les users recycler le même mdp sur 12 services tiers. Le premier breach public casse toute la chaîne. Vous protégez l'endpoint, pas l'identité. Bravo.