CyberGlossary

Attaques et menaces

Pulvérisation de mots de passe

Aussi appelé: Devinette à faible débit

Définition

Attaque "low and slow" qui essaie un petit lot de mots de passe courants sur de nombreux comptes, en restant sous les seuils de verrouillage et de rate-limit.

Le password spraying inverse le schéma classique : au lieu d'essayer beaucoup de mots de passe sur un compte, l'attaquant teste un même mot de passe (par ex. "Hiver2025!", "P@ssw0rd") sur tout le répertoire d'utilisateurs, puis passe au suivant. Cela contourne les verrouillages par compte et trouve toujours quelques victimes faibles, car toute organisation a une longue traîne de mauvais mots de passe. C'est une technique privilégiée contre les IdP cloud (Entra ID, Okta) et les portails VPN. Défenses : interdire les mots de passe courants ou compromis, smart lockout et MFA basée sur le risque, accès conditionnel, analytique IP/géographique, et alertes sur les schémas "un mot de passe, beaucoup de comptes".

Exemples

  • Un APT teste "Printemps2025!" sur tous les comptes d'un tenant Entra ID pendant une heure chaque jour.
  • Des bots parcourent des mots de passe saisonniers sur un SSL VPN d'entreprise pour repérer les utilisateurs faibles.

Termes liés