Attaque par dictionnaire : pourquoi les mots qui ont du sens tombent en premier

Fiche complémentaire de la leçon « Les attaques par dictionnaire : pourquoi les mots qui ont du sens tombent en premier » — cours Sécurité en ligne

Une attaque par dictionnaire n’essaie pas tous les mots de passe possibles. Elle essaie les mots de passe probables : des mots, des prénoms, des dates, et les petites variantes auxquelles tout le monde a recours. Elle fonctionne parce que presque tous les mots de passe ont été choisis pour être retenus, et que ce qui est mémorable est, le plus souvent, prévisible.

A. Pourquoi c’est important

Une attaque par dictionnaire parcourt des listes : mots courants, prénoms répandus, villes, clubs de football, années de naissance, et les petites modifications qu’on leur fait — remplacer un a par un @, ajouter un point d’exclamation à la fin.

L’ANSSI, l’Agence nationale de la sécurité des systèmes d’information, la définit ainsi : cette attaque « consiste à faire l’hypothèse que le mot de passe recherché est un mot du dictionnaire d’une langue donnée et à tester automatiquement chacun de ces mots ». Et elle ajoute, à propos des règles de complexité, un constat qui mérite d’être cité : « Ce type de règles se trouve en pratique souvent détourné par les utilisateurs : transformation de a en @, de o en 0, rajout d’une majuscule en début… » C’est la partie importante : si l’agence nationale connaît ces substitutions, ceux qui construisent les listes les connaissent aussi. Remplacer des lettres par des chiffres n’est pas une astuce nouvelle ; ces variantes figurent d’office dans les listes.

C’est beaucoup plus rapide que d’essayer toutes les combinaisons, parce que l’attaque n’essaie pas tout. Elle essaie ce que les gens choisissent vraiment. Et les gens choisissent ce dont ils se souviennent.

Comprendre cela vaut mieux que d’appliquer une règle sans savoir pourquoi, parce que cela change le sens de « bon mot de passe ». Il ne s’agit pas d’avoir l’air compliqué. Il s’agit d’être imprévisible.

B. Notions clés

Six idées, chacune avec ce qu’elle change pour vous.

Attaque par dictionnaire

Un programme qui essaie, l’un après l’autre, les mots et expressions de dictionnaires et de listes de mots de passe exposés lors de fuites de données, y compris les variantes les plus prévisibles, comme M0tdep@sse!. La CNIL, l’autorité de protection des données personnelles, parle elle aussi des attaques « dites « par dictionnaire » » dans sa recommandation de 2022 sur les mots de passe (délibération 2022-100), et Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes de cybermalveillance, met en garde contre « les listes de mots de passe les plus courants ».

Pourquoi c’est important pour vous : connaître la méthode rend le conseil concret. Il s’agit d’éviter tout ce qu’une liste peut contenir, et pas seulement d’ajouter un symbole à ce que vous utilisez déjà.

Mots de passe faits de données personnelles

Prénoms, dates de naissance, le club que vous supportez, la ville où vous habitez, un surnom. Ces éléments servent à construire des listes personnalisées, pensées pour une personne en particulier.

Pourquoi c’est important pour vous : tout ce qui est visible sur vos profils de réseaux sociaux peut être assemblé en une courte liste. Les détails qui donnent l’impression qu’un mot de passe est « à vous » sont ceux qui le trahissent.

Phrases de passe longues et peu évidentes

Plusieurs mots sans lien entre eux, de préférence avec un chiffre et un symbole. Assez longues pour résister au cassage de mot de passe (l’essai de toutes les combinaisons possibles), assez imprévisibles pour ne figurer dans aucune liste. La règle de ce cours : six mots au moins, sept quand la phrase de passe protège seule le compte, comme le demande la CNIL. Une précision de méthode : les pages françaises destinées au grand public enseignent plutôt à partir d’une phrase qui a du sens et à en garder les premières lettres. Une phrase qui a du sens est justement ce que cette fiche vous demande d’éviter ; ici, les mots sont tirés au hasard.

Pourquoi c’est important pour vous : vous obtenez les deux propriétés à la fois et, contrairement à une suite de caractères aléatoires, vous pouvez encore la taper de mémoire quand il le faut.

Un mot de passe par service

Un mot de passe différent pour chaque service, jamais répété. Quand un site subit une fuite de données, l’exposition s’arrête là. Cybermalveillance.gouv.fr le dit simplement : avec un mot de passe par service, « seul le service concerné sera vulnérable ».

Pourquoi c’est important pour vous : c’est ce qui empêche une fuite unique de se transformer en plusieurs. Cela compte davantage que la qualité de n’importe quel mot de passe pris isolément.

Credential stuffing

L’essai automatique d’identifiants volés sur d’autres sites : quelqu’un récupère les mots de passe exposés lors d’une fuite et les essaie en masse sur de nombreux autres services. Le terme anglais est le plus répandu, et les institutions françaises ne s’accordent pas encore sur un équivalent ; la CNIL, dans son glossaire, le décrit comme des « tentatives d’authentification massives sur des sites et services web à partir de couples identifiants/mots de passe ».

Pourquoi c’est important pour vous : cela explique pourquoi la réutilisation est l’habitude concrète à abandonner en premier. Cette attaque n’a rien à deviner, elle n’a besoin que de votre habitude.

Un deuxième facteur

L’authentification à deux facteurs (2FA), qui demande une deuxième preuve d’identité en plus du mot de passe, ou une clé d’accès (passkey) — une clé numérique enregistrée sur votre appareil, qui remplace le mot de passe — là où le service la propose. Note de vocabulaire : Cybermalveillance.gouv.fr parle de « double authentification », aussi appelée « validation ou vérification en deux étapes ».

Pourquoi c’est important pour vous : même deviné, le mot de passe ne suffit plus à entrer. C’est la couche qui rend le reste supportable.

C. Un exemple concret : un mot de passe qui a une histoire

Thomas utilise ceci pour sa messagerie :

Marseille1990

Le club qu’il supporte et son année de naissance. Cela a du sens, c’est facile à retenir, et c’est exactement là qu’une attaque par dictionnaire cherche en premier : des noms de clubs populaires combinés à des années plausibles.

Un vieux forum qu’il avait oublié subit une fuite de données, et son adresse et son mot de passe finissent dans une liste qui circule. À partir de là, plus besoin de deviner quoi que ce soit : la même combinaison est simplement essayée sur d’autres services.

• Elle ouvre sa messagerie.
• Ses comptes de réseaux sociaux suivent, parce que leurs mots de passe sont des variantes de la même chose.
• Les réinitialisations de mot de passe de ses autres services arrivent dans une boîte qu’il ne contrôle plus.

Ce n’est pas un cas rare ni hypothétique. Cybermalveillance.gouv.fr consacre une fiche réflexe au piratage de compte, et la plainte en ligne THESEE du ministère de l’Intérieur couvre explicitement « le piratage de messagerie électronique et de compte de réseau social ». La boîte de messagerie est la cible, et le mot de passe qui a une histoire est la porte. Si cela vous arrive, 17Cyber (police, gendarmerie et Cybermalveillance.gouv.fr, discussion en ligne 24 h/24, 7 j/7) vous aide à faire le point.

Ce qui aurait changé l’issue

• Une phrase de passe réservée à la messagerie — quelque chose comme citron-train-7-maree-lointain-tuile-radis — qui n’appartient à aucune liste ni à aucun autre compte.
• Cette phrase de passe rangée dans un gestionnaire de mots de passe, qui crée ensuite des mots de passe différents pour tout le reste.
• L’authentification à deux facteurs sur la messagerie, pour que le mot de passe exposé n’ait pas suffi.

Thomas n’a pas été négligent. Il a choisi quelque chose dont il se souviendrait, comme presque tout le monde, et c’est exactement autour de cela que l’attaque a été construite.

D. Essayez : du prévisible à l’introuvable (5 minutes)

Environ 5 minutes. Travaillez sur des exemples, pas sur vos vrais mots de passe.

Étape 1 — Classez-les par niveau de risque

• Julie90
• Paris2024!
• Bleu!Chien$27Pate
• ete123
• Livre!Table-Nuage7
• Pour chacun : risque très élevé, moyen ou faible ? Demandez-vous ensuite ce qui fait la différence ; ce sont rarement les symboles.

Étape 2 — Transformez-en un, de tête

• Pensez à l’un de vos mots de passe faibles. Ne l’écrivez pas.
• Remplacez le mot évident par des mots sans lien entre eux — six au moins pour un vrai compte.
• Ajoutez des chiffres qui ne signifient rien, pas une date que vous reconnaîtriez.
• Placez un symbole ailleurs qu’à la fin.
• Puis demandez-vous : la nouvelle version apparaîtrait-elle dans une liste construite à partir de mes informations ?

Le vrai test n’est pas de savoir s’il a l’air compliqué. C’est de savoir si quelqu’un qui aurait lu vos profils sur les réseaux sociaux pourrait le reconstituer.

E. Vidéos, articles et autres ressources

Le point central de cette fiche est couvert en français, et par une phrase de l’ANSSI qui vaut mieux que bien des pages : remplacer des lettres par des chiffres est un détournement connu, donc prévisible — pas une défense. Ce qui reste en anglais, c’est la méthode des mots tirés au hasard, qu’aucune page française grand public n’enseigne.

Sources françaises

ANSSI — Recommandations relatives à l’authentification multifacteur et aux mots de passe (PDF)
Le guide technique de l’agence nationale (2021), écrit pour les responsables informatiques : la définition de l’attaque par dictionnaire, le constat sur les substitutions « de a en @, de o en 0 », et la recommandation de refuser les mots de passe les plus utilisés ou déjà compromis (R27).
https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-authentification_multifacteur_et_mots_de_passe.pdf

CNIL — Credential stuffing (attaque informatique)
La définition de la CNIL, dans son glossaire, de l’essai massif d’identifiants volés sur d’autres sites.
https://www.cnil.fr/fr/definition/credential-stuffing-attaque-informatique

CNIL — Mots de passe : recommandations pour maîtriser sa sécurité
Le résumé grand public de la recommandation de 2022 : 12 caractères de quatre types, 14 sans caractère spécial obligatoire, ou une phrase de passe d’au moins sept mots.
https://www.cnil.fr/fr/mots-de-passe-recommandations-pour-maitriser-sa-securite

Cybermalveillance.gouv.fr — Pourquoi et comment bien gérer ses mots de passe ?
Un mot de passe différent par service, 12 caractères au minimum, un gestionnaire de mots de passe, un changement « au moindre soupçon ». Les méthodes de création proposées sont celles des initiales et de la phonétique, différentes de celle de cette fiche.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe

Cybermalveillance.gouv.fr — La sécurité sur les réseaux sociaux
Utile ici pour les informations personnelles qui alimentent les listes personnalisées : paramètres de visibilité, mots de passe différents et robustes.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/reseaux-sociaux

Cybermalveillance.gouv.fr — Piratage de compte, que faire ?
La fiche réflexe pour le jour où un compte ne vous appartient plus : changer le mot de passe, vérifier l’historique des connexions, déconnecter les sessions inconnues, activer la double authentification.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/piratage-de-compte

Ministère de l’Intérieur — THESEE, plainte en ligne pour les arnaques sur internet
La plainte en ligne pour les particuliers majeurs, qui couvre notamment le piratage de messagerie électronique et de compte de réseau social.
https://www.masecurite.interieur.gouv.fr/fr/demarches-en-ligne/thesee-arnaques-internet-plainte-en-ligne

Insee — Victimes de cybercriminalité en Europe
Un chiffre de contexte, à lire avec sa date : d’après les Eurobaromètres de 2018 et 2019, 19,1 % des personnes interrogées en France déclaraient avoir déjà subi le piratage de leur compte de messagerie ou de réseau social, contre 11,4 % en moyenne dans l’Union européenne. Il mesure les victimes, pas les habitudes de mots de passe.
https://www.insee.fr/fr/statistiques/5763617?sommaire=5763633

Google — Modifier les mots de passe compromis dans votre compte Google
Le Check-up du Gestionnaire de mots de passe de Google, qui repère les mots de passe enregistrés apparus dans une fuite, pour les remplacer.
https://support.google.com/accounts/answer/9457609?hl=fr

Références internationales conservées

NCSC (Royaume-Uni) — Three random words (en anglais)
Le texte court le plus clair sur les raisons pour lesquelles l’imprévisibilité l’emporte sur la complexité, et sur la façon de l’obtenir sans système à mémoriser.
https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/three-random-words

EFF — Dice-Generated Passphrases (en anglais)
La méthode des dés pour tirer des mots vraiment au hasard : six mots, dans une liste de 7 776.
https://www.eff.org/dice

NIST — Digital Identity Guidelines, SP 800-63B (Revision 4) (en anglais)
La norme américaine d’août 2025, à l’origine de nombreux conseils actuels sur les mots de passe, y compris l’obligation, pour les services, de refuser les mots de passe connus pour être compromis.
https://pages.nist.gov/800-63-4/sp800-63b.html

Liens vérifiés le 26 septembre 2026. Le cassage de mot de passe, l’autre moitié du sujet, est traité dans la fiche « Cassage de mot de passe : comment fonctionne la force brute et ce qui l’arrête ».

F. Le Framework Cyber Welfare : Compétences, Conscience du risque, Comportements sûrs

Cette leçon repose sur le pilier Conscience du risque, au niveau FL2 — Initié, et fait la paire avec la fiche « Cassage de mot de passe : comment fonctionne la force brute et ce qui l’arrête ».

Compétences

• Distinguer un mot de passe prévisible d’un mot de passe imprévisible, quelle que soit son apparence.
• Construire des phrases de passe qui ne reposent ni sur des mots courants ni sur des données personnelles.
• Utiliser un gestionnaire de mots de passe et configurer un deuxième facteur sur les comptes essentiels.

Pour les professionnels et les organisations

• Voir dans les attaques par dictionnaire un risque systémique pour les comptes des équipes, et non une faute individuelle.

Conscience du risque

• Reconnaître que les mots de passe pratiques et qui ont du sens sont les plus visés, justement parce qu’ils sont courants.
• Comprendre le lien entre la réutilisation et ce qui se passe après la fuite de données de quelqu’un d’autre.

Pour les futurs formateurs et ambassadeurs

• Savoir l’expliquer sans que personne se sente ridicule. Presque tout le monde a un mot de passe qui a une histoire.

Comportements sûrs

• Retirer peu à peu les mots de passe faibles, en commençant par les comptes qui comptent.
• Faire du gestionnaire de mots de passe une routine, pas un effort occasionnel.
• Vérifier de temps en temps si vos mots de passe enregistrés sont apparus dans une fuite connue, avec les contrôles intégrés : Apple et Google vous préviennent automatiquement. La CNIL déconseille en revanche les sites qui « indiquent détenir les données » et proposent de vous dire si vous êtes concerné.

Pour les organisations

• Fixer des règles minimales de longueur, d’unicité, d’authentification multifacteur et de blocage après des tentatives répétées (R8). En France, la CNIL le recommande en termes chiffrés dans sa délibération 2022-100.

G. Questions à emporter

1. Combien de vos mots de passe actuels contiennent un mot, un prénom, une date ou une référence que l’on trouverait sur vos profils de réseaux sociaux ?
2. Si l’un d’eux était deviné, combien d’autres comptes utilisent la même chose, ou une petite variante ?
3. Avez-vous déjà au moins un compte essentiel protégé par quelque chose qui ne figure dans aucune liste ?
4. Quel compte pourriez-vous mettre hors de portée avant la fin de la journée ?

H. Ce que vous pouvez faire maintenant

Les recommandations (R) et les mesures de sécurité (MS) qui s’appliquent aussi bien aux attaques par dictionnaire qu’au cassage de mot de passe.

Identifiants

• R1 — N’utilisez pas le même mot de passe, ni un mot de passe presque identique, sur plusieurs comptes.
• R2 — Utilisez un gestionnaire de mots de passe fiable, avec un mot de passe principal solide et unique (la CNIL et l’ANSSI parlent de mot de passe « maître »).
• R3 — Portez vos mots de passe ou phrases de passe à au moins 16 caractères, avec des chiffres, des majuscules, des minuscules et des symboles.
• R4 — Activez l’authentification à deux facteurs sur les comptes importants : messagerie, principaux réseaux sociaux, services financiers.
• MS1 — Utilisez un générateur plutôt que d’inventer vos mots de passe : il produit des choses qu’aucun dictionnaire ne contient.
• MS2 — Laissez le gestionnaire les remplir, ce qui évite aussi les variantes humaines et faibles auxquelles on finit par recourir.

Autour des identifiants

• R6 — Gardez les logiciels de vos appareils à jour : un logiciel malveillant qui vole ou intercepte les mots de passe ne se soucie pas de leur solidité.
• R8 — Activez la limitation des tentatives et les alertes de connexion là où le service les propose.
• MS4 — Utilisez un long code de déverrouillage alphanumérique sur l’appareil où est installé votre gestionnaire de mots de passe.
• MS17 — Donnez à l’adresse e-mail liée à vos services financiers un mot de passe unique et solide, et un deuxième facteur. C’est en général le premier compte essayé quand un mot de passe a été deviné.

Le plus petit pas utile

1. Choisissez un compte essentiel : messagerie, banque ou stockage en ligne.
2. Donnez-lui une nouvelle phrase de passe qui ne contient aucun mot lié à vous (R3, MS1).
3. Cessez de la réutiliser ailleurs (R1), et rangez-la dans un gestionnaire de mots de passe (R2, MS2).
4. Activez le deuxième facteur (R4, MS17).

Ce seul compte sort en même temps de la portée des deux types d’attaque : la devinette et la réutilisation.

En résumé

• Les attaques par dictionnaire essaient ce que les gens choisissent, pas tout ce qui est possible, et c’est pour cela qu’elles sont rapides.
• Les données personnelles sont l’ingrédient le plus faible : elles réduisent la liste au lieu de l’allonger.
• Remplacer des lettres par des chiffres fait partie de l’attaque : M0tdep@sse n’est pas plus solide que motdepasse.
• Des mots sans lien entre eux valent mieux que n’importe quelle astuce, et un générateur vaut mieux que les deux.
• Un mot de passe par service, c’est ce qui limite les dégâts quand la fuite de données a lieu ailleurs.

Découvrez d’autres fiches complémentaires des cours du programme Protégez votre Vie Privée Numérique.