Comment detecter et revoquer les identifiants par defaut sur vos equipements reseau en 7 etapes

Les identifiants par defaut sont la porte d'entree la plus ancienne et la plus previsible des attaquants en matiere de cybersecurite. En 2026, alors que les organisations investissent massivement dans des solutions de detection avancees basees sur l'intelligence artificielle, des milliers d'equipements reseau restent accessibles avec des couples login/mot de passe aussi simples que admin/admin, root/root ou cisco/cisco. Pire encore, des CVE recentes comme CVE-2026-20316 dans Cisco FMC revelent que meme les fabricants les plus reputables continuent de livrer des produits avec des comptes codes en dur et non documentes.

Ce guide vous propose une methodologie en 7 etapes pour detecter, inventorier et revoquer systematiquement les identifiants par defaut sur l'ensemble de vos equipements reseau. Que vous soyez responsable securite dans une PME a Paris, administrateur reseau dans une entreprise industrielle a Lyon, ou RSSI d'un grand compte a Toulouse, cette approche est applicable a votre contexte.

— Etape 1 : Inventorier l'integralite de vos equipements reseau

Avant de pouvoir detecter des identifiants par defaut, vous devez savoir exactement quels equipements composent votre infrastructure reseau. Cela semble evident, mais c'est souvent la ou le bat blesse. Dans la plupart des organisations que nous auditons — que ce soit des ETI a Paris ou des industriels a Bordeaux — l'inventaire reseau est incomplet, desynchronise, ou tout simplement inexistant.

Commencez par un scan reseau complet de tous vos sous-reseaux avec un outil comme Nmap. L'objectif est d'identifier chaque equipement actif sur le reseau, pas seulement les serveurs et postes de travail. Concentrez-vous particulierement sur les categories suivantes, souvent negligees dans les inventaires traditionnels :

• ●Routeurs et commutateurs — Cisco, Juniper, HPE/Aruba, Huawei, les coeurs de reseau et les equipements d'agences distantes
• ●Pare-feu et UTM — Fortinet, Palo Alto, Check Point, Cisco ASA/FTD, Sophos, WatchGuard
• ●Points d'acces Wi-Fi — Cisco Meraki, Aruba, Ubiquiti, Ruckus, les bornes dans les salles de reunion et entrepots
• ●Equipements IoT et OT — cameras de surveillance, imprimantes reseau, capteurs industriels, automates programmables
• ●Consoles de management — Cisco FMC, FortiManager, Panorama, les interfaces d'administration centralisees

Documentez chaque equipement avec au minimum : adresse IP, nom d'hote, constructeur, modele, version de firmware, et localisation physique. A Lyon, nous avons recemment audite une entreprise de logistique qui a decouvert 47 equipements reseau non inventories lors de cette premiere etape — dont 12 points d'acces Wi-Fi avec les identifiants par defaut toujours actifs.

— Etape 2 : Constituer votre base de reference des identifiants par defaut

Pour chaque constructeur et modele identifie lors de l'inventaire, vous devez maintenant collecter les identifiants par defaut connus. Cette tache est plus complexe qu'il n'y parait, car les fabricants utilisent parfois des identifiants differents selon les versions de firmware, les gammes de produits, ou meme les regions de distribution.

Plusieurs ressources peuvent vous aider a constituer cette base de reference :

• ●Bases de donnees publiques — Des sites comme cirt.net, routerpasswords.com et default-password.info aggregent les identifiants par defaut de milliers de modeles d'equipements
• ●Documentation constructeur — Les guides d'installation et de securisation de chaque fabricant listent normalement les comptes par defaut et les procedures de changement
• ●Avis de securite CVE — Les vulnerabilites de type CWE-798 (Hard-Coded Credentials) et CWE-1392 (Default Credentials) revelent regulierement des comptes non documentes, comme CVE-2026-20316 dans Cisco FMC
• ●Modules de scan — Les bases de Nmap (NSE scripts), Metasploit et Nessus contiennent des listes d'identifiants par defaut regulierement mises a jour

Attention : ne vous limitez pas aux couples login/mot de passe evidents. Certains equipements utilisent des mecanismes d'authentification alternatifs avec des valeurs par defaut : cles SNMP community (public / private), cles pre-partagees VPN, certificats auto-signes, ou tokens API generes de maniere previsible. Tous ces elements doivent figurer dans votre base de reference.

— Etape 3 : Scanner automatiquement les identifiants par defaut

Avec votre inventaire et votre base de reference en main, vous pouvez maintenant lancer un scan automatise pour tester quels equipements sont encore accessibles avec des identifiants par defaut. Cette etape est critique et doit etre menee avec precaution : des tentatives de connexion repetees peuvent declencher des verrouillages de compte ou des alertes de securite.

Plusieurs outils sont disponibles pour cette tache. Nmap avec ses scripts NSE (http-default-accounts, ssh-brute, snmp-brute) offre une solution gratuite et flexible. Nessus (y compris dans sa version Essentials gratuite) dispose de checks dedies aux identifiants par defaut pour la plupart des equipements reseau du marche. Pour les environnements complexes, des outils comme Rumble ou runZero combinent decouverte d'actifs et test d'identifiants en une seule operation.

Lors d'un audit recent pour une collectivite territoriale a Toulouse, notre scan a revele que 23% des equipements reseau actifs etaient encore accessibles avec des identifiants par defaut. Les plus frequemment trouves etaient les imprimantes reseau (87% avec des identifiants par defaut), les points d'acces Wi-Fi (34%), et les commutateurs de peripherie (18%). Ces chiffres sont coherents avec les moyennes que nous observons sur l'ensemble de nos missions en France.

— Etape 4 : Revoquer et remplacer systematiquement les identifiants

C'est l'etape de remediation proprement dite. Pour chaque equipement identifie comme utilisant des identifiants par defaut, vous devez remplacer ces identifiants par des credentials uniques et robustes. La revocation doit suivre une methodologie rigoureuse pour eviter les interruptions de service.

Priorite 1 — Equipements exposes a Internet. Tout equipement dont l'interface de gestion est accessible depuis Internet doit etre traite en urgence absolue, dans les heures qui suivent la decouverte. Cela inclut les pare-feu, les concentrateurs VPN, les passerelles de messagerie et les reverse proxies.

Priorite 2 — Equipements de coeur de reseau. Les routeurs de coeur, les commutateurs de distribution et les consoles de management centralisees (FMC, FortiManager, Panorama) doivent etre traites dans les 24 a 48 heures. Leur compromission aurait un impact sur l'ensemble de l'infrastructure.

Priorite 3 — Equipements de peripherie. Les commutateurs d'acces, les points d'acces Wi-Fi, les imprimantes et les equipements IoT peuvent etre traites dans les jours suivants, par lots, en commencant par les sites les plus sensibles.

Pour chaque equipement, le mot de passe de remplacement doit respecter les criteres suivants : minimum 16 caracteres, combinaison de majuscules, minuscules, chiffres et caracteres speciaux, unique par equipement (pas de mot de passe partage entre plusieurs equipements), et stocke dans un gestionnaire de credentials securise (voir etape 6).

— Etape 5 : Durcir les configurations au-dela des identifiants

Changer le mot de passe par defaut est necessaire mais insuffisant. Un equipement correctement securise necessite un durcissement complet de sa configuration. Le principe est simple : desactiver tout ce qui n'est pas explicitement necessaire, et securiser tout ce qui reste actif.

Voici les actions de hardening essentielles a appliquer sur chaque equipement reseau :

1. a
   Desactiver les protocoles de management non securises

   Remplacez Telnet par SSH, HTTP par HTTPS, SNMPv1/v2 par SNMPv3 avec authentification et chiffrement. Desactivez les interfaces de gestion web si elles ne sont pas utilisees.

2. b
   Supprimer ou desactiver les comptes inutiles

   Chaque equipement ne doit contenir que les comptes strictement necessaires a son administration. Supprimez les comptes de test, de diagnostic et de maintenance qui ne sont pas utilises en production.

3. c
   Restreindre l'acces aux interfaces de gestion

   Configurez des ACL pour limiter l'acces SSH/HTTPS aux seules adresses IP des postes d'administration. Idealement, les interfaces de management ne doivent etre accessibles que depuis un reseau de gestion dedie (out-of-band management).

4. d
   Activer la journalisation des acces

   Configurez l'envoi des logs d'authentification vers un serveur syslog ou un SIEM central. Chaque tentative de connexion, reussie ou echouee, doit etre tracee et conservee pour l'investigation en cas d'incident.

5. e
   Mettre a jour le firmware

   Un equipement dont le firmware est obsolete peut contenir des comptes codes en dur corrigees dans les versions ulterieures (comme CVE-2026-20316 dans Cisco FMC). Maintenez un processus de mise a jour regulier.

Pour les entreprises soumises a des exigences reglementaires, les benchmarks CIS (Center for Internet Security) fournissent des guides de durcissement specifiques pour les principaux equipements reseau : Cisco IOS, Junos, FortiOS, PAN-OS. Ces benchmarks constituent une excellente base de travail, que vous pouvez completer avec les recommandations specifiques de l'ANSSI dans son guide d'hygiene informatique.

— Etape 6 : Deployer un coffre-fort a credentials pour les equipements reseau

La revocation des identifiants par defaut cree un nouveau defi : comment gerer des centaines de mots de passe uniques et complexes pour autant d'equipements reseau ? La reponse est un gestionnaire de credentials (ou Privileged Access Management, PAM) adapte aux equipements d'infrastructure.

Les solutions PAM professionnelles comme CyberArk, BeyondTrust, Delinea (ex-Thycotic) ou HashiCorp Vault offrent des fonctionnalites specifiques pour les equipements reseau : stockage securise des identifiants, rotation automatique des mots de passe selon un calendrier defini, enregistrement des sessions d'administration, et injection des credentials sans exposition du mot de passe a l'administrateur.

Pour les organisations plus petites ou avec un budget limite — typiquement les PME de la region parisienne ou les ETI de province — des solutions open source comme KeePass (avec partage securise), Passbolt, ou Bitwarden Business offrent un niveau de protection largement superieur aux tableurs Excel partages que nous trouvons encore trop souvent chez nos clients.

L'objectif est double : premierement, aucun administrateur ne doit connaitre de memoire le mot de passe d'un equipement reseau (elimination du facteur humain). Deuxiemement, chaque acces a un identifiant doit etre trace et auditable (responsabilite et tracabilite).

— Etape 7 : Mettre en place un monitoring continu et des scans periodiques

La securisation des identifiants n'est pas un projet ponctuel mais un processus continu. De nouveaux equipements sont ajoutes au reseau, des firmwares sont mis a jour (parfois en reinitialisant les identifiants), des prestataires interviennent et modifient des configurations, des comptes temporaires sont crees et oublies. Sans surveillance continue, la situation regresse inevitablement vers l'etat initial en quelques mois.

Mettez en place les mecanismes de monitoring suivants :

• ●Scans mensuels d'identifiants par defaut — Programmez un scan Nessus ou similaire chaque mois pour verifier qu'aucun equipement n'est accessible avec des identifiants par defaut. Integrez ce scan dans votre processus de gestion des vulnerabilites existant.
• ●Alertes SIEM sur les connexions suspectes — Configurez des regles de detection pour les tentatives de connexion avec des identifiants par defaut connus. Chaque alerte doit etre investiguee : est-ce un attaquant, un administrateur qui a oublie de changer le mot de passe, ou un nouvel equipement non durci ?
• ●Processus d'onboarding des equipements — Integrez le changement d'identifiants et le durcissement dans la procedure d'installation de tout nouvel equipement reseau. Aucun equipement ne doit etre mis en production avec des identifiants par defaut, meme "temporairement".
• ●Audit annuel complet — Faites realiser un audit externe annuel par un prestataire specialise qui verifiera l'ensemble de votre posture de gestion des credentials, y compris les comptes non documentes de type CWE-798.

A Lyon, un de nos clients industriels a implemente cette approche en 7 etapes et a reduit le nombre d'equipements accessibles avec des identifiants par defaut de 31% a 0% en moins de deux semaines. Six mois plus tard, grace au monitoring continu, le taux est reste a 0% malgre l'ajout de 15 nouveaux equipements au reseau — preuve que le processus fonctionne lorsqu'il est correctement integre dans les operations.

Conclusion

Les identifiants par defaut sont un probleme ancien, mais qui reste dramatiquement actuel en 2026. Les vulnerabilites recentes comme CVE-2026-20316 dans Cisco FMC rappellent que meme les equipements de securite les plus sophistiques peuvent etre compromis par un simple couple login/mot de passe code en dur. La methodologie en 7 etapes presentee dans ce guide — inventaire, base de reference, scan, revocation, hardening, coffre-fort, monitoring — offre un cadre structurant pour eliminer ce risque de maniere systematique et durable.

L'essentiel est de ne pas traiter ce sujet comme un projet ponctuel mais comme un processus continu, integre dans vos operations quotidiennes de gestion du reseau. Que vous soyez une PME avec 20 equipements a Paris ou un grand groupe avec 2 000 equipements repartis entre Toulouse, Bordeaux, Lyon et le reste de la France, la demarche est la meme. Seule l'echelle des outils change — la rigueur de l'approche reste identique.