Comment proteger les identifiants de vos employes contre le vol en 7 etapes

Le piratage de la DGFiP cet ete a mis en lumiere une realite que nous constatons chaque semaine en audit : les identifiants voles sont le premier vecteur d'intrusion en France, devant les failles logicielles, devant le phishing, devant tout le reste. Pas parce que les attaquants sont ingenieux, mais parce que les defenses sont absentes la ou elles comptent.

Ce guide n'est pas theorique. Chacune des sept etapes a ete testee en conditions reelles dans des PME francaises de 10 a 500 employes. Elles sont classees par ordre de priorite : si vous ne faites que les trois premieres, vous aurez deja neutralise la majorite des attaques par identifiants voles. Si vous faites les sept, vous aurez un niveau de protection que la plupart des entreprises du CAC 40 n'avaient pas il y a trois ans.

Etape 1 : Dresser l'inventaire complet de vos acces

Vous ne pouvez pas proteger ce que vous ne connaissez pas. La premiere etape est un inventaire exhaustif de tous les comptes qui accedent a vos systemes, vos donnees et vos outils. Pas seulement les comptes Active Directory : les comptes SaaS, les acces API, les comptes de prestataires, les comptes de service.

Dans les PME que nous auditons, la reponse spontanee au nombre de comptes a privileges est « quatre ou cinq ». La reponse reelle, apres inventaire, est systematiquement entre douze et trente. La difference provient de comptes oublies : anciens prestataires, comptes de test jamais supprimes, comptes de service crees pour une migration et jamais revoques.

Comment faire concretement :

• Exportez la liste des utilisateurs de votre Active Directory, Google Workspace ou Microsoft 365.
• Listez chaque application SaaS utilisee (CRM, ERP, comptabilite, marketing, support) et les comptes associes.
• Identifiez les comptes de prestataires externes et leur date de derniere connexion.
• Marquez chaque compte avec son niveau de privilege : administrateur, utilisateur standard, lecture seule.
• Supprimez immediatement tout compte inactif depuis plus de 90 jours.

Cout : zero euro. Duree : une demi-journee pour une PME de 50 personnes. Impact : vous venez de reduire votre surface d'attaque de 20 a 40 % en supprimant les comptes dormants.

Etape 2 : Deployer le MFA sur tous les acces critiques

L'authentification multifacteur est la mesure la plus efficace qui existe contre le vol d'identifiants. Microsoft estime qu'elle bloque 99,9 % des attaques par credentials voles. Ce chiffre n'est pas un argument marketing : il reflete le fait qu'un attaquant qui possede un mot de passe ne possede pas le telephone de la victime.

Le piratage de la DGFiP cet ete est la demonstration parfaite : si le MFA avait ete actif sur les comptes compromis, ZeroBytes n'aurait pas depasse la premiere porte. Les identifiants voles par infostealer auraient ete inutiles sans le second facteur.

Ordre de deploiement par priorite :

1. Messagerie (premier vecteur de compromission laterale)
2. VPN et acces distants (porte d'entree vers le reseau interne)
3. Outils financiers (paie, comptabilite, banque en ligne)
4. ERP et CRM (donnees clients et metier)
5. Consoles d'administration (cloud, serveurs, DNS)
6. Tous les autres outils SaaS contenant des donnees sensibles

Hierarchie des facteurs : Les cles FIDO2 (YubiKey, Titan) offrent la meilleure protection car elles sont resistantes au phishing. Les applications TOTP (Google Authenticator, Microsoft Authenticator, Authy) viennent ensuite. Le SMS est le maillon le plus faible — vulnerable au SIM swapping — mais il reste infiniment preferable a aucun MFA.

Etape 3 : Definir une politique de mots de passe qui fonctionne

Les politiques de mots de passe de la plupart des entreprises datent de 2010 et produisent l'effet inverse de celui recherche. Exiger un changement tous les 90 jours, avec majuscule, chiffre et caractere special, pousse les employes a utiliser Entreprise2026! au lieu de Entreprise2025!. C'est previsible, et les attaquants le savent.

Les recommandations du NIST (SP 800-63B) et de l'ANSSI ont evolue. Voici ce qui fonctionne en 2026 :

• Longueur minimale de 14 caracteres pour les comptes standards, 20 pour les comptes a privileges. La longueur bat la complexite.
• Pas de rotation forcee sauf en cas de compromission avere. Le changement periodique degrade la qualite des mots de passe.
• Verification contre les bases de fuites a la creation. Si le mot de passe choisi apparait dans Have I Been Pwned, il est refuse.
• Interdiction formelle de la reutilisation entre comptes personnels et professionnels. Cette regle est la plus importante et la plus difficile a faire respecter sans gestionnaire de mots de passe (etape 4).
• Pas de questions secretes. Le nom de jeune fille de votre mere est sur Facebook. Votre premier animal de compagnie aussi.

Une politique de mots de passe efficace tient sur une page. Si elle en fait cinq, personne ne la lit. Si personne ne la lit, elle n'existe pas.

Etape 4 : Deployer un gestionnaire de mots de passe d'entreprise

Un employe moyen gere entre 80 et 120 comptes. Aucun etre humain ne memorise 120 mots de passe differents de 14 caracteres. C'est de l'arithmetique, pas de la negligence. Sans gestionnaire de mots de passe, vos employes reutilisent. Et si un de ces mots de passe reutilises fuit sur un site tiers compromis, il donne acces a votre entreprise.

Les trois solutions que nous recommandons pour les PME francaises :

• Bitwarden (a partir de 3 EUR/mois/utilisateur) : open source, audite, hebergement possible en Europe. Notre premier choix pour les PME soucieuses de souverainete.
• 1Password Business (environ 7 EUR/mois/utilisateur) : excellent pour les equipes qui partagent beaucoup d'acces. Watchtower integre pour la detection des fuites.
• Dashlane Business (environ 8 EUR/mois/utilisateur) : le plus simple a deployer, VPN integre en bonus.

Regles de deploiement :

• Le mot de passe maitre du coffre doit etre une phrase de passe de 5 mots minimum, unique, jamais reutilisee.
• Le MFA doit etre actif sur le coffre lui-meme — de preference avec une cle FIDO2.
• Les coffres partages doivent avoir des droits granulaires : le marketing n'accede pas aux identifiants financiers.
• Le deploiement se fait en accompagnant chaque employe individuellement. Un e-mail d'annonce suivi d'un lien de telechargement produit un taux d'adoption de 20 %. Un accompagnement individuel de 15 minutes produit un taux de 95 %.

Etape 5 : Surveiller les fuites d'identifiants en continu

Meme avec un MFA deploye partout et un gestionnaire de mots de passe, vous devez savoir quand un identifiant fuit. Le temps moyen entre une fuite de credentials et sa detection est de 233 jours (IBM Cost of a Data Breach 2025). Pendant ces 233 jours, l'attaquant peut tenter d'exploiter l'identifiant, et si le MFA n'est pas actif sur un acces secondaire que vous avez oublie, il entrera.

Trois niveaux de surveillance :

1. Niveau 1 — Gratuit : Have I Been Pwned. Verifiez vos domaines manuellement chaque mois. Inscrivez-vous aux alertes par domaine (gratuit). C'est le minimum absolu.
2. Niveau 2 — 100 a 300 EUR/mois : Service de surveillance du dark web. SpyCloud, Flare ou Hudson Rock scannent en continu les logs d'infostealers et les bases de donnees volees. Ils detectent les fuites en heures, pas en mois. C'est le niveau que nous recommandons pour toute PME de plus de 20 employes.
3. Niveau 3 — Integre au SOC : Surveillance en temps reel. Les alertes de connexion suspecte (nouveau pays, nouvel appareil, horaire inhabituel) sont traitees par un SOC en 24/7. C'est le niveau des ETI et des entreprises soumises a NIS 2. Notre SOC manage integre cette surveillance.

La question n'est pas si les identifiants de vos employes fuiteront un jour, mais quand. Et la difference entre une fuite detectee en 24 heures et une fuite detectee en 233 jours, c'est la difference entre un mot de passe change et une intrusion complete.

Etape 6 : Mettre en place l'acces conditionnel

L'acces conditionnel est le bras arme du zero-trust : au lieu de donner un acces binaire (oui/non) sur la base d'un identifiant, vous ajoutez des conditions contextuelles qui doivent etre remplies simultanement pour que l'acces soit accorde.

Les conditions les plus efficaces :

• Restriction geographique. Si vos employes sont en France, bloquez les connexions depuis les pays ou vous n'avez aucune activite. Un identifiant vole utilise depuis un autre continent est immediatement bloque.
• Appareils connus. Autorisez la connexion uniquement depuis des appareils enregistres (MDM ou politique d'enrolement). Un identifiant vole utilise depuis un appareil inconnu declenche une verification supplementaire.
• Plages horaires. Les tentatives de connexion a 3 heures du matin un dimanche declenchent une alerte, pas un acces.
• Risque de session. Si Azure AD ou Google Workspace detecte un comportement anormal (deplacement impossible, volume de telechargement inhabituel), la session est interrompue et une reauthentification est exigee.

Microsoft Entra ID (ex-Azure AD) et Google Workspace incluent des fonctionnalites d'acces conditionnel dans leurs offres Business. Vous payez probablement deja pour cette fonctionnalite sans l'utiliser.

Etape 7 : Preparer la reponse en cas de vol d'identifiants

Meme avec les six etapes precedentes en place, un identifiant peut etre compromis. La question n'est pas de rendre l'impossible possible, mais de reduire le temps de reaction a moins d'une heure au lieu des 233 jours de moyenne constatee.

Votre procedure de reponse doit couvrir quatre scenarios :

1. Un employe signale un phishing reussi. Dans les 15 minutes : revocation de la session active, changement du mot de passe, revocation des tokens OAuth, verification des regles de transfert de messagerie, notification au responsable securite.
2. La surveillance dark web detecte un identifiant fuite. Dans l'heure : changement force du mot de passe, verification du MFA, analyse des journaux de connexion des 30 derniers jours, verification des acces consentis.
3. Une connexion suspecte est detectee. Immediatement : blocage de la session, contact avec l'employe concerne pour confirmer ou infirmer, analyse forensique du poste si l'employe nie la connexion.
4. Un infostealer est detecte sur un poste. Immediatement : isolation du poste, changement de tous les mots de passe stockes dans le navigateur, revocation de toutes les sessions actives, reinstallation du poste a partir d'une image propre.

Ces procedures s'ecrivent en une apres-midi et se testent en une heure. Elles ne necessitent aucun outil : elles necessitent que chaque personne impliquee sache exactement quoi faire, dans quel ordre, et en combien de temps. Notre guide sur la protection des credentials detaille les procedures specifiques aux environnements cloud.

Conclusion : 7 etapes, 300 euros par mois, 90 % des attaques neutralisees

Le vol d'identifiants n'est pas un probleme technique sophistique. C'est un probleme d'hygiene organisationnelle que sept mesures concretes resolvent a 90 %. Les trois premieres sont gratuites. Les quatre suivantes coutent entre 300 et 700 euros par mois pour une PME de 50 personnes.

A comparer au cout moyen d'une violation de donnees en France : 4,2 millions d'euros selon le rapport IBM 2025. Ou au cout de reputation. Ou au cout en temps : six mois de gestion de crise au lieu de six mois de developpement commercial.

Le piratage de la DGFiP cet ete a demontre qu'un seul identifiant vole sur un appareil personnel peut traverser un reseau interministeriel entier. Votre reseau d'entreprise n'est ni plus complexe ni mieux protege que celui de l'administration francaise. Les mesures decrites dans cet article sont celles qui auraient bloque ZeroBytes a la premiere porte. Elles bloqueront aussi celui qui essaiera chez vous.

Commencez par l'etape 1 aujourd'hui. L'inventaire prend une demi-journee. Les comptes inactifs que vous supprimerez ce soir sont les comptes qu'un attaquant ne pourra pas utiliser demain.