Un mot de passe volé chez un simple fournisseur en ligne peut suffire à compromettre toute votre messagerie professionnelle. Les identifiants d’entreprise se revendent activement sur le dark web, souvent à l’insu des personnes concernées. La meilleure parade combine authentification à double facteur, gestionnaire de mots de passe et une assurance cyber adaptée pour transférer le risque résiduel.
Chaque compromission de données alimente des places de marché clandestines où se négocient des millions d’identifiants professionnels. Un email de connexion, un mot de passe d’accès à un outil métier ou des identifiants VPN : tout se monnaie, parfois pour quelques francs.
Une entreprise peut être victime sans avoir été directement piratée. Une fuite chez un prestataire tiers, ou simplement la réutilisation d’un même mot de passe par un collaborateur sur plusieurs services, suffit à ouvrir une brèche. Voyons comment ce marché fonctionne, pourquoi le credential stuffing menace les PME suisses, et comment s’en prémunir.
Comment vos identifiants professionnels finissent sur le dark web
Les identifiants professionnels ne tombent pas entre de mauvaises mains par hasard. Ils proviennent le plus souvent du piratage d’un fournisseur SaaS, d’une campagne de phishing ciblée, ou de bases de données mal sécurisées exposées publiquement.
Une fois récupérées, ces informations sont mises en vente sur des forums et places de marché clandestines, à l’unité ou regroupées en « combolists », de vastes listes compilant des identifiants issus de multiples fuites. Lorsque les identifiants proviennent d’un malware identifié, la source est précisée ; sinon, il s’agit souvent de listes massives diffusées telles quelles sur le dark web.
Le prix varie fortement selon le niveau d’accès offert : un simple couple email/mot de passe se négocie bien moins cher qu’un accès administrateur à un système d’entreprise ou qu’un compte cloud avec droits étendus. Les identifiants professionnels valent ainsi plus cher que les identifiants personnels : ils ouvrent la porte à des données clients, à des réseaux internes ou à des outils financiers.
Les infostealers, principale source d’approvisionnement
Les infostealers sont des logiciels malveillants conçus pour aspirer discrètement les identifiants stockés dans les navigateurs et applications d’un poste infecté. Ces maliciels ne font aucune différence entre identifiants personnels et professionnels : un ordinateur personnel mal protégé peut ainsi devenir la porte d’entrée vers les systèmes d’une entreprise entière. Les courtiers en accès initiaux cherchent ensuite à valoriser les identifiants professionnels ainsi collectés.
Le credential stuffing : quand un mot de passe volé ouvre plusieurs portes
Le credential stuffing, ou « bourrage d’identifiants », consiste à tester automatiquement des combinaisons d’identifiants et de mots de passe récupérés lors de précédentes fuites de données. Les cybercriminels utilisent des outils automatisés pour tester ces combinaisons sur plusieurs sites web, en misant sur un comportement humain très répandu.
Cette technique fonctionne parce que de nombreuses personnes réutilisent leurs mots de passe sur différentes plateformes. Un collaborateur qui utilise le même mot de passe pour son compte personnel de shopping et pour sa messagerie professionnelle offre, sans le savoir, une clé d’entrée directe aux attaquants.
Concrètement, cette méthode permet aux cybercriminels d’accéder à des comptes de messagerie professionnelle (Microsoft 365, Google Workspace) en rejouant, à grande échelle, des identifiants déjà divulgués ailleurs. Elle sert ensuite à dérober d’autres informations stockées dans les comptes compromis. Pour une PME, les conséquences peuvent inclure :
- Un accès non autorisé à la messagerie professionnelle
- Une fraude au président ou à l’ordre de virement
- L’exfiltration de données clients sensibles
- Un rebond vers d’autres systèmes internes de l’entreprise
Les conséquences d’un vol d’identifiants pour une PME ou un indépendant suisse
Un vol d’identifiants ne se limite jamais à un simple désagrément technique. Il engendre des impacts opérationnels concrets : interruption d’activité, blocage de systèmes critiques, perte ou chiffrement de données. S’y ajoutent des impacts financiers directs, entre frais de remédiation, éventuelle rançon et perte de chiffre d’affaires liée à l’arrêt de l’activité.
Sur le plan juridique, la nouvelle loi sur la protection des données (nLPD) impose des obligations précises en cas de fuite touchant des données personnelles. L’obligation de notification s’applique aux incidents présentant un risque élevé pour la personne concernée, et une omission délibérée de notifier peut exposer les dirigeants à des sanctions. Cette dimension réglementaire s’ajoute au risque réputationnel vis-à-vis des clients et partenaires.
L’ampleur du phénomène en Suisse n’est plus anecdotique. Le nombre de cyberincidents signalés a nettement augmenté en 2024, avec près de 63’000 signalements reçus par l’Office fédéral de la cybersécurité, soit environ 13’500 déclarations de plus que l’année précédente. Chaque semaine, l’OFCS analyse les signalements reçus et publie en ligne les principales tendances observées – un rythme qui montre à quel point la menace est devenue quotidienne, y compris pour les plus petites structures.
Les PME suisses sont des cibles privilégiées, souvent perçues comme moins bien protégées que les grands groupes, tout en donnant accès à des données clients ou à des chaînes d’approvisionnement tout aussi précieuses. Un vol d’identifiants ayant causé un préjudice à un tiers, client ou partenaire, peut également engager votre assurance responsabilité civile professionnelle. Mieux vaut anticiper ce risque en amont.
Se prémunir et transférer le risque : bonnes pratiques et couverture cyber
Face à ces menaces, quelques mesures préventives réduisent l’exposition d’une entreprise :
- Activer l’authentification à double facteur (2FA/MFA) sur tous les comptes sensibles
- Utiliser un gestionnaire de mots de passe pour éviter toute réutilisation
- Imposer une politique de mots de passe uniques et renouvelés régulièrement
- Mettre en place une surveillance des fuites (dark web monitoring)
- Sensibiliser régulièrement les collaborateurs, première ligne de défense face au phishing
Ces bonnes pratiques réduisent le risque, mais ne l’éliminent jamais totalement. Une assurance cyber adaptée reste un complément indispensable en cas de vol d’identifiants avéré : prise en charge des frais de gestion de crise, investigation forensique, notification aux autorités et aux clients concernés, pertes d’exploitation, ou responsabilité civile en cas de dommage causé à des tiers.
Chez Bien-Assuré, nous accompagnons les indépendants et les PME suisses dans le choix d’une couverture adaptée à la taille et au métier de leur entreprise, plutôt qu’une solution standardisée mal calibrée.
Ce que couvre (et ne couvre pas) une police cyber en cas de credential stuffing
Il convient de distinguer la couverture des dommages directs subis par l’entreprise (frais techniques de remédiation, notification aux autorités) de la couverture responsabilité civile, qui intervient lorsque des tiers, clients ou partenaires, subissent eux-mêmes un préjudice suite à l’incident.
Vérifiez attentivement les exclusions liées à la négligence, telles que l’absence de mesures de sécurité de base comme le MFA ou le non-renouvellement de mots de passe compromis. Pour rester informé des menaces actuelles, consultez régulièrement les recommandations officielles de l’Office fédéral de la cybersécurité, avant même de souscrire une couverture dédiée.
