Votre mot de passe est quelque part . 16 milliards d'identifiants exposés en une seule fuite. La vraie question n'est plus « est-ce que je serai touché ? » mais « combien de mes comptes tomberont d'un coup ? » On a tous le même réflexe : un mot de passe « assez solide », réutilisé partout, parce qu'il est impossible d'en retenir quarante. Le problème, c'est que les attaquants comptent précisément là-dessus. Aujourd'hui, ce ne sont plus des génies qui « cassent » votre mot de passe : ce sont des robots qui rejouent des identifiants déjà volés ailleurs. Voici pourquoi le mot de passe mémorisé a atteint sa limite — illustré par des cas réels et récents — et ce qu'un gestionnaire de mots de passe change concrètement. 16 Md d'identifiants exposés dans une seule compilation découverte en juin 2025 6 167 fuites de données recensées par la CNIL en 2025, +10 % sur un an 88 % des attaques web exploitent des identifiants volés (Verizon 2025) Le danger n'est pas un mot de passe faible. C'est un mot de passe réutilisé. En juin 2025, les chercheurs de Cybernews ont mis au jour une compilation de 16 milliards d'identifiants agrégés depuis une trentaine de bases différentes, touchant des comptes Google, Apple, des VPN et même des sites gouvernementaux. Le détail le plus inquiétant : il ne s'agissait pas de vieilles fuites recyclées, mais de données fraîches et immédiatement exploitables, incluant des cookies et des tokens de session. Et ce volume n'est pas une exception. Le rapport 2025 de la CNIL recense 6 167 fuites de données , en hausse de 10 % sur un an. Statistiquement, une partie de vos identifiants circule déjà. Tant qu'un mot de passe reste unique à un seul service, sa fuite reste un incident isolé. Réutilisé sur dix sites, il devient une clé passe-partout. Le « credential stuffing », ou comment une fuite en déclenche dix Le principe, vu côté attaquant, est d'une simplicité désarmante. Un mot de passe volé sur le site A est rejoué automatiquement, par des bots, sur des centaines d'autres services : banque, messagerie, réseaux sociaux, e-commerce. Comme l'indique la CNIL : une clé unique qui ouvre toutes les portes. Selon le rapport Verizon 2025, des identifiants volés ou forcés sont impliqués dans 88 % des attaques web . Côté défenseur, c'est l'attaque au meilleur rapport effort/gain qui existe : pas de faille à trouver, pas d'exploit sophistiqué. On loue une liste à bas prix, on lance les bots depuis des milliers d'adresses IP, et un faible pourcentage de réussite sur des millions de comptes suffit à rentabiliser l'opération. 14 000 comptes piratés → 6,9 millions exposés Entre avril et septembre 2023, des attaquants ont accédé à environ 14 000 comptes par credential stuffing — en rejouant des mots de passe réutilisés. Via les fonctions de partage de données, ils ont atteint les données de 5,5 millions de profils supplémentaires et 1,4 million d'arbres généalogiques. Résultat : un règlement collectif de 30 M$ et une mise sous protection de la loi sur les faillites en 2025. Aucun de ces utilisateurs n'avait été « piraté » directement — un seul mot de passe réutilisé a suffi. Données sensibles siphonnées en 3 jours En décembre 2022, PayPal a subi une attaque massive par credential stuffing. Noms complets, numéros fiscaux et de sécurité sociale, détails de cartes ont été exposés — non pas par une faille de PayPal, mais parce que les identifiants réutilisés des clients avaient déjà fuité ailleurs. Le transport public francilien visé Une attaque par bourrage d'identifiants, appuyée sur des identifiants volés, a permis d'accéder frauduleusement à des comptes utilisateurs de l'opérateur de transport parisien — illustration locale et récente que personne n'est hors de portée. Le mythe du « mot de passe complexe » Un rapport analysant plus d'un milliard de mots de passe volés par des malwares le confirme : beaucoup dépassaient les exigences de longueur et de complexité réglementaires. Face à un infostealer qui lit votre mot de passe en clair sur votre appareil, la complexité ne protège de rien. Ce qui compte, c'est l'unicité et le second facteur. Mémoriser, c'est le problème. Déléguer, c'est la solution. La cause racine de tout ce qui précède n'est pas technique, elle est humaine : un cerveau ne peut pas générer et retenir 40 mots de passe uniques et aléatoires. Donc on réutilise. Un gestionnaire de mots de passe supprime ce compromis à la racine — vous ne retenez plus qu'un seul secret maître, lui s'occupe du reste. Le bénéfice anti-phishing est sous-estimé : un gestionnaire ne remplit vos identifiants que sur le domaine exact enregistré. Sur un faux site « paypa1.com », il refuse simplement de remplir — là où un humain pressé se ferait piéger. Vos 5 prochaines minutes Un dernier réflexe de sécurité : si vous recevez une alerte de fuite pour un service précis, ne cliquez jamais sur le lien du mail. Ouvrez vous-même l'application ou tapez l'adresse manuellement, puis changez le mot de passe depuis là. Les notifications de fuite sont un terrain de phishing idéal. Vérifiez l'exposition de vos adresses sur Have I Been Pwned — gratuit et reconnu. Installez un gestionnaire et créez un mot de passe maître long et unique (une phrase de passe est idéale). Activez l'authentification à deux facteurs (2FA/MFA) : Microsoft estime qu'elle bloque plus de 99,9 % des compromissions de comptes. Changez en priorité les mots de passe réutilisés sur vos comptes critiques : e-mail principal d'abord, puis banque. Laissez le gestionnaire régénérer progressivement le reste, un site à la fois. Arrêtez de mémoriser. Commencez à protéger. Créez votre coffre QubKey : générez, stockez et remplissez des mots de passe uniques sur tous vos appareils — en quelques minutes. Cet article est fourni à titre informatif. Les cas cités (23andMe, PayPal, Île-de-France Mobilités, fuite Cybernews de juin 2025) reposent sur des publications de presse spécialisée et d'autorités comme la CNIL. En cas de notification de fuite, suivez toujours les instructions officielles du service concerné.