La fuite du siècle : 16 milliards de mots de passe compilés dans une méga-base en ligne

Une compilation titanesque de brèches historiques et récentes

Une base de données gigantesque regroupant plus de 16 milliards d'identifiants uniques (couples adresses email et mots de passe) a été mise en ligne gratuitement sur un forum de cybercriminalité populaire. Cette fuite, repérée par des chercheurs en sécurité à la mi-2025, représente l'une des compilations de données d'identification les plus volumineuses jamais observées à ce jour. Contrairement à une attaque unique, cette base est le fruit d'un travail minutieux de collecte et d'agrégation de milliers de fuites de données antérieures combinées à de nouveaux piratages inédits.

L'alimentation directe des campagnes de "Credential Stuffing"

Le principal danger de cette mise à disposition gratuite réside dans la recrudescence immédiate des attaques par saturation d'identifiants (credential stuffing). Ces attaques automatisées consistent à tester ces milliards de combinaisons sur des centaines d'autres sites web (banques, e-commerce, services publics) dans l'espoir de trouver des comptes où les utilisateurs ont réutilisé le même mot de passe. Avec un taux de réussite moyen de 1 à 2 %, cette base pourrait potentiellement permettre de compromettre des centaines de millions de comptes à travers le monde.

La fin définitive du mot de passe simple

Pour les spécialistes de l'identité numérique, cet événement sonne le glas définitif de la gestion classique de la sécurité par simple mot de passe. Même un mot de passe complexe devient totalement inefficace s'il est volé sur un site tiers mal sécurisé et réutilisé ailleurs. La généralisation des gestionnaires de mots de passe (pour garantir un code unique par service) et surtout l'adoption de clés d'accès physiques (Passkeys) ou d'applications d'authentification multifacteur (MFA) deviennent la seule véritable barre de défense efficace.

Comment savoir si vous êtes concerné ?

Les services de vérification en ligne comme "Have I Been Pwned" ont rapidement intégré cette gigantesque base de données pour permettre aux internautes de vérifier si leurs adresses e-mail figurent dans le lot. En cas de détection positive, il est impératif de modifier immédiatement les accès sur l'ensemble des plateformes et d'activer sans délai la double authentification partout où elle est disponible.