World Password Day : vos mots de passe ne servent à rien si vous commettez encore ces 4 erreurs
Le 7 mai 2026, le monde célèbre le World Password Day. Cette année, l’événement arrive dans un contexte où la France enchaîne les fuites de données à grande échelle. De nombreux Français ont ainsi renforcé leurs mots de passe en réaction à ces incidents. Mais ces efforts ne serviront à rien si vous continuez à commettre ces quatre erreurs.
Des fuites de données successives affectent la sécurité de millions de Français depuis quelques mois. Il y a celle de la Cegedim et ses 15 millions de dossiers santé compromis, de Pajemploi (URSSAF) avec 1,2 million de salariés exposés ou encore la compromission des sites Service-public.fr et France Travail.
Ces fuites n'ont pas exposé des mots de passe directement, mais elles créent les conditions parfaites pour les compromettre via de futures attaques. En cette journée du World Password Day, il est d’un bon ton de rappeler l’importance d’avoir un mot de passe fort. Mais ce n’est pas une assurance tout risque. Voici 4 erreurs à éviter absolument.
Vous vous connectez sur des WiFi publics sans protéger votre connexion
C'est l’une des erreurs les plus répandues. La plupart des gens se connectent régulièrement au WiFi gratuit d’un café, d’un aéroport, d’un hôtel ou de n’importe quel endroit public. Le problème : la sécurité sur les réseaux publics n’est jamais garantie à 100%. Consulter vos mails, votre banque en ligne ou vos réseaux sociaux comporte donc des risques.
Un mot de passe qui transite en clair ou qui est faiblement chiffré sur un réseau public peut être facilement intercepté par un hacker via une attaque de type man-in-the-middle ou via du simple packet sniffing.
C’est pourquoi les WiFi gratuits sont le terrain de chasse favori des cybercriminels. Il leur suffit de se positionner entre votre appareil et le point d'accès WiFi pour intercepter votre trafic non chiffré, y compris vos mots de passe, vos sessions actives ou même vos cookies d'authentification.
La bonne nouvelle, c’est qu’il est possible de se protéger efficacement sur ces réseaux. La première précaution est de toujours vérifier que les sites sur lesquels vous êtes sont en HTTPS, notamment via la présence d’un cadenas fermé au niveau de la barre d’adresse.
L’autre précaution consiste à chiffrer systématiquement votre trafic sur les WiFi Public en utilisant un VPN. Les meilleurs VPN résolvent le problème à la racine en sécurisant l'intégralité de votre connexion internet avec des protocoles comme AES-256 ou ChaCha20. Toutes les données en transit passent par un tunnel sécurisé. Même si un attaquant intercepte vos paquets, il ne peut en récupérer que du contenu illisible. Vos emails, mots de passe et vos sessions restent protégés.
Vous ne vérifiez pas l’authenticité des mails que vous recevez
Les hackers sont également très friands des attaques par phishing, l’une des plus faciles à réaliser, mais aussi l’une des plus efficaces. Le principe est simple : un cybercriminel usurpe l'identité d'un expéditeur de confiance (votre banque, un service administratif, Amazon, PayPal…) pour vous inciter à cliquer sur un lien. Vous êtes ensuite dirigé vers une page factice, visuellement identique à l'originale et êtes invité à saisir vos identifiants.
Ici, pas de chiffrement de vos mots de passe. Les informations sont directement envoyées aux pirates. Le phishing devient de plus en plus sophistiqué de nos jours : fini les mails truffés de fautes et les informations génériques qui peuvent vendre la mèche.
Les campagnes modernes sont soignées, personnalisées, et s'appuient parfois sur des données réelles vous concernant (votre prénom, le nom de votre opérateur, votre numéro de téléphone, etc.). Cette personnalisation est justement favorisée par les épisodes de fuites massives comme celles intervenues en France cette année.
Par exemple, avec les données URSSAF et Cegedim qui circulent, vous pouvez recevoir un email qui cite précisément votre employeur, votre date d'embauche ou votre médecin traitant. Difficile dans ces conditions de soupçonner une arnaque.
Avant d'ouvrir un lien reçu par mail, vérifiez toujours que l'adresse de l'expéditeur est bien authentique. Un email professionnel avec @gmail.com ou @hotmail.com doit systématiquement vous interpeler. Mais attention : de plus en plus de hackers utilisent des noms de domaine qui crédibilisent leurs mails.
Méfiez-vous également des messages qui jouent sur l'urgence : “votre compte sera suspendu dans 24h” ; “action requise immédiatement”, etc. C'est précisément ce stress artificiel qui pousse à cliquer sans réfléchir.
Il existe des outils qui vous protègent efficacement des emails frauduleux. C’est le cas de PhishGuard, intégré au service Proton Mail. Il utilise un ensemble de technologies avancées pour détecter les emails frauduleux. Un avertissement en rouge s'affiche alors à l’écran.
Vous réutilisez les mêmes identifiants sur plusieurs sites
Une adresse email ou un mot de passe compromis ouvre la voie à d’autres compromissions. En effet, lorsqu’un hacker récupère vos identifiants via une fuite de données ou du phishing, il peut lancer un autre type d’attaque connue sous le nom de credential stuffing. Cela consiste à tester automatiquement les mêmes identifiants sur des centaines d'autres services — banques, messageries, réseaux sociaux, boutiques en ligne.
Une seule fuite suffit donc pour compromettre l'ensemble de votre vie numérique. Il est donc très risqué d’utiliser le même mot de passe sur plusieurs services différents. Le constat est pourtant saisissant : selon une étude Bitwarden publiée en 2024, 84% des utilisateurs réutilisent leurs mots de passe sur plusieurs comptes. Cette pratique transforme chaque petite violation en une catastrophe généralisée.
La solution : utiliser un gestionnaire de mots de passe capable de générer et de stocker des identifiants uniques pour chaque site ou service. Proton Pass, qui est intégré à l'écosystème Proton, propose cette fonctionnalité avec un chiffrement de bout en bout. Mais le principe reste valable quel que soit l'outil que vous utilisez : un mot de passe différent par site, généré aléatoirement.
Vous ignorez l'authentification à deux facteurs
L'authentification à deux facteurs (2FA) constitue la barrière la plus efficace contre les attaques automatisées. Selon Microsoft, la double authentification bloque 99% de ces tentatives. Cette méthode fait appel à un second élément d’authentification, en plus de votre mot de passe. Généralement un code temporaire qui vous est envoyé par SMS ou via une application d'authentification comme Google Authenticator, Authy ou Microsoft Authenticator.
Ce faisant, même si un hacker récupère votre mot de passe via une fuite de données ou du phishing, il ne peut pas accéder à votre compte sans ce second facteur. Malgré cette barrière protectrice, de nombreux utilisateurs choisissent encore de ne pas activer l’authentification à double facteur, fragilisant encore plus leurs comptes.
En cette « Journée du Mot de Passe », c’est une bonne résolution que de faire en sorte d'éviter ces quatre erreurs. Un mot de passe robuste, c’est bien, mais cela ne garantit pas une protection renforcée de vos comptes en ligne si votre connexion n'est pas chiffrée, si vous ne vous protégez pas contrer le phishing ou si vous n’utilisez pas un gestionnaire de mots de passe.
Cet article est une publication sponsorisée proposée par Proton VPN.
