Vous souvenez-vous de cette époque où un mot de passe de quatre lettres suffisait?
Pas de majuscule. Pas de chiffre. Pas de symbole. Juste de bonne vieilles lettres!
Yahoo et AltaVista dominaient. On se parlait sur ICQ. On recevait encore des CD d’AOL par la poste.
L’âge d’or du web!
Puis les mots de passe ont changé.
Quatre lettres sont devenues cinq. Puis six. Puis huit.
Il a fallu ajouter des chiffres. Des majuscules. Des caractères spéciaux.
Et changer son mot de passe chaque année. Puis tous les trois mois. Puis presque tout le temps.
Ouf.
Oui, c’est fatigant.
Non, c’est pas amusant.
Mais c’est pour une bonne cause.
Et ça, on l’oublie souvent.
Je suis tombé récemment sur un article qui illustre parfaitement ce qui arrive quand on prend la sécurité à la légère. Je vous raconte.
Une entreprise de logistique britannique.
158 ans d’existence.
Faillite en 22 jours.
La cause? Un mot de passe faible.
Des attaquants ont simplement testé des mots de passe courants à l’aide d’un script. Ils sont tombés sur le bon. Une fois à l’intérieur, ils ont chiffré l’ensemble des systèmes et exigé une rançon.
Problème: les sauvegardes faisaient partie des données affectées. Impossible de restaurer. Impossible de payer. Fin de l’histoire.
Tout ça à cause d’un seul mot de passe.
Et pourtant, ce n’est même pas la faute de la personne qui la choisi le dit mot de passe. Cette personne n’aurait jamais dû pouvoir utiliser un mot de passe aussi faible.
La responsabilité est organisationnelle.
Si un seul mot de passe permet de faire tomber toute une entreprise, c’est qu’il existe déjà de sérieux problèmes ailleurs: absence de segmentation, authentification multifactorielle optionnelle, politiques de mots de passe déficientes, accès trop larges, contrôles insuffisants.
Peu d’entreprises sont irréprochables à ce chapitre. La majorité peut, et doit, faire mieux.
Au minimum, toute organisation devrait:
- renforcer ses règles de mots de passe
- rendre l’authentification multifactorielle obligatoire
- imposer l’utilisation d’un gestionnaire de mots de passe tel que 1Password, LastPass ou autre
Ce n’est pas une question de paranoïa.
C’est une question de survie numérique.
Pour les dirigeants, la cybersécurité n’est pas un détail technique à déléguer. C’est une responsabilité de gouvernance. Un mot de passe faible n’est jamais un incident isolé. C’est le symptôme d’un manque de décisions claires, de priorités assumées et de règles réellement appliquées.
La sécurité coûte toujours moins cher quand elle est décidée en amont que lorsqu’elle est imposée après coup. Et dans bien des cas, elle ne relève pas d’un investissement massif, mais simplement de standards non négociables.
La question n’est pas de savoir si une attaque surviendra.
La question est de savoir si l’organisation sera encore debout après.
