Attaque par force brute : comment les pirates devinent vos mots de passe
Une attaque par force brute consiste à essayer des milliers de combinaisons par seconde jusqu’à trouver le bon mot de passe, souvent à partir de listes de mots ou de mots de passe déjà volés. Avec du matériel récent, 8 lettres minuscules tombent en deux semaines, alors qu’un mot de passe long et unique reste hors de portée pendant des siècles. La CNIL recommande au moins 12 caractères variés ou une phrase de 7 mots, et la double authentification bloque l’attaque même si le mot de passe est trouvé.
Les pirates ne devinent pas votre mot de passe au hasard : ils le calculent, avec des machines et des listes de plus en plus efficaces. Voici comment fonctionne l’attaque, combien de temps résiste votre mot de passe et comment le rendre incassable.
Comment fonctionne une attaque par force brute
Le principe est simple : un programme essaie des combinaisons les unes après les autres jusqu’à tomber sur la bonne. Selon les cas, il attaque directement la page de connexion d’un site, ou travaille hors ligne sur une base de mots de passe volée, ce qui lui permet de tester des milliards de combinaisons sans être bloqué. Il existe plusieurs variantes.
| Variante | Comment elle procède | Exemple de mot de passe vulnérable |
|---|---|---|
| Force brute pure | Toutes les combinaisons possibles, de la plus courte à la plus longue | « k7m2q » |
| Attaque par dictionnaire | Des listes de mots courants, prénoms, équipes de foot, animaux | « chocolat », « marseille » |
| Attaque hybride | Des mots du dictionnaire avec les variantes habituelles : majuscule, année, lettres remplacées par des chiffres | « Marie2024! », « P@ssw0rd » |
| Pulvérisation de mots de passe | Quelques mots de passe très courants testés sur des milliers de comptes, pour ne pas déclencher de blocage | « 123456 », « azerty » |
| Credential stuffing | Des identifiants volés sur un site, testés sur tous les autres | Le même mot de passe partout |
L’attaque par dictionnaire est la plus redoutable pour les particuliers. Les pirates enrichissent leurs listes avec ce qu’ils trouvent sur vous en ligne : date de naissance, prénom d’un enfant, nom d’un animal, ville. Un mot de passe « personnel » est donc souvent le plus facile à deviner.
Combien de temps pour casser votre mot de passe
Chaque année, la société Hive Systems mesure le temps nécessaire pour casser un mot de passe par force brute, avec des cartes graphiques du commerce. Son tableau 2026, réalisé avec 16 cartes RTX 5090 louées en ligne, donne des ordres de grandeur parlants :
| Mot de passe | Temps pour le casser (tableau 2026) |
|---|---|
| Déjà présent dans une fuite, ou très courant | Quelques secondes |
| 8 lettres minuscules au hasard | Environ 2 semaines (environ 3 400 € de location de matériel) |
| 8 caractères, majuscules et minuscules | Environ 23 ans |
| 8 caractères, avec chiffres et symboles | Environ 132 ans |
| 18 caractères variés | Hors de portée |
Ces durées supposent que le site stocke votre mot de passe correctement, avec un algorithme lent conçu pour résister à ces attaques. Si le site le protège mal, les mêmes mots de passe tombent beaucoup plus vite. Le temps de calcul baisse aussi d’environ 20 % par an avec le nouveau matériel. La conclusion de Hive Systems est sans appel : la longueur compte plus que tout.
Ce que l’IA change
Les outils de cassage s’appuient désormais sur des modèles entraînés sur des milliards de mots de passe volés. Ils ne testent plus les combinaisons à l’aveugle : ils apprennent les habitudes humaines, comme la majuscule au début, l’année ou le point d’exclamation à la fin, ou le « a » remplacé par « @ ». Un mot de passe qui suit ces schémas est deviné bien avant d’être atteint par une recherche exhaustive. Les mots de passe générés au hasard par un gestionnaire n’offrent aucune prise à ces modèles.
Ce que visent les pirates
Les comptes en ligne sans double authentification sont la cible principale : messagerie, réseaux sociaux, sites marchands. Les box internet sont aussi visées, à travers le mot de passe wifi et le code WPS, que notre guide pour sécuriser votre Freebox apprend à désactiver. La force brute sert enfin à deviner des numéros de carte bancaire valides, une technique appelée carding et décrite dans notre dossier sur la fraude à la carte bancaire.
Les signes que vos comptes sont visés
Plusieurs alertes doivent vous faire réagir : un mail ou une notification de connexion depuis un appareil inconnu, un code de validation reçu par SMS sans l’avoir demandé, un compte temporairement bloqué après « trop de tentatives ». Dans ce cas, changez le mot de passe du compte concerné et de tous ceux qui utilisent le même, puis activez la double authentification.
Se protéger
La CNIL a mis à jour ses recommandations en octobre 2022. Elle propose trois façons d’obtenir un mot de passe assez solide :
- 12 caractères minimum, avec majuscules, minuscules, chiffres et caractères spéciaux ;
- 14 caractères minimum, avec majuscules, minuscules et chiffres, sans caractère spécial obligatoire ;
- une phrase de passe d’au moins 7 mots.
Personne ne peut retenir un mot de passe différent par site : c’est le rôle d’un gestionnaire de mots de passe. KeePassXC, gratuit et libre, a reçu en novembre 2025 la certification de sécurité de l’ANSSI. Bitwarden et Proton Pass sont des alternatives simples à synchroniser entre appareils. Notre comparatif des gestionnaires de mots de passe détaille leurs différences, et nos conseils pour créer un mot de passe fort complètent ces règles.
Activez ensuite la double authentification partout où elle existe : même deviné, le mot de passe ne suffit plus. Quand un site propose les clés d’accès (passkeys), utilisez cette option. Il n’y a alors plus de mot de passe à deviner.
Pour les sites et les PME
Pour la CNIL, le blocage des comptes après un nombre limité d’échecs de connexion est la « première ligne » de défense contre la force brute. Une temporisation croissante entre deux essais, un captcha après plusieurs échecs et une alerte envoyée à l’utilisateur complètent le dispositif. Les mots de passe ne doivent jamais être stockés en clair, mais avec un algorithme de hachage lent et adapté.
FAQ
Une attaque par force brute est-elle illégale ?
Oui. Tenter d’accéder sans autorisation à un compte ou à un système est un délit, puni même si la tentative échoue.
Un mot de passe de 8 caractères suffit-il ?
Non. Même avec chiffres et symboles, 8 caractères restent en dessous des recommandations de la CNIL, et un mot de passe court tombe très vite s’il a fuité ou s’il suit un schéma courant.
Faut-il changer son mot de passe régulièrement ?
Non, selon la CNIL, sauf pour les comptes d’administration. Il faut en revanche le changer immédiatement en cas de fuite ou de doute.
Les clés d’accès suppriment-elles le risque ?
Elles suppriment la force brute, puisqu’il n’y a plus de mot de passe à deviner, et elles résistent au hameçonnage. Elles ne protègent pas d’un appareil déverrouillé laissé entre de mauvaises mains.
