Mots de passe : Dashlane dévoile le top 10 des plus mauvais comportements

Dashlane annonce la 3e édition de sa liste annuelle des plus mauvais comportements en matière de gestion de mots de passe. Ce classement met en évidence les personnalités et organisations ayant commis les plus grosses gaffes dans ce domaine en 2018.

« Les mots de passe sont la première ligne de défense contre les cyberattaques », explique Emmanuel Schalit, CEO de Dashlane. « Des informations sensibles peuvent se retrouver en péril à cause d’identifiants faibles, réutilisés, ou faisant l’objet d’une mauvaise gestion par une organisation. »

Un internaute possède en moyenne 200 comptes en ligne

Selon les résultats de Dashlane, un internaute possède en moyenne 200 comptes en ligne nécessitant des mots de passe, et l’éditeur s’attend à ce que ce total soit multiplié par 2 au cours des 5 prochaines années. « Compte tenu des nombreux comptes nécessitant des mots de passe, tout le monde est susceptible de commettre les mêmes erreurs que les mauvais exemples de notre classement. Nous espérons que cette liste favorisera une prise de conscience générale quant à la nécessité de suivre les meilleures pratiques en matière de sécurité. »

Les « mauvais exemples » de Dashlane en 2018 (en partant du plus mauvais élève) : 

1. Kanye West : le rappeur n’en est plus à une controverse près. Kanye s’est cependant retrouvé de nouveau sous les feux des projecteurs cette année lorsqu’il a été filmé en train de déverrouiller son iPhone à l’aide du code « 000000 », à l’occasion de sa tristement célèbre rencontre avec Donald Trump à la Maison Blanche. Utiliser un mot de passe faible est déjà risqué en soi ; mais faire l’étalage éhonté de cette mauvaise pratique dans une pièce remplie de caméras de télévision relève de l’exploit. Kanye devra donc protéger et renforcer ses mots de passe autant que possible – et au plus vite. 
2. Le Pentagone : il est regrettable de voir le Ministère de la Défense des États-Unis occuper la 2e place cette année alors qu’il s’était déjà placé 4e l’année dernière. Malheureusement, un audit dévastateur du Government Accountability Office (GAO) chargé du contrôle des administrations publiques a découvert de nombreuses failles de cybersécurité au sein de plusieurs systèmes du Pentagone. Parmi les points problématiques : le fait qu’une équipe d’auditeurs ait été capable de deviner des mots de passe administrateur en seulement 9 secondes, ainsi que le fait que plusieurs systèmes d’armement étaient protégés avec des mots de passe par défaut susceptibles d’être trouvés par n’importe quel particulier à l’aide d’une simple recherche sur Google. 
3. Les détenteurs de cryptomonnaies : alors que la valeur des cryptomonnaies atteignait des niveaux records en début d’année, de nombreux détenteurs ont eu l’opportunité de les convertir pour empocher leurs gains. Encore aurait-il fallu qu’ils se souviennent de leurs mots de passe : une multitude d’articles ont en effet raconté les mésaventures d’individus ayant recours à des manœuvres désespérées (comme le fait de solliciter les services d’un hypnotiseur) pour parvenir à récupérer ou juste se remémorer les identifiants de leurs portefeuilles numériques. 
4. Nutella : Nutella a fait l’objet de vives critiques pour avoir donné des conseils figurant parmi les plus absurdes de l’année en matière de sécurité. La société de l’inégalable pâte à tartiner aux noisettes et au chocolat a en effet encouragé ses abonnés sur Twitter à utiliser « Nutella » comme mot de passe. Pour couronner le tout, l’entreprise a envoyé ce tweet mal inspiré pour célébrer la Journée mondiale du mot de passe. 
5. Les cabinets d’avocats britanniques : au Royaume-Uni, des chercheurs ont découvert que plus d’un million d’e-mails et de mots de passe professionnels utilisés par 500 des principaux cabinets d’avocats de la région étaient disponibles sur le dark web. Pour ne rien arranger, la plupart de ces identifiants étaient stockés en texte brut. 
6. Texas : au Texas, tout prend une ampleur gigantesque... y compris les gaffes de cybersécurité. L’État à l’étoile solitaire a perdu plus de 14 millions de données sur ses électeurs, celles-ci étant enregistrées sur un serveur non protégé par mot de passe. Cette gaffe a ainsi exposé des informations personnelles et sensibles sur 77 % de ses électeurs inscrits, dont leurs adresses et leurs précédents votes. 
7. Le personnel de la Maison Blanche : l’année dernière, 2 employés se sont retrouvés dans notre liste : Donald Trump obtenait le titre (peu) enviable de Plus mauvais exemple de 2017 en matière de gestion de mots de passe pour diverses mauvaises habitudes en matière de cybersécurité, tandis que Sean Spicer intégrait notre liste pour avoir publié son mot de passe sur Twitter. Cette année, ces 2 hommes ont passé le relais à un nouveau champion, qui a commis l’erreur d’écrire ses identifiants et mots de passe sur des fournitures de bureau officielles. Son erreur a pris une tout autre dimension lorsqu’il laissa accidentellement le document à un arrêt de bus de Washington D.C... 
8. Google : jusqu’ici, le géant des moteurs de recherche était plutôt réputé pour traiter sa cybersécurité avec sérieux, mais cette année, un étudiant en école d’ingénieur de Kerala (Inde) a piraté l’une de ses pages et a ainsi pu accéder aux programmes diffusés par un satellite de télévision. Ce dernier n’a même pas eu à devenir un invité ou à pirater des identifiants, en effet il a pu accéder aux pages administrateurs de Google sur son appareil mobile en laissant les champs « nom d’utilisateur » et « mot de passe » vides... 
9. Les Nations Unies : l’organisation chargée du maintien la paix dans le monde a un problème de sécurité. Les employés utilisaient Trello, Jira et Google Docs pour collaborer autour de projets, mais oubliaient de protéger bon nombre de leurs documents à l’aide de mots de passe. Ainsi, n’importe quel individu disposant d’un lien fonctionnel pouvait accéder à des plans secrets, à des échanges internationaux et autres mots de passe disponibles en texte brut. 
10. Université de Cambridge : un mot de passe en texte brut laissé sur GitHub permettait à n’importe qui d’accéder aux données de millions de sujets d’études menées par les chercheurs de l’université. Les données étaient extraites de l’application de quiz de Facebook, myPersonality, et contenaient les informations personnelles d’utilisateurs de Facebook, dont des réponses confidentielles à des tests psychologiques. 

Tirez des leçons des plus mauvais comportements de l’année :

1. Protégez l’ensemble de vos comptes à l’aide de mots de passe : qu’il s’agisse d’un serveur, d’un compte de messagerie ou d’une application, sécurisez vos données avec des mots de passe comme s’il s’agissait de la première – et souvent de la seule – barrière séparant les pirates de vos informations personnelles. 
2. Utilisez des mots de passe forts : n’utilisez jamais de mots de passe faciles à deviner ou contenant des noms, noms propres ou éléments que des individus pourraient facilement rechercher à votre sujet (comme votre marque de pâte à tartiner préférée). Tous vos codes devraient dépasser les 8 caractères et contenir un mélange aléatoire de lettres, de chiffres et de symboles. L’idéal serait d’utiliser un gestionnaire de mots de passe qui les générera à votre place. 
3. N’utilisez jamais deux fois le même mot de passe : chacun de vos comptes doit avoir un mot de passe unique. En réutilisant plusieurs fois le même mot de passe, on court le risque que des pirates puissent exploiter les identifiants d’un de vos comptes compromis pour accéder à vos autres comptes utilisant les mêmes mots de passe. La seule solution pour éviter cela est donc de veiller à ce que chaque mot de passe soit unique.