Au cours de l’année écoulée, les chercheurs en sécurité de Specops Software ont examiné six milliards de mots de passe divulgués et ont ensuite publié un rapport complet sur leurs conclusions. Ce rapport donne non seulement un aperçu des mots de passe les plus couramment utilisés, mais également de la menace actuelle que représentent les fuites.

Ce sont les mots de passe les plus fréquemment volés

Malheureusement, les cinq mots de passe les plus volés montrent que peu d’utilisateurs ont retenu la leçon ces dernières années. Comme précédemment, les mots de passe sont les suivants :

123456 123456789 12345678 Mot de passe administrateur

Il est alarmant de constater que la plupart des gens ne prennent apparemment même pas la peine de choisir des mots individuels comme mots de passe. En plus des cinq mots de passe les plus courants, les chercheurs ont également découvert fréquemment des combinaisons de mots de passe avec des mots tels que bonjour, bienvenue, invité ou étudiant.

Cela suggère qu’il ne s’agit pas seulement de comptes privés, mais également de données d’entreprise, d’université ou d’accès public. Le très populaire « qwerty » est également à nouveau représenté, c’est-à-dire simplement les six premières lettres d’un clavier utilisant une disposition anglaise.

Les mots de passe se terminant par « @123 » ou « @1234 » sont également fréquemment utilisés. Ceux-ci sont souvent précédés d’un nom, d’un pays ou d’un mot standard tel que « bonjour » ou « hola ». Ici aussi, les utilisateurs se montrent plutôt peu créatifs. Les chercheurs soulignent également qu’il ne suffit pas d’utiliser des « mots de passe plus complexes » avec une majuscule et un caractère spécial s’ils suivent toujours le même schéma.

Il est intéressant de noter que la plupart des mots de passe analysés comportent exactement huit caractères. Un peu moins d’un sixième atteint cette longueur, mais cela est probablement dû au fait que le « mot de passe » comporte exactement huit lettres. Les mots de passe plus courts comportant sept caractères ou moins sont relativement impopulaires.

Ce sont les voleurs d’informations les plus dangereux

De plus, les chercheurs ont indiqué quels infostealers ont volé le plus de données de l’ensemble entre janvier et décembre 2025 :

LummaC2 : 60 934 662 mots de passe volés RedLine : 31 144 858 mots de passe volés Vidar : 5 965 748 mots de passe volés StealC : 3 441 423 mots de passe volés Raccoon Stealer : 1 656 673 mots de passe volés

Ensemble, ces cinq familles de malwares sont responsables à elles seules du vol de près de 100 millions d’informations de connexion. Les fuites de mots de passe se produisent donc souvent à grande échelle et affectent des millions de personnes à la fois, comme le montre cette fuite alimentée par le FBI en décembre.

Les utilisateurs les moins experts en technologie, qui sont souvent victimes de campagnes de phishing, seraient particulièrement exposés. Les chercheurs considèrent également que la menace posée par Lumma Stealer est particulièrement grave, car il a considérablement augmenté dans la liste des programmes les plus dangereux. Les principaux fournisseurs de voleurs d’informations développent également des packages de plus en plus efficaces regroupant diverses offres.

Comment se protéger

Les utilisateurs privés et les administrateurs système doivent s’assurer d’utiliser des mots de passe sécurisés et complexes qui ne suivent pas un modèle commun. Il est préférable d’utiliser un gestionnaire de mots de passe pour créer et stocker des données d’accès importantes.

De plus, il peut être utile d’utiliser l’authentification à deux facteurs. Évitez également les mots de passe qui ont déjà été divulgués. Par exemple, vous pouvez vérifier si votre mot de passe a été volé dans le passé via le site Web Have I Been Pwned.

Les réinitialisations et mises à jour régulières des mots de passe devraient également protéger contre le vol. Les administrateurs peuvent définir des directives spécifiques à cet effet, par exemple une fois par an ou une fois tous les x mois.