Le piratage par IA accélère le password spraying. Voici comment combler cet écart

Le piratage par IA n'a pas inventé le password spraying. Il lui a juste donné un moteur plus rapide

Le password spraying est l’une des attaques les moins spectaculaires. Un attaquant choisit une poignée de mots de passe courants et les teste sur une longue liste de comptes, en restant en dessous des seuils de verrouillage pour qu’aucun échec unique ne déclenche une alarme. Pas d’exploit. Pas de malware. Juste de la patience et un formulaire de connexion.

Le password spraying est également la technique derrière la plupart des attaques d'identité aujourd'hui. Nous avons expliqué pourquoi dans Password spraying : 97 % des attaques ne piratent pas, elles se contentent de se connecter, et ce calcul n'a pas changé. Ce qui a changé, c'est qui peut lancer l'attaque et à quelle vitesse.

Voici l’histoire du piratage par IA : ce n’est pas un nouveau type d’attaque, mais une ancienne qui fonctionne à une vitesse et une échelle jamais atteintes par les opérateurs humains.

Ce que le piratage par IA change réellement dans une campagne de phishing

Une campagne manuelle de spray de mots de passe a des limites naturelles. Quelqu'un doit choisir la liste de mots de passe, gérer le timing et ajuster lorsque un compte est verrouillé ou qu'une défense se déclenche. Le piratage par IA supprime la plupart de ces limites.

• Optimisation du timing. Au lieu de deviner des intervalles sûrs entre les tentatives, les outils de piratage IA modélisent la politique de verrouillage d'une organisation et rythment les requêtes juste en dessous du seuil, sur des milliers de comptes simultanément.
• Rotation de l'infrastructure. Les attaquants peuvent créer et retirer automatiquement des chaînes de proxy, de sorte que la même source ne génère jamais suffisamment d'échecs de connexion pour être signalée.
• Personnalisation à grande échelle. La même approche de piratage par IA qui rend les emails de phishing plus convaincants construit également des listes d’identifiants plus intelligentes, en extrayant les noms des employés, les formats et les modèles de mots de passe probables à partir des données de violation publiques et des profils sociaux.

Les recherches de Netwrix montrent que cet écart coûte déjà cher aux organisations

Netwrix Research Lab a interrogé 2 317 professionnels de l'informatique et de la sécurité dans 1 889 organisations pour le 2026 Data and Identity Security Report, et la principale conclusion correspond à ce que le piratage par IA fait généralement aux attaques d'identité. Les organisations où l'IA a considérablement augmenté le nombre d'identités nécessitant un accès ont signalé un taux de violation de 43 % au cours des 12 derniers mois, contre 11 % dans les organisations où l'IA n'avait pas modifié de manière significative leur empreinte d'identité. C'est un écart de quatre fois, et ce n'est pas une question de maturité. Le rapport a révélé que les organisations qui misent le plus sur l'IA étaient en fait en avance sur les fondamentaux de l'identité. Elles ont quand même été compromises, car la gouvernance conçue pour un changement au rythme humain ne peut pas suivre les identités et les accès créés à la vitesse du déploiement, la même vitesse que celle utilisée par le piratage par IA contre les défenses basées sur les mots de passe.

Le rapport a également révélé que 76 % des organisations ne gouvernent ni ne surveillent entièrement les identités non humaines, et que seulement 11 % ont atteint une préparation complète à la sécurité de l'IA.Téléchargez le rapport complet 2026 Data and Identity Security Report pour l'analyse complète, y compris les références sectorielles et régionales.

La détection attrape le piratage par IA trop tard. La prévention l’arrête à la porte

L'analyse comportementale et la détection des menaces sont importantes, et elles interceptent beaucoup de ce qui passe la première ligne de défense. Mais pour le password spraying en particulier, la détection est déjà un pas en retard. Au moment où une campagne de spray déclenche une alerte, l'attaquant a déjà essayé le mot de passe. La prévention signifie que le mot de passe faible ou compromis n'a jamais été utilisable en premier lieu.

C'est la couche pour laquelle Netwrix Password Policy Enforcer est conçu.

Où s'intègre Password Policy Enforcer

Password Policy Enforcer vérifie les mots de passe nouveaux et existants par rapport aux bases de données de violations, telles que Have I Been Pwned, avant qu'ils ne soient définis, afin que les identifiants déjà exposés lors d'une fuite précédente soient bloqués au lieu de devenir la cible de la prochaine attaque massive. Il intègre une protection par dictionnaire et modèles pour détecter les mots courants, substitutions et les schémas prévisibles que les attaquants essaient en premier, ainsi que des règles de complexité personnalisées par utilisateur, groupe ou unité organisationnelle.

Parce qu'il s'exécute sur le contrôleur de domaine dans les environnements Active Directory, l'application de la politique se fait au moment où le mot de passe est réellement créé ou modifié, et non après coup. Les modèles de conformité intégrés pour CIS, NIST, HIPAA et PCI DSS signifient que la même politique qui bloque une tentative de spray satisfait également l'audit. Et les retours en temps réel indiquent aux utilisateurs pourquoi un mot de passe a été rejeté, de sorte que la correction se fait dès la première tentative au lieu d'un ticket de support.

La politique de mot de passe bloque la porte d'entrée. Netwrix Data Classification limite ce qui se trouve derrière.

Password Policy Enforcer est conçu pour empêcher toute tentative de spray de réussir, mais aucun contrôle unique ne ferme toutes les voies. Si un attaquant pénètre via un e-mail de phishing, une violation tierce ou un canal non couvert par Password Policy Enforcer, ce qui se passe ensuite dépend de ce que ce compte peut atteindre et de son niveau d’exposition.

C'est là que Netwrix Data Classification intervient. Il découvre et classe en continu les données sensibles sur les serveurs de fichiers, SharePoint, Microsoft 365 et les dépôts cloud, afin que les équipes de sécurité sachent où se trouvent réellement les données réglementées et à haut risque avant un incident, et non après. Il signale également les données redondantes, obsolètes et triviales à nettoyer, réduisant ainsi la quantité de données exposées que pourrait trouver un attaquant. Ensuite, il transmet cette classification aux outils en aval de gouvernance des accès et de DLP, fournissant à ces systèmes ce dont ils ont besoin pour resserrer les permissions et contrôles autour de ce qui est réellement sensible, au lieu de les appliquer aveuglément à tout.

Password Policy Enforcer et Data Classification résolvent des problèmes différents. L’un empêche un mot de passe volé ou deviné de fonctionner. L’autre s’assure que si un compte est compromis malgré tout, il y a moins de données sensibles à portée et de meilleures informations sur leur emplacement exact. Ensemble, ils réduisent les deux extrémités de l’attaque : moins d’identifiants valides et des données sensibles classifiées avant qu’un attaquant ne les découvre.

Le piratage par IA augmente la vitesse de l'attaque, pas la difficulté de s'en défendre. Les fondamentaux restent les mêmes : appliquer une bonne hygiène des identifiants et savoir où se trouvent les données sensibles. Bien faire ces deux choses, et la vitesse de l'attaquant cesse d'être un avantage.