Messagerie, r\u00e9seaux sociaux, sites de streaming, sites de vente en ligne, sites administratifs... la vie num\u00e9rique demande \u00e0 chacun d'avoir en moyenne une centaine de mots de passe. "Le piratage de compte est une menace majeure", pr\u00e9vient Cybermalveillance.gouv.fr, la plateforme gouvernementale de sensibilisation aux risques num\u00e9riques, dans son rapport annuel, publi\u00e9 mardi\u00a05\u00a0mars. \u00e0 lire aussi "Marseille", "loulou" ou "123456"... Voici les mots de passe pr\u00e9f\u00e9r\u00e9s en France en 2023 Le possible piratage de la CAF, le 12 f\u00e9vrier dernier, et la compromission de 600\u00a0000\u00a0comptes d'allocataires illustre ce risque. Les cons\u00e9quences d'un piratage, selon Cybermalveillance.gouv.fr, "peuvent mener \u00e0 l\u2019usurpation d\u2019identit\u00e9 avec un pr\u00e9judice financier". Par pr\u00e9caution, tous les allocataires de la CAF vont devoir obligatoirement changer leur mot de passe \u00e0 compter du 8 mars. En mati\u00e8re de s\u00e9curit\u00e9 sur internet, un certain nombre de mauvaises pratiques persistent. Quels sont les bons r\u00e9flexes \u00e0 adopter ? \u00c9l\u00e9ments de r\u00e9ponse avec Jean-Jacques Latour, directeur de l'expertise cybers\u00e9curit\u00e9 de la plateforme Cybermalveillance.gouv.fr."Les mots de passe sont les cl\u00e9s de toute notre vie num\u00e9rique, pose d'embl\u00e9e Jean-Jacques Latour, et il faut en prendre autant soin que de ses cl\u00e9s. Il ne viendrait \u00e0 l'id\u00e9e de personne de prot\u00e9ger son chez soi avec la cl\u00e9 de sa bo\u00eete aux lettres. Donc, comme pour la porte de chez soi, il va falloir utiliser des cl\u00e9s relativement solides."1\u00a0Comment choisir de bons mots de passe ?"Un bon mot de passe, \u00e7a doit faire un minimum de douze caract\u00e8res, alterner des majuscules et des minuscules, des chiffres, des caract\u00e8res sp\u00e9ciaux", recommande Jean-Jacques Latour. Car avec un ordinateur, ajoute-t-il, un cybercriminel"peut tester des dizaines de milliers de mots de passe \u00e0 la seconde". "Douze caract\u00e8res, c'est un mot de passe solide, essayer toutes les combinaisons possibles pour le d\u00e9chiffrer, prendra beaucoup trop de temps et dissuadera d'\u00e9ventuelles personnes malvellantes", explique l'expert."Les victimes qui s'adressent \u00e0 nous, nous disent 'mon mot de passe, c'est le pr\u00e9nom de ma fille, c'est ce que j'utilise partout', c'est ce qu'il ne faut pas faire."Jean-Jacques Latour, directeur de l'expertise cybers\u00e9curit\u00e9 de la plateforme Cybermalveillance.gouv.fr\u00e0 franceinfoIl est aussi important de ne pas utiliser un mot de passe facile \u00e0 deviner, "comme votre date de naissance, que vous avez affich\u00e9e sur votre compte de r\u00e9seau social", indique Jean-Jacques Latour. "Pas de pr\u00e9nom, pas de surnom non plus, tout ce que les cybercriminels pourraient tester facilement pour essayer d'acc\u00e9der \u00e0 votre compte", souligne-t-il.\u00a02\u00a0Comment m\u00e9moriser ses mots de passe ?"Vous n'\u00eates pas oblig\u00e9 de retenir tous les mots de passe, affirme l'expert. Ce qui va \u00eatre important, c'est de retenir les mots de passe dont vous avez fr\u00e9quemment besoin. Par exemple, votre messagerie ou votre gestionnaire de mot de passe." L'id\u00e9e est donc de retenir un ou deux mots de passe solides. Pour ce faire, plusieurs m\u00e9thodes existent :\u00a0"Vous prenez par exemple les premi\u00e8res lettres d'une chanson, du refrain d'une chanson, jusqu'\u00e0 ce que \u00e7a fasse douze caract\u00e8res, d\u00e9taille Jean-Jacques Latour, en disant que la premi\u00e8re lettre est en minuscule, deuxi\u00e8me lettre, majuscule, troisi\u00e8me lettre minuscule, etc. L'id\u00e9e c'est de trouver quelque chose qui vous est propre." Il existe aussi le moyen mn\u00e9motechnique ou la m\u00e9thode phon\u00e9tique."Tant que vous savez que \u00e7a, c'est votre mot de passe principal, vous allez le retenir. Il faut que \u00e7a ait un sens pour vous, vous allez bien vous casser la t\u00eate pour trouver ce mot de passe d\u00e9j\u00e0."Jean-Jacques Latour, directeur de l'expertise cybers\u00e9curit\u00e9 de la plateforme Cybermalveillance\u00e0 franceinfoLa "phrase de passe", compos\u00e9e de mots du dictionnaire, c'est "une bonne id\u00e9e" pour Jean-Jacques Latour, qui ne la recommande pas pour autant. Les pr\u00e9conisations de la Cnil, la Commission nationale d'internet et des libert\u00e9s, et de l'Anssi, l'Agence nationale de la s\u00e9curit\u00e9 des syst\u00e8mes d'information, c'est qu'une phrase de passe fasse au minimum sept mots. Pour l'expert, "sept mots, c'est trop long."Selon lui, "mieux vaut noter ses mots de passe sur un calepin soigneusement rang\u00e9, plut\u00f4t que de mettre des mots de passe bidons parce qu'on n'arrive pas \u00e0 les retenir. Ce qui est important, c'est de ne pas le partager", insiste-t-il.\u00a03\u00a0Faut-il changer ses mots de passe r\u00e9guli\u00e8rement ?Pour Jean-Jacques Latour, "il n'y a pas d'obligation \u00e0 changer son mot de passe fr\u00e9quemment. Ce qui est important, c'est de modifier son mot de passe, d\u00e8s qu'on a le moindre doute, si on pense que tel compte a \u00e9t\u00e9 pirat\u00e9, ou qu'il pourrait l'\u00eatre." C'est pourquoi la CAF demande \u00e0 tous les allocataires de modifier leur cl\u00e9 d'acc\u00e8s."Quand il y a une alerte ou un doute, on change tout de suite."Jean-Jacques Latour, de la plateforme Cybermalveillance\u00e0 franceinfo"\u00c7a devient contre-productif de changer r\u00e9guli\u00e8rement parce que les gens ne vont pas r\u00e9inventer des refrains et des phrases compliqu\u00e9es. En fait, ils vont mettre le m\u00eame mot de passe, en ajoutant, 01, 02, etc. et ce ne sera pas suffisamment solide", pr\u00e9vient l'expert. "Je ne change pas les serrures de mon appartement tant que je n'ai pas de preuve qu'il soit fractur\u00e9, reprend-il, par contre, si j'ai un doute, tout de suite, je vais changer les serrures."4 Pourquoi bien prot\u00e9ger ses comptes les plus importants ?"La messagerie, c'est tr\u00e8s important de la prot\u00e9ger convenablement avec un bon mot de passe, rappelle Jean-Jacques Latour. Parce que la messagerie, c'est le premier compte de pr\u00e9dation des cybercriminels. Pourquoi les messageries int\u00e9ressent les cybercriminels ? "Parce que dans votre messagerie, vous avez toute votre vie num\u00e9rique. Dans vos \u00e9l\u00e9ments envoy\u00e9s, vous allez avoir des scans de pi\u00e8ces d'identit\u00e9, d'avis, d'imposition, de fiches de paye que vous avez envoy\u00e9 \u00e0 un organisme administratif. Et \u00e7a, \u00e7a a beaucoup de valeur pour les cybercriminels", insiste l'expert.Mais ce n'est pas tout, car la messagerie est li\u00e9e \u00e0 beaucoup d'autres comptes, comme ceux des r\u00e9seaux sociaux. "Si, en tant que cybercriminel, je vais sur votre compte Instagram ou Facebook, et que je fais 'mot de passe oubli\u00e9', je vais recevoir un mail dans votre messagerie. Si j'ai pris le contr\u00f4le de votre messagerie, je re\u00e7ois le mail avec le lien de r\u00e9initialisation, je clique dessus, je change votre mot de passe et je prends le contr\u00f4le de votre compte de r\u00e9seau social", d\u00e9montre l'expert en cybers\u00e9curit\u00e9. Et c'est la m\u00eame logique pour les sites de commerce en ligne, etc."Votre messagerie, c'est vraiment le pivot qui va servir d'acc\u00e8s \u00e0 tous vos autres comptes. Et \u00e7a, les cybercriminels l'ont bien compris. Donc \u00e7a ne se limite pas \u00e0 un piratage de messagerie, \u00e7a va aller se propager au piratage de vos comptes de r\u00e9seaux sociaux, au piratage de votre compte Amazon..."Jean-Jacques Latour, de Cybermalveillance.gouv.fr\u00e0 franceinfoBien s\u00e9curiser sa messagerie, "c'est \u00e0 peu pr\u00e8s tout, pour Jean-Jacques Latour. Sur la plupart des comptes. Vous pouvez mettre un mot de passe compl\u00e8tement biscornu que vous n'avez pas besoin de retenir. Il suffira que la prochaine fois que vous y alliez, vous fassiez 'mot de passe oubli\u00e9' et vous pourrez changer de mot de passe."\u00a05 Faut-il avoir recours \u00e0 un gestionnaire de mots de passe et \u00e0 la double authentification ?Pour les coffres-forts num\u00e9riques que sont les gestionnaires de mots de passe, il est \u00e9galement important d'avoir un mot de passe solide car c'est l\u00e0 que sont stock\u00e9s tous les autres mots de passe.\u00a0 "L\u00e0 au moins, c'est s\u00e9curis\u00e9, commente Jean-Jacques Lartour, davantage que\u00a0le calepin que vous avez dans un tiroir." \u00a0"Keepass" est le seul gestionnaire de mots de passe certifi\u00e9 par l'Anssi, l'agence nationale de cybers\u00e9curit\u00e9, rappelle-t-il.D'autre part, la double authentification est pour Jean-Jacques Latour, "plus qu'un bon r\u00e9flexe car vous encourez beaucoup moins de risque". Il recommande de l'installer quand le service est propos\u00e9, ce qui est le cas de toutes les messageries grand public, mais ce n'est pas activ\u00e9 par d\u00e9faut, il faut le faire. Cette double authentification passe par l'envoi de SMS ou via des applications d\u00e9di\u00e9es. Pour l'expert, "la double authentification par SMS, c'est la ceinture de s\u00e9curit\u00e9, avec une application,c'est le harnais de s\u00e9curit\u00e9."6 Quels risques encourt-on ?Les donn\u00e9es personnelles ont de la valeur aux yeux des cybercriminels, qui peuvent les utiliser contre leur d\u00e9tenteur. "On a tous des choses \u00e0 cacher, rappelle Jean-Jacques Latour, \u00e0 commencer par son argent". Pour lui, "\u00e7a peut aller loin : si je mets la main sur votre carte d'identit\u00e9, fiche de paye ou avis d'imposition, je peux contracter un cr\u00e9dit \u00e0 la consommation en ligne \u00e0 votre nom, qu'on vous demandera de rembourser et vous pouvez vous retrouver interdit bancaire."\u00a0"Avec vos documents d'identit\u00e9, on peut acheter un t\u00e9l\u00e9phone pr\u00e9pay\u00e9 et l'utiliser dans un braquage, on peut louer des voitures et commettre des infractions, \u00e9num\u00e8re l'expert. Ce n'est jamais tr\u00e8s agr\u00e9able de voir les policiers arriver chez soi pour des faits qu'on n'a pas commis.""Il faudra toujours que j'aie une serrure \u00e0 ma porte, souligne Jean-Jacques Latour, et si j'ai une cl\u00e9 qui ouvre toutes les serrures, il ne faut pas la perdre." Avoir des barri\u00e8res de s\u00e9curit\u00e9 permet de minimiser les risques. "Mais aucune protection n'est absolue, rappelle-t-il en filant la m\u00e9taphore, ce n'est pas parce que je mets ma ceinture de s\u00e9curit\u00e9 dans ma voiture que pour autant je ne risque rien."7Et en r\u00e9sum\u00e9 ?Pour s\u00e9curiser notre vie num\u00e9rique, Jean-Jacques Latour invite \u00e0 respecter les quatre r\u00e8gles d'or suivantes : "Utiliser un mot de passe suffisamment long et complexe pour qu'il soit impossible \u00e0 deviner par quelqu'un qui ne vous conna\u00eet pas. Activez la double authentification sur tous les comptes que l'on consid\u00e8re importants et qui le permettent, comme la messagerie, les r\u00e9seaux sociaux, etc. Utiliser un gestionnaire de mots de passe, avec un mot de passe solide, pour retenir ses autres mots de passe. Et puis changer son mot de passe au moindre doute de compromission".\u00a0 Le guide des bonnes pratiques en mati\u00e8re de mots de passe \u00e9dit\u00e9 par la plateforme cybermalveillance.gouv.fr (CAPTURE D'\u00c9CRAN \/ FRANCEINFO)