Le rapport met en évidence que le vol d’identifiants n’est plus un événement isolé ou ponctuel. Les mots de passe compromis sont désormais collectés à grande échelle, agrégés dans d’immenses bases de données et réutilisés de manière répétée, créant une exposition persistante pour les environnements d’entreprise, bien après la compromission initiale. L’analyse des jeux de données utilisés par les attaquants révèle que même les mots de passe conformes aux règles de complexité standards sont régulièrement capturés par des malwares de type infostealer et conservés pour une exploitation continue. Une fois collectés, les identifiants circulent sur les marchés clandestins et dans des bases agrégées de type Username-Login-Password (ULP), permettant aux attaquants de tenter des accès à répétition dans le temps, plutôt que de s’appuyer sur des attaques opportunistes uniques.
Principaux enseignements du rapport :
• Les mots de passe de huit caractères sont les plus fréquemment volés, avec 1,1 milliard
d’identifiants compromis, soit environ 18 % de l’ensemble des mots de passe analysés
• LummaC2 s’impose comme l’infostealer le plus prolifique de 2025, associé à plus de 60
millions d’identifiants volés
• Les trois longueurs de mots de passe les plus compromises sont 8, 10 et 9 caractères
• Les cinq mots de passe les plus fréquemment volés en 2025 sont 123456, 123456789,
12345678, admin et password
• Des mots de passe respectant les règles de complexité, comme Password1,
apparaissent de manière récurrente parmi les identifiants compromis
• 500 des mots de passe les plus fréquemment retrouvés sont liés à des infrastructures
et à des accès partagés
L’analyse de Specops montre que des termes de base prévisibles tels que admin, guest, cisco ou hello, combinés à des schémas numériques simples, dominent toujours les identifiants volés. Les variations régionales ou linguistiques reposent sur les mêmes constructions faibles, ce qui les rend faciles à anticiper et à réutiliser pour les attaquants.
Ces résultats indiquent qu’il ne s’agit pas uniquement d’un problème de comportement des
utilisateurs, mais bien d’un problème de politique de sécurité. Des constructions faibles restent autorisées et réutilisées dans les environnements d’entreprise, augmentant l’exposition aux attaques basées sur les identifiants.
« Malgré des années de sensibilisation et la mise en place de politiques de mots de passe basées sur la complexité, les attaquants continuent de rencontrer les mêmes identifiants faibles et prévisibles sur les systèmes », explique Darren James, Senior Product Manager chez Specops Software.
« Ce n’est pas seulement un problème de volume, c’est la preuve que les contrôles statiques des mots de passe ne reflètent pas la manière dont les identifiants sont aujourd’hui volés, réutilisés et exploités. La robustesse d’un mot de passe repose sur sa longueur - souvent obtenue via des phrases de passe — associée à une vérification continue des mots de passe compromis, et non sur la complexité seule », ajoute-t-il.
Même les mots de passe techniquement conformes sont fréquemment compromis par des malwares et réapparaissent dans des bases agrégées, renforçant la nécessité de mécanismes de détection continus et de contrôles adaptatifs, plutôt que d’une validation ponctuelle.
LummaC2 désigné comme l’infostealer le plus actif de 2025
Le rapport identifie LummaC2 comme la famille de malware de vol d’identifiants la plus active de l’année, responsable de plus de 60 millions d’identifiants volés, devant des infostealers istoriques comme RedLine. Les données montrent que le vol d’identifiants continue de se développer par le volume, la diffusion et la réutilisation, plutôt que par de nouvelles techniques d’exploitation.
Les cinq principaux infostealers identifiés en 2025 sont :
• LummaC2 – 61 millions d’identifiants
• RedLine – 31 millions
• Vidar – 5,9 millions
• StealC – 3,4 millions
• Raccoon Stealer – 1,6 million
« Le succès des infostealers repose sur leur portée et leur répétition, et non sur l’innovation
technique », souligne Borja Rodriguez, Labs Manager chez Outpost24. « Des familles
comme LummaC2 dominent parce qu’elles sont faciles à déployer, largement diffusées et
optimisées pour collecter des identifiants à grande échelle. »
Le Specops Breached Password Report 2026 combine des données issues de ’écosystème des attaquants à grande échelle avec des recommandations concrètes pour identifier les identifiants compromis, renforcer les contrôles d’accès et réduire l’exposition des entreprises aux attaques par mot de passe en 2026.
