Mots de passe en 2026 : méga-fuites, passkeys et la fin d’une époque ?

L’été 2026 n’aura pas épargné nos identifiants. Entre des fuites annoncées à plusieurs milliards d’enregistrements, une année noire pour les administrations françaises et l’arrivée en force des passkeys, le mot de passe traverse une crise d’identité — au sens propre. Voici l’état des lieux, sans catastrophisme mais sans langue de bois, et surtout ce que vous pouvez faire aujourd’hui.

Les « méga-fuites » à 16 et 24 milliards : records ou recyclage ?

En juin 2026, plusieurs médias ont relayé la découverte d’une base de 24 milliards d’identifiants exposés sur un serveur mal configuré, quelques semaines après une autre compilation de 16 milliards d’enregistrements. Des chiffres vertigineux qui affolent les compteurs — et méritent d’être remis en perspective.

Ces « fuites » ne sont pas, pour l’essentiel, des vols de données inédits. Il s’agit surtout de compilations d’identifiants déjà compromis par le passé : logs de logiciels malveillants (les fameux infostealers qui aspirent les mots de passe enregistrés dans les navigateurs), anciennes bases recyclées, listes qui circulaient déjà sur Telegram, Discord ou des forums spécialisés. Le reconditionnement de ces données en gros paquets est une pratique courante, précisément parce qu’elle reste redoutablement efficace.

Faut-il pour autant hausser les épaules ? Non. Un identifiant volé ne périme pas. Tant qu’un mot de passe n’a pas été changé — et tant qu’il est réutilisé ailleurs — il garde toute sa valeur pour un attaquant, même s’il traîne depuis des années. La vraie leçon de ces méga-compilations n’est pas leur taille, mais ce qu’elles révèlent : une accumulation continue de credentials qui n’attendent qu’une chose, être rejoués sur vos comptes.

La France sous le feu : une année 2026 hors norme

Si les chiffres mondiaux impressionnent, l’actualité française, elle, inquiète concrètement. Le pays a enchaîné les incidents à un rythme rarement vu : fuite touchant l’ANTS (près de 12 millions d’usagers concernés), incident à l’URSSAF exposant potentiellement les données de plusieurs millions de salariés, piratage de Cegedim et de données de santé, fichier bancaire FICOBA, Service-public.fr, France Travail, et même une série de fédérations sportives. Certains observateurs parlent désormais de la France comme de l’un des pays les plus visés d’Europe.

Point important : dans plusieurs de ces cas (l’ANTS notamment), les mots de passe n’ont pas directement fuité. Le danger principal est ailleurs — l’hameçonnage ultra-ciblé. Avec votre vrai nom, votre date de naissance et un numéro de dossier plausible, un fraudeur peut fabriquer un e-mail se faisant passer pour l’administration fiscale ou FranceConnect avec une crédibilité redoutable. C’est la logique de « la fuite qui alimente la fuite suivante ».

Le régulateur, de son côté, durcit le ton. Début 2026, la CNIL a infligé une amende de 5 millions d’euros à France Travail pour un défaut de sécurisation des données, et une sanction encore plus lourde à un grand opérateur télécom. Le message est clair : la négligence coûte désormais cher.

Le credential stuffing : la menace qui n’a pas besoin de deviner

Voilà le fil rouge qui relie tous ces événements. Le credential stuffing (« bourrage d’identifiants ») est une attaque automatisée d’une simplicité déconcertante : les pirates récupèrent des couples e-mail/mot de passe volés sur un service, puis les rejouent en masse — via des bots et des millions de tentatives — sur des dizaines d’autres sites : messagerie, banque, réseaux sociaux, boutiques en ligne.

Le taux de réussite est faible en pourcentage, mais quand on dispose de milliards d’identifiants, même 0,1 % représente des milliers de comptes ouverts. Et l’attaquant n’a jamais eu besoin de « craquer » quoi que ce soit : il a simplement misé sur le fait que vous réutilisez le même mot de passe partout.

C’est là tout le paradoxe de 2026 : la sophistication des attaques n’est pas ce qui vous met le plus en danger. C’est une habitude toute simple — réutiliser ses mots de passe.

Passkeys : la fin annoncée des mots de passe ?

2026 est souvent présentée comme « l’année des passkeys ». Ces clés d’accès reposent sur la cryptographie à clé publique : au lieu de taper un secret, vous vous authentifiez avec votre empreinte, votre visage ou le code de votre appareil. La clé privée ne quitte jamais votre téléphone ou votre ordinateur, ce qui rend le phishing et le credential stuffing tout bonnement inopérants — il n’y a plus de mot de passe à voler ou à rejouer.

L’écosystème a franchi un cap : iOS permet désormais d’exporter ses passkeys vers des gestionnaires tiers, le Credential Exchange Protocol de la FIDO Alliance autorise un transfert chiffré d’application à application, et la plupart des grands services (Google, Amazon, Microsoft, Meta…) les prennent en charge.

Mais attention aux titres qui enterrent le mot de passe un peu vite. Une enquête FIDO d’avril 2026 le confirme : le mot de passe reste le mode d’authentification dominant, et la plupart des organisations sont en phase de transition, pas de bascule. Déployer des passkeys ne fait pas disparaître les mots de passe du jour au lendemain. Les limites subsistent : compatibilité incomplète sur certains services bancaires, risque de perte d’accès si l’on ne dispose d’aucun appareil de secours, et une courbe d’adoption qui prend du temps.

Autrement dit : les passkeys sont l’avenir, mais pour encore quelques années, vous allez continuer à jongler avec des dizaines de mots de passe. Autant qu’ils soient bons.

Ce qui change aussi côté réglementation

Deux échéances à garder en tête. La stratégie nationale de cybersécurité 2026-2030, présentée début 2026, place la protection des grands systèmes d’État parmi les priorités. Et au niveau européen, le Cyber Resilience Act rendra obligatoire, à compter du 11 septembre 2026, la notification rapide des vulnérabilités activement exploitées et des incidents graves affectant les produits numériques. La transparence n’est plus une option, elle devient une obligation légale.

Que faire concrètement, dès aujourd’hui

La bonne nouvelle, c’est que se protéger contre 90 % de ces menaces prend une soirée, pas un master en cybersécurité. Voici la marche à suivre.

1. Vérifiez si vous êtes déjà exposé. Testez votre adresse e-mail sur un service de type Have I Been Pwned. Si elle apparaît dans une fuite, changez en priorité les mots de passe concernés — et tous ceux qui étaient identiques ailleurs.
2. Un mot de passe unique par compte. C’est LA règle qui casse le credential stuffing : si l’identifiant volé chez un prestataire ne fonctionne nulle part ailleurs, l’effet domino s’arrête net. Générez des mots de passe longs (14 caractères minimum), aléatoires et différents pour chaque service — c’est exactement ce que fait FortixPass en un clic, directement dans votre navigateur.
3. Vérifiez la solidité de vos mots de passe existants. Un bon mot de passe n’est pas forcément celui qui vous semble compliqué. L’analyseur de FortixPass évalue la force réelle d’un mot de passe et vérifie s’il apparaît dans des fuites connues — le tout en local, sans jamais transmettre votre mot de passe en clair.
4. Activez la double authentification (2FA) sur vos comptes sensibles : e-mail principal (la clé de tout le reste), banque, réseaux sociaux. Privilégiez une application d’authentification (TOTP) plutôt que le SMS.
5. Adoptez les passkeys quand elles sont proposées. Sur les services qui les supportent, c’est aujourd’hui la protection la plus résistante au phishing. Commencez par vos comptes les plus critiques.
6. Méfiez-vous du phishing post-fuite. Après chaque grande fuite, les tentatives d’hameçonnage ciblées explosent. Aucune administration ni banque ne vous demandera vos identifiants par e-mail ou SMS. En cas de doute, tapez vous-même l’adresse du site.

FAQ

Mon mot de passe est-il forcément dans une des fuites de 2026 ?

Si votre adresse e-mail circule sur Internet depuis plusieurs années, il est très probable qu’elle figure dans au moins une fuite. Le plus simple est de le vérifier : entrez votre adresse sur un service de suivi de fuites pour savoir exactement quels services sont concernés.

Dois-je changer tous mes mots de passe d’un coup ?

Pas nécessairement tous en même temps, mais commencez par les comptes critiques (e-mail, banque) et par tous ceux qui partageaient un mot de passe désormais compromis. L’objectif final : un mot de passe unique par service.

Les passkeys rendent-elles les mots de passe inutiles ?

À terme, probablement. En 2026, non : le mot de passe reste incontournable sur la majorité des services. Le bon réflexe est d’adopter les passkeys là où elles existent, tout en continuant à soigner vos mots de passe partout ailleurs.

Un gestionnaire ou un générateur de mots de passe, est-ce vraiment utile ?

Oui. Personne ne peut mémoriser des dizaines de mots de passe uniques et aléatoires. Un outil qui les génère et vérifie leur solidité supprime la cause première du credential stuffing : la réutilisation.

En résumé

L’actualité 2026 ne raconte pas l’histoire d’attaquants soudain plus malins. Elle raconte celle d’un stock colossal d’identifiants recyclés qui n’attendent qu’une faiblesse : un mot de passe réutilisé. La parade tient en trois gestes — des mots de passe uniques et forts, la 2FA, et les passkeys quand elles sont disponibles.

Vous voulez prendre une longueur d’avance ? Commencez maintenant : générez et vérifiez vos mots de passe sur FortixPass.com. C’est gratuit, local, et ça prend moins d’une minute.