Les portails VPN d’entreprise restent l’une des surfaces d’accès initial les plus fiables sur l’internet public—non pas parce que les protocoles sont défaillants, mais parce que les mots de passe volés ou devinés fonctionnent encore à grande échelle. Cet article est une synthèse de recherche sur les menaces, pas une note de version d’un éditeur : il relie les mesures de credential stuffing du DBIR 2025 de Verizon à une campagne coordonnée de février 2026 contre les portails GlobalProtect de Palo Alto, et explique ce que ce schéma signifie pour les opérateurs et les télétravailleurs soucieux de leur vie privée.
Ce que disent les chiffres sur le credential stuffing
Les recherches supplémentaires du DBIR 2025 de Verizon sur le credential stuffing indiquent que des identifiants compromis ont constitué un vecteur d’accès initial dans 22% des violations examinées. Dans les journaux des fournisseurs SSO, la part quotidienne médiane des tentatives d’authentification attribuées au credential stuffing était de 19%—environ 25% pour les clients de taille entreprise et 12% même pour les petites entreprises—avec un pic sur une seule journée de 44%. Les données sur les malwares infostealer dans le même article ont montré que, dans le cas médian, seulement 49% des mots de passe enregistrés d’un utilisateur sur les différents services étaient distincts. En langage simple : la réutilisation reste suffisamment courante pour que les listes combo restent rentables.
Source : Verizon Business — Recherche complémentaire 2025 du DBIR sur le credential stuffing.
Le credential stuffing se distingue du password spraying bruyant. Les attaquants injectent des paires identifiant/mot de passe déjà compromises (listes combo), souvent via des proxys, et tentent chaque paire une seule fois par cible afin que le trafic se confonde avec le bruit de connexion habituel. La MFA réduit le rayon d’impact, mais Verizon note que la MFA devient de plus en plus un prérequis plutôt qu’une solution miracle — surtout lorsque les utilisateurs ne sont jamais inscrits, ou lorsque des jetons de session sont volés après une connexion réussie.
Étude de cas : portails GlobalProtect, février 2026
Les 23–24 février 2026, ELLIO Threat Research Lab a observé un pic de 11× contre les chemins de connexion Palo Alto GlobalProtect (/global-protect/login.esp). Sur environ 48 heures, les capteurs ont enregistré environ 30,000 sessions provenant de 8,575 adresses IP sources uniques en trois vagues orchestrées. Environ 89% des sessions étaient de la reconnaissance GET ; un sous-ensemble a ensuite effectué des tentatives de connexion POST.
Les POST réutilisaient un seul mot de passe (Password1) à travers un dictionnaire fixe de 78 noms d'utilisateur de type employé (initiale du prénom + nom de famille). ELLIO a évalué cette phase comme un sondage agressif visant à déterminer quels portails acceptent le formulaire d'authentification, et non nécessairement comme une attaque par combo-list soigneusement constituée. L'infrastructure était concentrée dans l'espace d'adressage de GTT Communications (AS3257), avec des empreintes TCP/HTTP distinctives (y compris une empreinte JA4H POST presque exclusive à la campagne).
Source : ELLIO — Campagne coordonnée de credential-stuffing visant les portails Palo Alto GlobalProtect (26 février 2026).
La leçon défensive qu'ELLIO met en avant est celle de l'enchaînement : le sondage GET précédait le stuffing POST de plusieurs heures au sein de chaque vague. Les organisations qui ont bloqué tôt les IP de reconnaissance ou les empreintes d'outils n'ont jamais vu la phase d'identifiants. Les portails VPN restent des cibles récurrentes ; les ASN d'hébergement tournent, mais le mode opératoire — trouver le portail, tester l'authentification, passer à la suite — ne change pas.
En quoi cela se distingue d'un titre « bleed » centré sur un seul éditeur
Les expositions massives d'identifiants visant des marques spécifiques de VPN de pare-feu dominent les cycles d'actualité parce que les chiffres sont énormes et que les IOC sont concrets. Ces incidents comptent. Ils ne constituent toutefois pas la seule forme du problème. La vague GlobalProtect révèle un schéma plus lent et plus discret : listes d'identifiants génériques, mots de passe triviaux et balayage large des pages de connexion SSL VPN exposées sur Internet. La télémétrie SSO de Verizon montre que la même classe d'abus consomme une grande part du trafic d'authentification quotidien dans de nombreux secteurs — pas seulement les appliances de pare-feu.
Pour un public axé sur la vie privée et la sécurité, les causes profondes communes sont banales et durables :
- La réutilisation des mots de passe entre SSO d'entreprise, VPN, e-mail et sites personnels.
- Des portails VPN ou d'administration exposés sur Internet qui acceptent l'authentification par mot de passe sans MFA résistant au hameçonnage.
- Un stockage de mots de passe faible ou obsolète sur les appliances (où le cassage hors ligne devient praticable après le vol des hachages).
- Des malwares infostealer sur les postes de travail qui récoltent les identifiants VPN et d'administration enregistrés dans le navigateur pour les écouler sur les marchés clandestins.
Risque pour les personnes, pas seulement pour les tableaux de bord SOC
Lorsqu'un compte VPN SSL d'entreprise subit un stuffing réussi, l'attaquant hérite d'un chemin de confiance vers les applications internes, la messagerie et les partages de fichiers. Cela peut devenir une préparation de rançongiciel, une fraude à la paie ou un vol de données discret. Pour les particuliers utilisant des VPN grand public, le mode de défaillance analogue est la prise de contrôle du compte de l'abonnement VPN lui-même (e-mail de facturation + mot de passe réutilisé), suivie d'un abus de session ou d'une ingénierie sociale via le canal de support. La cryptographie de WireGuard ou OpenVPN n'aide pas si l'attaquant se connecte simplement à votre place.
Les travailleurs à distance doivent également se souvenir qu'un portail VPN d'entreprise sur l'Internet public est une publicité : les scanners trouveront /global-protect/login.esp, les chemins Fortinet SSL VPN et des URL similaires en continu. « Nous sommes trop petits pour être ciblés » est incompatible avec le taux de stuffing des petites entreprises de Verizon et avec des campagnes automatisées qui ne coûtent presque rien par tentative.
Mesures d'atténuation concrètes (opérateurs)
- Supprimez l'administration publique lorsque c'est possible. Les interfaces de gestion ne doivent pas être exposées à l'ensemble d'Internet ; privilégiez des hôtes de rebond sur liste d'autorisation ou des courtiers zero-trust.
- Imposez une MFA résistante au hameçonnage sur les comptes VPN et d'administration (FIDO2/passkeys ou équivalent), pas uniquement par SMS.
- Bloquez la reconnaissance tôt. Intégrez les empreintes de scanners à haute confiance et les ASN dans les contrôles de périphérie avant que le stuffing POST ne commence.
- Limitez le débit et alertez sur les échecs d'authentification distribués contre les chemins VPN ; surveillez les mots de passe uniformes ou les schémas de nom d'utilisateur trop rigides.
- Faites tourner les identifiants après des compromissions par infostealer sur les ordinateurs portables d'administrateurs ; partez du principe que les mots de passe VPN enregistrés dans le navigateur ont été copiés.
- Préférez un hachage de mot de passe plus robuste sur les appliances (par exemple PBKDF2 lorsque les fournisseurs le prennent en charge) et désactivez les modes de hachage hérités.
- Suivez les recommandations du fournisseur et du CSIRT national lorsqu'une campagne nomme votre famille de produits ; vérifiez les configurations de référence pour les comptes d'administration inconnus.
Mesures d'atténuation concrètes (particuliers)
- Utilisez un gestionnaire de mots de passe ; ne réutilisez jamais votre mot de passe VPN ou e-mail ailleurs.
- Activez la MFA pour le compte VPN et la boîte e-mail pouvant le réinitialiser.
- Évitez d'enregistrer les mots de passe VPN d'entreprise dans les navigateurs sur des appareils personnels qui exécutent aussi des extensions aléatoires.
- Traitez un e-mail inattendu de réinitialisation du mot de passe VPN comme un incident potentiel, et non comme un bruit de fond habituel.
Ce que nous ne prétendons pas
Cet article n'affirme pas que GlobalProtect soit particulièrement faible, que toute organisation constatant des scans soit déjà compromise, ni que les VPN grand public sans journaux soient à l'abri d'une prise de contrôle de compte. Il affirme — d'après les mesures publiées par Verizon et la télémétrie de campagne d'ELLIO de février 2026 — que le bourrage d'identifiants contre les points d'authentification VPN est courant, automatisé et demeure efficace partout où les mots de passe restent le verrou.
Les tunnels robustes comptent. Tout comme les mots de passe uniques, la MFA et la réduction du nombre de portes par mot de passe que vous exposez à l'ensemble d'Internet.