Pourquoi les entreprises ont encore besoin d’un gestionnaire de mots de passe en 2026 et au-delà

Ce que montrent les données de 2026

Le Verizon 2026 Data Breach Investigations Report marque un tournant. Fondé sur plus de 31 000 incidents de sécurité, dont plus de 22 000 violations de données confirmées dans 145 pays, il constate que l’exploitation de vulnérabilités logicielles a été le point d’entrée initial dans 31 % des violations. L’abus d’identifiants, longtemps en tête, représente désormais 13 %, bien que Verizon précise qu’une partie de cette baisse s’explique par un changement de méthode de comptage. Le pretexting est désormais suivi séparément et, selon la méthode de l’année précédente, l’abus d’identifiants aurait atteint 16 %.

Une fois les attaquants à l’intérieur, les identifiants restent au cœur de l’attaque. Ils figuraient parmi les données compromises dans 28 % des violations, et l’utilisation d’identifiants volés reste l’action la plus fréquente dans les attaques simples contre les applications web. La recommandation de Verizon est claire : les organisations doivent cesser de repousser l’authentification multifacteur, car les identifiants restent un élément central de la panoplie des attaquants.

Le rapport montre aussi où les politiques de mots de passe atteignent leurs limites. La plupart des organisations appliquent bien les exigences de complexité : en médiane, moins de 1 % des comptes Active Directory ne les respectent pas. Pourtant, en médiane, 4 % des comptes utilisent des mots de passe déjà exposés lors de fuites de données, ce qui rend l’utilisation d’un mot de passe compromis plus de quatre fois plus probable que celle d’un mot de passe faible. Environ 6 % réutilisent leurs mots de passe ou partagent le même mot de passe avec d’autres. Une politique de mots de passe stricte ne peut pas empêcher ces habitudes, mais un gestionnaire de mots de passe qui génère un mot de passe unique pour chaque compte le peut.

Pourquoi le risque lié aux identifiants progresse à de nouveaux endroits

Deux tendances du rapport méritent l’attention de toute organisation qui planifie sa sécurité pour 2026 et 2027. La première concerne les fournisseurs. Un tiers était impliqué dans 48 % des violations, contre 30 % l’année précédente, et lorsque des mots de passe faibles et des autorisations mal configurées ont été détectés chez des tiers, il a fallu près de huit mois pour en corriger la moitié. Chaque identifiant partagé avec une agence, un prestataire externe ou un fournisseur informatique doit être géré et révoqué à temps.

La seconde est la diffusion d’outils d’IA non autorisés. Selon le rapport, 67 % des utilisateurs accédant à des services d’IA depuis des appareils professionnels le faisaient avec des comptes non professionnels. Chacun de ces comptes échappe au contrôle de l’entreprise et est souvent protégé par un mot de passe personnel qui peut aussi être utilisé ailleurs.

Le facteur humain relie ces deux tendances : il était présent dans 62 % des violations, contre 60 % l’année précédente.

Ce qu’apportent les données européennes et suisses

L’ENISA Threat Landscape 2026, fondé sur 8 257 incidents ayant touché l’UE en 2025, va dans le même sens. Le phishing représentait 77,8 % des techniques d’ingénierie sociale observées par l’ENISA, et le vol d’identifiants continuait de s’appuyer sur des infostealers qui dérobent mots de passe, données de navigation, jetons MFA et cookies de session. L’ENISA signale également que les attaquants combinent des kits de phishing avec des outils adversary-in-the-middle pour contourner l’authentification multifacteur.

Le rapport semestriel de l’Office fédéral de la cybersécurité (OFCS) montre comment cela se traduit en Suisse. Parmi les incidents soumis à l’obligation de signalement au premier semestre 2026, l’accès non autorisé était le type d’attaque le plus fréquent, avec un peu moins de 26 %, principalement des comptes de messagerie compromis par phishing, suivi du vol d’identifiants avec 13,5 %. L’OFCS décrit une évolution vers des attaquants qui se connectent avec des identifiants légitimes au lieu de forcer l’entrée.

Son étude de cas sur les attaques de sabotage contre des installations énergétiques polonaises en décembre 2025 rend ce constat concret. Les attaquants ont pu entrer notamment parce que des points d’accès à distance n’étaient pas protégés par l’authentification multifacteur, que les mêmes mots de passe étaient réutilisés sur plusieurs appareils et que certains appareils utilisaient encore les mots de passe par défaut du fabricant. L’OFCS conclut que des mesures de base, notamment des mots de passe robustes et uniques et l’utilisation systématique du MFA, auraient été déterminantes pour empêcher ces attaques.

Ce qu’un gestionnaire de mots de passe d’entreprise doit offrir

Un gestionnaire de mots de passe traite le risque lié aux identifiants là où les personnes créent, stockent et partagent leurs identifiants. Lors de l’évaluation des solutions, privilégiez les fonctionnalités qui changent les habitudes au quotidien et donnent le contrôle aux administrateurs, classées ici de la plus élémentaire à la plus critique :

• Un générateur de mots de passe et des alertes sur les mots de passe faibles dès leur création
• Le remplissage automatique sur navigateur et mobile, pour que l’option sécurisée soit aussi la plus pratique
• Des safes partagés avec des autorisations basées sur les rôles, pour que chaque équipe ne voie que ce dont elle a besoin
• L’import d’identifiants depuis les outils existants pour simplifier la migration
• L’authentification unique (SSO) et le provisionnement automatique des utilisateurs, pour que les accès prennent fin au départ d’un collaborateur
• L’authentification à deux facteurs pour protéger le safe lui-même
• Le chiffrement zero-knowledge, pour que seuls les utilisateurs autorisés puissent déchiffrer les identifiants stockés

Ce que les équipes doivent vérifier

Pour les organisations du secteur bancaire, de l’assurance et du secteur public, un gestionnaire de mots de passe doit en outre résister à un examen approfondi. Des cadres réglementaires tels que NIS 2 et DORA exigent un contrôle d’accès documenté et l’authentification multifacteur dans le cadre de la gestion des risques liés aux TIC. En Suisse, l’OFCS souligne que, selon les exigences réglementaires, les organisations peuvent avoir besoin d’un chiffrement indépendant du fournisseur pour garantir la confidentialité des données hébergées dans une autre juridiction.

Deux moments mettent ces contrôles particulièrement à l’épreuve. Le premier est le départ d’un collaborateur, lorsque les accès doivent prendre fin le jour même. Le second est un incident, lorsque l’équipe de réponse doit savoir à quels comptes partagés un utilisateur compromis avait accès et avec quelle rapidité cet accès peut être révoqué. Ces deux questions sont difficiles à résoudre lorsque les identifiants se trouvent dans un tableur sur un lecteur partagé, dans un profil de navigateur ou entre les mains du seul administrateur qui a configuré un système il y a des années. Des safes partagés avec des autorisations basées sur les rôles offrent aux équipes de sécurité et de conformité une vision claire de qui peut accéder à quels comptes, ainsi qu’un moyen rapide de retirer cet accès lorsque c’est nécessaire. Comme les identifiants partagés sont stockés dans des safes d’équipe plutôt que dans des safes personnels, ils restent accessibles aux collègues après le départ de la personne qui les a créés.

L’approche de SecureSafe Pass

SecureSafe Pass repose sur l’architecture zero-knowledge et le chiffrement AES-256 qui sous-tendent l’ensemble de la plateforme SecureSafe, avec un hébergement des données en Suisse.

Pour les équipes, SecureSafe Pass propose des Team Safes partagés avec les rôles Admin, Editor et Viewer, afin que les identifiants soient partagés avec les bonnes personnes et que les accès puissent être révoqués instantanément. SecureSafe Pass s’intègre à Microsoft Entra ID pour l’authentification unique, et le provisionnement automatique révoque l’accès dès qu’un utilisateur est retiré de l’annuaire. Les mots de passe faibles sont signalés dès leur création, et l’authentification à deux facteurs protège l’environnement même si un mot de passe est compromis.