Gmail dément une faille après la fuite de 183 millions d’identifiants

Une base issue de journaux d’infostealers et de listes de « credential stuffing » recense 183 millions d’identifiants avec leurs mots de passe, ajoutée à Have I Been Pwned fin octobre 2025. Google réfute toute « faille Gmail », et recommande de sécuriser les comptes sans tarder.

L’essentiel

• 183 millions d’adresses et mots de passe recensés dans un corpus unique
• Données issues de malwares voleurs et de listes de connexions réutilisées
• Google nie une faille Gmail, l’alerte vise les réutilisations de mots de passe
• Vérification possible par courriel et changement immédiat des mots de passe
• Activer l’authentification à deux facteurs ou des passkeys limite l’impact

L’annonce d’un corpus de 183 millions d’adresses avec mots de passe relance la question de la réutilisation des identifiants, sujet récurrent de sécurité. Le lot est consolidé et indexé pour faciliter la vérification, ce qui élargit la portée pratique de l’alerte pour le grand public comme pour les équipes techniques.

Ce qui s’est passé

Le corpus synthétise des journaux produits par des malwares voleurs de mots de passe et des listes de « credential stuffing », une famille de fichiers où des couples adresse-mot de passe sont regroupés depuis d’anciens piratages ou des fuites réutilisées. L’ensemble pèse plusieurs téraoctets et a été partagé à des fins d’analyse, ce qui explique le volume et la diversité des services concernés, webmail compris. Ces agrégats contiennent des doublons, des variantes et des historiques, d’où des chiffres bruts élevés qui ne signifient pas que tout soit nouveau.

Le chercheur Troy Hunt décrit un jeu de données d’environ 3,5 To, normalisé pour arriver à 183 millions d’adresses uniques, avec 16,4 millions d’adresses jamais vues auparavant selon ses vérifications, élément qu’il détaille dans son analyse détaillée Synthient, placée au cœur de son billet. Ce cadrage insiste sur le rôle des stealer logs et des listes d’essais de connexion, deux sources qui grossissent l’empreinte des comptes exposés.

L’indexation publique facilite la recherche par adresse et par domaine grâce à la fiche HIBP Synthient, utile pour vérifier si des comptes d’entreprise se retrouvent dans le lot. Cette visibilité accélère aussi les actions défensives, par exemple la réinitialisation ciblée ou l’alerte aux utilisateurs affectés.

Gmail n’a pas été piraté

Dans les heures qui ont suivi des titres alarmistes, Google a publié un démenti net, confirmant l’absence de brèche dans Gmail et pointant un « malentendu autour de bases issues d’infostealers ». Le point clé tient au fait que des adresses « @gmail.com » figurent massivement dans la vie numérique, donc mécaniquement dans ces agrégats, sans que les serveurs de Google aient été compromis.

Cette nuance déplace le risque de l’infrastructure mail vers les terminaux et les usages, notamment les navigateurs infectés, les extensions douteuses, les applications non vérifiées ou les sites frauduleux qui moissonnent des identifiants. La presse spécialisée a relayé cette mise au point, notamment un article de The Register, en soulignant que l’exposition vise surtout des mots de passe réutilisés ou collectés sur des machines compromises.

Comment vérifier si vous êtes concerné

La première étape consiste à tester son adresse sur un service de vérification, puis à changer le mot de passe des services listés, en privilégiant des combinaisons uniques et longues. Il est recommandé d’éviter toute réutilisation entre messagerie, réseaux sociaux et services financiers, un enchaînement qui facilite les prises de contrôle.

Ensuite, l’activation d’une authentification à deux facteurs ou, mieux encore, de passkeys sur les comptes critiques réduit l’impact d’un identifiant déjà exposé, car la connexion exige un second facteur. Sur les postes, un balayage antivirus sérieux, la mise à jour des navigateurs et la suppression d’extensions non nécessaires limitent la capture d’identifiants à l’avenir ; côté habitude, un gestionnaire de mots de passe aide à créer et conserver des phrases robustes, toutes différentes.

Retombées concrètes pour les utilisateurs et pour les entreprises

Pour un particulier, l’effet le plus courant reste la prise de contrôle d’un compte secondaire qui partage le même mot de passe qu’un compte principal, ce qui ouvre la voie à des recompositions plus intrusives. L’urgence est donc de casser toute réutilisation, de renforcer l’authentification et de surveiller ponctuellement les accès récents, en particulier sur les services financiers et de messagerie où un simple renvoi d’e-mail peut suffire à réinitialiser des mots de passe tiers.

Pour une entreprise, l’enjeu se déplace vers la défense contre le credential stuffing, avec des mécanismes de détection d’essais anormaux, des CAPTCHAs adaptatifs, des limites sur les tentatives, une surveillance des adresses exposées et des campagnes pédagogiques sur les mots de passe uniques. La mise en place de politiques de passkeys, la rotation régulière des secrets sensibles et l’isolation des comptes à privilèges réduisent la surface d’attaque, tandis que l’intégration de listes de mots de passe compromis dans les contrôles d’inscription et de changement bloque les choix faibles dès l’origine.

Contexte, précédents et couverture médiatique

Les bases de « credential stuffing » circulent et se recyclent depuis des années, souvent gonflées par des doublons et des historiques, ce qui explique des chiffres impressionnants sans que tout soit inédit. La nouveauté utile ici tient à la consolidation et à l’indexation, deux facteurs qui rendent l’auto-vérification actionnable pour le grand public et qui permettent aux responsables sécurité d’analyser l’exposition d’un domaine avec une granularité plus fine.

L’ampleur du corpus a suscité de nombreux articles pédagogiques et des titres grand public qui détaillent la marche à suivre pour vérifier son adresse, un exemple étant le tutoriel du New York Post, cité au sein de cette couverture. Pour le lecteur, la ligne de conduite reste identique quel que soit le média, vérifier, changer, renforcer, puis assainir ses appareils en cas de doute.

Have I Been Pwned a ajouté le jeu « Synthient Stealer Log Threat Data » le 21 octobre 2025, et d’autres consolidations similaires pourraient suivre si de nouveaux lots sont validés. Les grandes plateformes déclenchent déjà des réinitialisations ciblées quand des accès suspects émergent, ce qui peut survenir sans annonce publique, signe que des contrôles préventifs tournent en continu.

Dans les prochaines semaines, l’attention portera sur la réduction des réutilisations de mots de passe et sur l’adoption de passkeys dans les services grand public. Côté entreprises, la détection d’anomalies de connexion et l’interdiction de secrets compromis dans les politiques internes resteront des priorités opérationnelles.