Panda SecurityL’intégration d’un nouveau collaborateur est une étape stratégique pour toute entreprise. En quelques heures, les équipes informatiques doivent créer des comptes, attribuer des droits d’accès, configurer un poste de travail et permettre au salarié d’accéder à ses outils de travail.
Dans cette course contre la montre, un détail passe souvent inaperçu. La manière dont le premier mot de passe est créé et transmis. Pourtant, cette étape, qui semble purement administrative, peut constituer un véritable point faible de la sécurité informatique.
Selon les experts, les équipes informatiques envoient encore trop souvent les mots de passe temporaires utilisés lors de l’onboarding par e-mail ou SMS. Les partagent entre plusieurs personnes ou les conservent bien au-delà de leur durée de vie prévue. Ces pratiques peuvent offrir aux cybercriminels une porte d’entrée particulièrement facile vers le système d’information de l’entreprise.
L’essentiel à retenir
- Les mots de passe temporaires utilisés lors de l’arrivée d’un collaborateur représentent un risque souvent sous-estimé.
- Leur transmission par e-mail ou SMS peut les exposer à des interceptions ou à des erreurs de manipulation.
- Dans certaines entreprises, les équipes ne remplacent jamais ces identifiants provisoires.
- Plusieurs incidents de sécurité récents montrent que les mots de passe par défaut ou oubliés restent une cause fréquente de compromission.
- Les entreprises ont intérêt à permettre aux nouveaux collaborateurs de créer eux-mêmes leur mot de passe après une vérification de leur identité.
Pourquoi l’onboarding est-il une étape sensible ?
L’arrivée d’un nouvel employé mobilise de nombreuses équipes et implique souvent la création simultanée de plusieurs comptes. Messagerie, outils collaboratifs, applications métier, VPN ou encore annuaire d’entreprise.
Pour aller plus vite, il est fréquent que les administrateurs génèrent un mot de passe temporaire qu’ils communiquent au futur collaborateur avant son premier jour.
Cette méthode est simple à mettre en œuvre, mais elle multiplie les risques. Le mot de passe peut être envoyé sur une adresse e-mail personnelle, transiter par plusieurs intermédiaires ou rester accessible dans une boîte de réception pendant des mois. Dans certains cas, il est même communiqué oralement ou noté dans un document partagé, ce qui augmente encore le risque de fuite.
Le problème n’est donc pas uniquement la robustesse du mot de passe, mais tout son cycle de vie. Sa création, son stockage, sa transmission et son remplacement.
Quand un mot de passe temporaire devient permanent
En théorie, un mot de passe provisoire ne devrait servir qu’à une seule chose. Permettre la première connexion avant que l’utilisateur ne le remplace immédiatement.
Dans la pratique, les entreprises n’appliquent pas toujours cette règle.
Certaines entreprises n’imposent pas le changement du mot de passe lors de la première authentification. D’autres créent les comptes plusieurs jours, voire plusieurs semaines avant l’arrivée du collaborateur. Il arrive également que des comptes ne soient jamais activés, tout en conservant des identifiants valides.
Cette accumulation de petites négligences crée un terrain favorable aux attaquants. Un mot de passe qui devait rester valide quelques minutes peut finalement être utilisé pendant plusieurs mois sans que personne ne s’en aperçoive.
Les cybercriminels misent souvent sur les erreurs humaines
Contrairement à l’image véhiculée par les films, les cyberattaques ne reposent pas toujours sur des techniques extrêmement sophistiquées.
Les attaquants recherchent en priorité les opportunités les plus simples. Des comptes oubliés, des mots de passe par défaut ou des identifiants temporaires jamais modifiés.
Ces erreurs leur permettent parfois d’obtenir un premier accès au réseau de l’entreprise sans avoir à exploiter la moindre vulnérabilité logicielle. Une fois connectés, ils peuvent tenter d’élever leurs privilèges, de se déplacer latéralement dans le système d’information ou de déployer un ransomware.
Autrement dit, un simple mot de passe mal géré peut devenir le point de départ d’une compromission beaucoup plus importante.
Des exemples qui montrent que le risque est bien réel
Rappelons-nous plusieurs incidents récents qui illustrent parfaitement ce problème :
En 2023, des attaquants ont compromis une installation de distribution d’eau en Pennsylvanie en exploitant des identifiants par défaut laissés actifs sur des équipements industriels. Ils n’ont pas eu besoin de contourner une protection complexe. Ils ont simplement utilisé un compte qui n’avait jamais été correctement sécurisé.
Autre exemple, en 2025, des chercheurs ont découvert qu’un ancien compte administrateur de la plateforme de recrutement McHire utilisait encore des identifiants extrêmement faibles. Cette mauvaise pratique leur a permis d’accéder à un environnement de test contenant des données liées à des millions de candidatures.
Ces affaires rappellent que les incidents les plus médiatisés ne trouvent pas toujours leur origine dans une vulnérabilité technique sophistiquée. Une mauvaise gestion des identifiants suffit parfois à ouvrir la porte aux attaquants.
Comment repenser la création des premiers accès ?
Pour limiter ces risques, de plus en plus d’entreprises abandonnent le principe du mot de passe temporaire envoyé en clair.
À la place, elles privilégient un processus dans lequel le collaborateur reçoit un lien d’activation sécurisé. Après avoir vérifié son identité grâce à un second canal de confiance, il choisit lui-même son mot de passe avant même sa première connexion.
Cette approche présente plusieurs avantages. Aucun mot de passe ne transite par e-mail, seul son propriétaire connaît les identifiants et le système applique les règles de complexité dès la création du compte.
Associée à l’authentification multifacteur, cette méthode réduit considérablement le risque que des attaquants réutilisent ou interceptent un identifiant d’onboarding.
Quelques bonnes pratiques pour sécuriser l’onboarding
La sécurisation de l’onboarding ne repose pas sur une seule mesure, mais sur un ensemble de bonnes pratiques complémentaires.
Les entreprises ont notamment intérêt à :
- Obliger chaque utilisateur à définir son propre mot de passe lors de la première connexion
- Éviter autant que possible l’envoi d’identifiants en clair par e-mail ou SMS
- Activer l’authentification multifacteur dès la création du compte
- Supprimer les comptes créés mais jamais activés
- Contrôler régulièrement que les utilisateurs n’utilisent plus aucun mot de passe par défaut ou temporaire
- Automatiser les procédures d’onboarding afin de limiter les manipulations manuelles, souvent à l’origine des erreurs
Ces mesures peuvent sembler simples, mais elles permettent de supprimer l’une des faiblesses les plus courantes du processus d’intégration. En cybersécurité, les attaquants cherchent rarement le chemin le plus complexe. Ils exploitent avant tout les portes qui sont restées ouvertes.
Auteur/autrice
