Hameçonnage et piratage : l'outil gratuit sur iPhone et Android qui teste vos mots de passe

Un mot de passe différent pour chaque compte : la consigne est connue, et presque personne ne l'applique. Entre la messagerie, la banque, l'espace client opérateur, les boutiques en ligne et les abonnements vidéo, un foyer cumule des dizaines de comptes. Le problème n'est pas la paresse, c'est le nombre. Et le coffre qui le règle dort déjà dans votre téléphone.

Pourquoi un seul mot de passe volé ouvre tous vos comptes

Quand un site marchand se fait dérober sa base de clients, les couples adresse et mot de passe partent en listes. Les attaquants ne devinent rien : ils rejouent ces couples automatiquement sur des dizaines d'autres services. La CNIL nomme cette technique le bourrage d'identifiants et la définit comme des tentatives d'authentification massives sur des sites et services web à partir de couples identifiants et mots de passe. Un mot de passe réutilisé sur cinq sites transforme une fuite en cinq comptes ouverts.

Le volume ne faiblit pas : cybermalveillance.gouv.fr indique avoir assisté plus de 500 000 victimes en 2025, en hausse de 20 % par rapport à l'année précédente, l'hameçonnage arrivant au premier rang des menaces, ces faux messages qui imitent un expéditeur de confiance pour récolter un identifiant.

Deux réflexes cassent l'enchaînement : un mot de passe unique par service, et une longueur suffisante, au minimum 12 signes mélangeant majuscules, minuscules, chiffres et caractères spéciaux, selon les services de l'État. Votre messagerie mérite le plus d'attention : c'est par elle que passent toutes les réinitialisations. Si le mal est fait, notre marche à suivre pour reprendre la main sur un compte piraté donne l'ordre des opérations.

Le gestionnaire de mots de passe que vous avez déjà

Retenir quarante mots de passe uniques est hors de portée. En retenir un seul, celui qui ouvre le coffre, l'est pour tout le monde : c'est le principe du gestionnaire. Il génère des mots de passe complexes, les conserve chiffrés, les remplit à votre place et les synchronise. Inutile d'en acheter un, votre téléphone en embarque un, et notre mode d'emploi du gestionnaire intégré reprend la mise en route écran par écran.

Sur iPhone et iPad, une application Mots de passe existe depuis iOS 18. Son onglet Sécurité est le plus utile : Apple précise qu'elle alerte des faiblesses courantes, « telles qu'un mot de passe facile à deviner, utilisé plusieurs fois pour des comptes différents ou figurant dans des fuites de données connues ». Le remplissage automatique s'active dans Réglages, Général, Remplissage auto. et mots de passe.

Sur Android, le Gestionnaire de mots de passe de Google joue le même rôle, depuis l'application du même nom ou depuis passwords.google.com. L'équivalent de l'onglet Sécurité s'appelle le Check-up Mots de passe et signale les mots de passe divulgués, peu sécurisés ou utilisés dans plusieurs comptes. Sur ordinateur, dans Chrome : sélectionnez Plus en haut à droite, puis Mots de passe et saisie automatique, Gestionnaire de mots de passe de Google, et Check-up sur la gauche. Pour un coffre installé sur son seul ordinateur, la même fiche des services de l'État recommande KeePassXC, gratuit et certifié par l'ANSSI.

Chemins relevés dans les documentations officielles Apple et Google.

Ces coffres gardent aussi les mots de passe Wi-Fi et des clés d'accès, ces identifiants sans mot de passe rattachés à l'appareil, qu'Apple présente comme moins vulnérables à l'hameçonnage. Même logique que le paiement avec son téléphone, où la preuve repose sur l'appareil en main.

La double authentification, et pourquoi le SMS est le maillon faible

La double authentification ajoute une deuxième preuve : le mot de passe, puis un élément que vous seul détenez. Son intérêt tient en une phrase : même si votre mot de passe fuite, l'intrus reste bloqué à la seconde étape. Chez Google, l'option porte le nom de validation en deux étapes ; sur un compte Apple, elle s'appelle identification à deux facteurs. Notre marche à suivre pour activer la double authentification depuis son téléphone déroule les écrans compte par compte.

Toutes les méthodes ne se valent pas, et les services l'expliquent rarement. L'ANSSI, l'agence publique de cybersécurité, l'écrit noir sur blanc : il est recommandé de ne pas utiliser le SMS comme moyen de réception d'un facteur d'authentification. Les protocoles qui acheminent les SMS présentent des vulnérabilités connues et peuvent être interceptés. Et le transfert de carte SIM, appelé SIM swapping, permet à un escroc de se faire expédier une carte à votre nom auprès du service client : il récupère la ligne, donc les codes. Notre article sur ce vol de numéro par transfert de carte SIM détaille cette fraude.

Privilégiez, dans cet ordre : une clé de sécurité physique, une application d'authentification, qui produit des codes à usage unique même sans connexion Internet ni réseau mobile, ou les notifications de connexion du compte Google, présentées comme protégées contre le piratage de la carte SIM. Sur iPhone, l'application Mots de passe génère elle-même ces codes, sans SMS ni application supplémentaire. Le SMS vaut mieux que rien : l'ANSSI relève qu'en l'absence d'alternative, un code temporaire par message limite ou détecte encore les tentatives frauduleuses.

Les codes de secours, la box et le compte opérateur

Reste l'étape que presque tout le monde saute. À l'activation, le service propose des codes de secours : Google en délivre un ensemble de dix codes à huit chiffres, chacun utilisable une seule fois, à imprimer ou à télécharger et à ne communiquer à personne. Sans eux, un téléphone perdu ou volé peut vous verrouiller hors de vos comptes pendant des jours. Rangez-les ailleurs que dans l'appareil concerné, et gardez notre checklist des 24 heures après un vol.

Deux mots de passe passent sous le radar. Celui du Wi-Fi, souvent laissé tel quel depuis l'installation de la box : vérifier qui est connecté à votre Wi-Fi vous dira s'il faut la changer sans attendre, et un réseau Wi-Fi invité évite de livrer la clé principale à vos visiteurs. Celui de l'espace client opérateur ensuite, qui ouvre l'accès à la facturation et à la commande d'une nouvelle carte SIM : une cible de choix, à traiter comme un compte bancaire.

Ce tour d'horizon est le moment de regarder ce que vous payez chaque mois : beaucoup de foyers y découvrent des abonnements oubliés et un forfait facturé au-delà des tarifs actuels. Notre comparateur télécom suffit pour situer votre offre.

Forfait NRJ Mobile 100 Mo

Sans engagement 100 Mo 4G UE 100 Mo

1,49 €/mois

Tarifs vérifiés le 12/10/2026

Souscrire

Voir les détails

Prix mini

Forfait RED 1 Go

Sans engagement 1 Go 4G eSIM UE 1 Go

1,99 €/mois

Tarifs vérifiés le 30/09/2026

Souscrire

Voir les détails

Forfait Cdiscount 1Go

Sans engagement 1 Go 4G UE 1 Go

1,99 €/mois

Tarifs vérifiés le 12/10/2026

Souscrire

Voir les détails

Trois gestes changent tout : ouvrir le gestionnaire présent dans votre téléphone et corriger ce qu'il signale, activer la double authentification sur la messagerie, la banque et l'espace opérateur, puis mettre les codes de secours à l'abri. Le reste est de l'hygiène quotidienne : jamais d'identifiant saisi depuis un lien reçu par message, méfiance devant un QR code collé dans la rue, trois réflexes sur un Wi-Fi partagé, et effacer ses données avant de revendre un téléphone.