Méthodologie : L’étude a analysé des données de mots de passe provenant de « Have I Been Pwned » afin d’identifier les mots de passe ayant fuité les plus fréquents, répartis par catégories : nombres, noms, années, sports, équipes, personnalités, personnages de fiction, animaux, plantes et objets. Chaque classement repose sur le nombre d’apparitions de chaque mot de passe, pris à l’identique, au sein du jeu de données.
Le mot de passe 123456 reste largement en tête
Les résultats de l’étude montrent que les recommandations élémentaires en matière de sécurité informatique sont encore loin d’être systématiquement appliquées.
La combinaison « 123456 » arrive en première position avec 209 972 844 occurrences dans les données analysées. Elle devance largement « 123456789 », recensé 80 942 123 fois, et « 12345678 », présent à 70 382 347 reprises.
Les mots de passe constitués de termes génériques sont également très répandus. Le mot anglais « password » apparaît plus de 52,2 millions de fois, tandis que « admin », fréquemment associé aux accès administrateurs, dépasse 42 millions d’occurrences.
Le classement fait également apparaître « qwerty », qui correspond aux premières lettres de certains claviers, avec près de 30,8 millions d’occurrences.
Ces résultats illustrent la persistance de choix particulièrement prévisibles. Leur présence dans des bases de mots de passe divulgués constitue un risque supplémentaire, puisque les cybercriminels peuvent exploiter ces informations pour tenter d’accéder à d’autres comptes.
Il convient toutefois de préciser que ces chiffres correspondent aux occurrences relevées dans les données étudiées. Ils ne représentent pas nécessairement le nombre de personnes utilisant actuellement chacun de ces mots de passe.
Les prénoms et les dates restent des choix fréquents
L’utilisation d’informations personnelles facilement mémorisables constitue une autre faiblesse identifiée par l’étude.
Parmi les prénoms employés seuls comme mots de passe, « Daniel » arrive en tête avec 2 533 375 occurrences. Il est suivi de « Michael », avec 2 332 388 occurrences, et de « Jessica », avec 1 893 068 occurrences.
D’autres prénoms, comme Thomas, Michelle, Ashley, Jennifer ou Anthony, figurent également parmi les plus représentés.
Les années constituent une autre catégorie particulièrement présente dans les données compromises.
L’année 2020 arrive en première position avec 1 441 965 occurrences, devant 1990, recensée 712 954 fois, et 2021, avec 659 470 occurrences.
L’étude évoque plusieurs explications possibles. Certaines années peuvent correspondre à des dates de naissance ou à des événements personnels importants. D’autres pourraient avoir été utilisées lors de la création de comptes, notamment lorsque les utilisateurs cherchent à satisfaire rapidement les exigences d’un formulaire d’inscription.
Dans les deux cas, le problème reste identique : un mot de passe reposant uniquement sur une information courante ou personnelle peut être particulièrement vulnérable.
Football, musique et personnages de fiction dans les bases compromises
Les centres d’intérêt constituent également une source d’inspiration fréquente pour créer des mots de passe.
Le sport occupe une place importante dans les résultats. Le terme « football » apparaît 2 603 807 fois, devant « baseball », avec 1 937 815 occurrences, et « soccer », avec 1 769 491 occurrences.
Les noms de clubs sont également très représentés. Liverpool arrive en tête avec 1 789 470 occurrences, suivi de Barcelone, avec 1 285 484 occurrences, et de la Juventus, avec 1 230 044 occurrences. Chelsea et Arsenal complètent les cinq premières positions.
La culture populaire fournit elle aussi de nombreuses références.
Le groupe Blink-182 arrive en tête des noms de personnalités ou références culturelles étudiées, avec 1 654 660 occurrences. Metallica dépasse 1,1 million d’occurrences, tandis qu’Eminem, Ronaldo et Nirvana figurent également dans le classement.
Du côté des personnages de fiction, Superman occupe la première place avec 2 134 813 occurrences, devant Naruto, avec 1 643 637 occurrences, et Batman, avec 1 338 840 occurrences.
Les animaux, les végétaux et les objets du quotidien ne sont pas épargnés. Le terme « monkey » apparaît près de 4 millions de fois, tandis que « orange » dépasse 1,1 million d’occurrences. Le mot « computer » figure dans plus de 2,4 millions d’enregistrements.
Ces exemples montrent que les utilisateurs ne se limitent pas aux combinaisons numériques. Beaucoup privilégient des mots familiers, associés à leurs goûts ou à leur environnement quotidien, sans nécessairement mesurer leur caractère prévisible.
Des risques qui concernent directement les entreprises
La faiblesse des mots de passe ne constitue pas uniquement un problème individuel. Elle peut également exposer les entreprises à des intrusions informatiques et à des conséquences financières.
Heath Alexander-Bew, directeur des assurances de particuliers chez Alan Boswell Group, souligne que des identifiants insuffisamment sécurisés peuvent permettre à des personnes malveillantes d’accéder à des messageries professionnelles, des factures, des informations clients ou des documents internes.
L’accès à une boîte de messagerie représente notamment un risque particulier lorsqu’elle permet de réinitialiser les mots de passe d’autres services.
Les cybercriminels disposent par ailleurs d’outils automatisés capables de tester des identifiants déjà présents dans des bases de données compromises. Le danger ne repose donc pas seulement sur la possibilité de deviner un mot de passe, mais également sur sa réutilisation sur plusieurs plateformes.
Un identifiant divulgué lors d’une fuite de données peut ainsi être essayé sur d’autres services, professionnels ou personnels.
Pour une entreprise, cette situation peut compromettre la confidentialité des informations, perturber certaines activités ou faciliter de nouvelles tentatives de fraude.
Les cyberattaques représentent un coût financier significatif
L’étude reprend également des données issues de l’enquête britannique Cyber Security Breaches Survey 2025-2026, consacrée aux incidents de cybersécurité dans les organisations.
Selon les chiffres cités, 43 % des entreprises britanniques interrogées ont identifié une violation de sécurité ou une cyberattaque au cours des douze derniers mois. Cette proportion correspondrait à environ 612 000 entreprises au Royaume-Uni.
Les conséquences financières varient sensiblement selon la nature et la gravité des incidents.
Parmi les 5 % d’entreprises déclarant les coûts les plus élevés, le coût estimé de l’incident le plus perturbateur atteint au moins 4 000 livres sterling. Pour les moyennes et grandes entreprises, ce seuil s’élève à au moins 10 000 livres.
Ces montants illustrent les conséquences économiques possibles d’un incident informatique, même si les données présentées ne permettent pas d’attribuer l’ensemble de ces attaques à l’utilisation de mots de passe insuffisamment sécurisés.
Pour les assureurs et les courtiers spécialisés dans les risques cyber, la question des accès informatiques constitue ainsi un élément important de la prévention.
La sécurisation des identifiants s’inscrit dans une démarche plus large visant à limiter les possibilités d’intrusion et les conséquences d’une compromission des systèmes d’information.
L’authentification multifacteur et les gestionnaires de mots de passe recommandés
Face à ces risques, Alan Boswell Group recommande plusieurs mesures destinées aux particuliers comme aux entreprises.
La première consiste à éviter les mots de passe figurant parmi les combinaisons les plus courantes ou déjà identifiées dans des bases compromises.
Pour les organisations, le groupe préconise notamment de bloquer l’utilisation des mots de passe connus pour avoir été divulgués.
Le recours à l’authentification multifacteur constitue une autre mesure importante. Ce dispositif ajoute une étape de vérification lors de la connexion et permet de renforcer la protection d’un compte lorsque son mot de passe a été compromis.
Les gestionnaires de mots de passe sont également recommandés. Ils facilitent l’utilisation d’identifiants distincts pour les différents services et réduisent la nécessité de mémoriser de nombreuses combinaisons.
La vigilance doit aussi porter sur les comptes personnels, notamment les messageries électroniques, les services bancaires et les plateformes de commerce en ligne.
Enfin, le changement d’un mot de passe ne suffit pas toujours lorsqu’un compte a déjà fait l’objet d’une intrusion.
Le groupe recommande également de vérifier les informations de récupération du compte ainsi que les éventuelles règles de transfert automatique des courriels. Une personne ayant obtenu un accès frauduleux pourrait en effet avoir modifié certains paramètres afin de conserver un moyen de récupérer des informations.
La sécurité des accès reste un enjeu majeur de prévention
Les résultats de cette analyse rappellent qu’une partie des risques informatiques repose encore sur des pratiques élémentaires de gestion des identifiants.
L’utilisation de mots de passe simples, prévisibles ou réutilisés sur plusieurs comptes facilite le travail des cybercriminels, particulièrement lorsque ces combinaisons figurent déjà dans des fichiers issus de violations de données.
Pour les entreprises, la prévention passe autant par les outils techniques que par les habitudes des collaborateurs. La protection des accès professionnels ne peut être totalement dissociée de celle des comptes personnels, notamment lorsque les mêmes identifiants sont utilisés dans les deux environnements.
Pour les particuliers, la multiplication des services numériques rend également indispensable une meilleure gestion des mots de passe.
Au-delà des chiffres parfois considérables révélés par l’étude, le constat est simple : un mot de passe facile à retenir peut aussi être facile à compromettre. Et lorsqu’il protège une messagerie, un compte bancaire ou un accès professionnel, les conséquences peuvent largement dépasser la seule perte d’un identifiant.
crédit : https://www.alanboswell.com/business-insurance/commercial-insurance/cyber-insurance/
