Nouvelles embauches, anciens problèmes : comment réduire les risques liés aux mots de passe lors de l’intégration
Table of Contents
La première semaine d’un nouvel emploi semble toujours impliquer beaucoup de temps avec l’équipe informatique – surtout lors de l’intégration d’employés à distance. La configuration du matériel, des accès et des mots de passe est une étape essentielle. L’une des premières et des plus importantes choses à faire est de partager un mot de passe Active Directory avec un nouvel arrivant – mais cette tâche apparemment simple peut comporter des risques. Nous examinerons les domaines où le risque est créé pendant le processus d’intégration (autour des mots de passe en particulier) et partagerons quelques moyens de réduire ce risque à l’avenir.
Comment les organisations partagent-elles les mots de passe – et pourquoi est-ce risqué ?
Il y a toujours un risque lors du partage d’informations sensibles entre les parties. Voici quelques domaines où le risque peut être créé pendant la partie de partage de mots de passe de l’intégration.
Risque d’interception
Les organisations donnent généralement à leurs nouveaux employés leurs mots de passe en les partageant en texte brut via un e-mail personnel ou un SMS. Cela expose le mot de passe à une interception potentielle par des attaques de type man-in-the-middle, où une partie non autorisée pourrait capturer le mot de passe et l’utiliser pour obtenir un accès non autorisé.
Communication verbale des mots de passe
Une autre façon de donner à un nouvel arrivant son mot de passe est de le partager verbalement le jour de prise de poste de l’employé. Le partage verbal peut être lourd pour le personnel informatique et peut conduire à ce que les mots de passe soient partagés avec le manager de l’employé, introduisant un risque supplémentaire d’ingénierie sociale pour les deux parties. Le mot de passe pourrait aussi être entendu par d’autres, oublié ou incorrectement noté par l’employé. De plus, cette méthode ne favorise pas de bonnes pratiques de mots de passe, comme encourager les employés à changer leurs mots de passe régulièrement ou à utiliser des mots de passe forts et uniques pour différents comptes.
Vulnérabilité à l’ingénierie sociale
Les cybercriminels ciblent les nouveaux arrivants car ces employés ne connaissent souvent pas les processus de l’entreprise, les styles de communication ou les protocoles de sécurité, ce qui les rend vulnérables aux attaques d’ingénierie sociale. Les nouveaux employés sont aussi généralement désireux de faire bonne impression, ce qui pourrait les amener à cliquer précipitamment sur des liens ou des pièces jointes sans vérification appropriée. Les pirates peuvent facilement utiliser des informations publiques sur LinkedIn et les sites web d’entreprise pour établir les nouveaux arrivants, les chaînes de commandement et les relations avec les fournisseurs. Cela les aide à créer des campagnes de harponnage crédibles ciblant des individus.
Échec du changement des mots de passe temporaires
Dans la plupart des cas, les nouveaux arrivants reçoivent un mot de passe temporaire simple que l’équipe informatique leur demande de changer. Cependant, si ces mots de passe ne sont pas changés en temps opportun, cela peut créer un risque. Les nouveaux employés ne changent pas toujours les mots de passe de connexion temporaires fournis par l’équipe informatique, ce qui laisse l’organisation vulnérable aux attaques si le mot de passe était faible ou facilement devinable.
Specops researchers analyzed a year’s worth of malware-stolen credentials and found that 120,000 of them included common terms associated with new hire passwords. The most commonly breached new hire passwords often include simple and predictable terms like ‘welcome123’ or ‘newuser1!’. The data showed that many end users will reuse their temporary password or simply add numbers or special characters onto the end in order to meet an organization’s password policy. These simple password structures are known to hackers and used in dictionary and brute force attacks.
Interested to learn how many weak and breached passwords are currently in use within your Active Directory? Run a read-only scan of your Active Directory with Specops Password Auditor against one billion compromised passwords and get a report detailing your password-related vulnerabilities – download for free here.
Y a-t-il un moyen sécurisé de partager les mots de passe du premier jour ?
As shown above, there are two key areas of risk with onboarding and passwords: first, the unsecure ways that organizations share passwords with new joiners. Then secondly, the risk of employees not updating a temporary password. To mitigate these risks, organizations can use a solution such as Specops’ First Day Password, which allows new hires to set their own passwords securely without knowing the initial temporary password.
The Specops First Day Password feature eliminates the need to share first passwords in plain text or verbally by enabling new employees to set their first passwords through an enrollment link sent to their personal email or mobile number, or via the “reset my password” link on their domain-joined device. This link directs them to a dynamic feedback screen where they can create a password that adheres to the organization’s policy.
First Day Password can also be combined with Specops Password Policy and Breached Password Protection to encourage the creation of strong passwords and block the use of over 5 billion known compromised passwords.
Essayez Specops First Day Password
Pour atténuer les risques d’intégration, éliminez le besoin de mots de passe temporaires. First Day Password permet aux nouveaux utilisateurs de définir leurs propres mots de passe sécurisés après avoir vérifié leur identité, sans jamais connaître le mot de passe initial défini par l’informatique. Cette méthode réduit non seulement le risque associé au partage de mots de passe en texte brut mais assure aussi la conformité avec les réglementations de sécurité.
Have questions about how First Day Password could work for your environment? Want to see a demo of the full solution? Get in touch.
Dernière mise à jour le 09/11/2026