RockYou2021 : pourquoi il ne faut pas avoir peur de la prétendue fuite de mots de passe

De nombreux sites web se sont fait l’écho de la mise en ligne d’un gigantesque fichier baptisé RockYou2021, pesant près de 100 Go, présenté comme « la plus grosse compilation de mots de passe de tous les temps », regroupant 8,4 milliards d’entrées. Ce n’est pas la première fois, de telles publications apparaissant régulièrement dans la presse. 

Or, et comme l’expliquent Troy Hunt, le créateur d’HaveIBeenPwned, et Chris Partridge, en charge de la sécurité du cloud chez Amazon, le fichier en question n’est qu’un nouvel agrégat de vieux mots de passe piratés par le passé, mais aussi et surtout de bases de données de simples « mots » (i.e. pas « de passe ») répertoriés par Wikipédia ou encore l’encyclopédie de livres du Projet Gutenberg, ou qui en ont été dérivés par permutations… Inutile, donc, de paniquer. 

Alors qu’on dénombre environ 4,7 milliards d’internautes, que nombreux sont ceux à utiliser les mêmes mots de passe, et que ces derniers sont de plus en plus stockés sous forme de hashs, HaveIBeenPwned ne répertorie d’ailleurs qu’un peu plus de 615 millions (soit 14 fois moins) de mots de passe.

« Toujours vraiment surpris que cela ait fait les gros titres et ait été autant partagé, c’est comme si les gens ne lisaient pas les histoires avant de les partager », déplore de son côté Troy Hunt.