Lexique · Sécurité des données
Combolist
Fichier qui agrège des millions de couples identifiant/mot de passe (souvent une adresse e-mail et un mot de passe), compilés à partir de fuites antérieures ou de logiciels voleurs d'identifiants, puis republiés ou vendus. Il sert au bourrage d'identifiants et se présente parfois comme une nouvelle fuite.
Ce que ça change pour une organisation
Une combolist est une liste de couples identifiant/mot de passe rassemblés à partir de nombreuses sources. Troy Hunt décrivait ainsi Collection #1 : un ensemble de fuites antérieures provenant de milliers de sources, dont certains mots de passe avaient été déchiffrés à partir de hachages. L’ANSSI observe aussi, depuis la mi-2024, un recours accru aux infostealers, dont les authentifiants sont revendus sur des forums ou des canaux Telegram privés, puis réutilisés par d’autres attaquants.
Ces listes alimentent le bourrage d’identifiants, efficace selon la CNIL parce que l’identifiant est souvent l’adresse e-mail et que les couples sont réemployés d’un site à l’autre. Elle recommande l’authentification multifacteur et une alerte en cas de connexion depuis un terminal inconnu, puis l’inscription de l’incident au registre des violations et, le cas échéant, sa notification sous 72 heures (article 33 du RGPD).
Une combolist peut aussi se faire passer pour une fuite récente : l’ANSSI note que les fausses annonces de vol de données sont généralement constituées d’anciennes données déjà publiées ou de faibles quantités, et que lever le doute demande un temps conséquent à l’entité visée.
Exemple
Le 16 janvier 2019, Troy Hunt a rendu public « Collection #1 » : 2 692 818 238 lignes, soit 1 160 253 228 combinaisons uniques d’adresse e-mail et de mot de passe, 772 904 991 adresses uniques et 21 222 975 mots de passe uniques. Il s’agissait d’un agrégat de fuites antérieures, diffusé sur un forum de piratage, dont l’origine n’était pas vérifiée.
À ne pas confondre avec
- Le credential stuffing (bourrage d’identifiants) : attaque qui teste en masse des couples identifiant/mot de passe, dont la combolist est la matière première.
- Une fuite de données : extraction de données d’un système précis, alors qu’une combolist recompile des données déjà en circulation sans prouver d’intrusion chez l’organisation citée.
- Un infostealer : logiciel malveillant qui collecte les authentifiants enregistrés dans les navigateurs et peut alimenter une combolist sans en être une.
