Aller au contenu

🔐 Sécuriser les comptes de Mme Cissé après un piratage

Objectifs pédagogiques

  • Analyser les pratiques à risque d'une usagère à partir de faits observés, avant toute action corrective
  • Sécuriser des comptes (mots de passe robustes, double authentification) en expliquant chaque choix sans jargon technique
  • Répondre à une demande de simplification excessive sans créer un nouveau risque

Contexte

Tu es agent du SAAD de Loudéac. Mme Cissé, 76 ans, bénéficiaire du service, t'appelle affolée : son compte Facebook envoie des messages bizarres à toute sa liste de contacts depuis hier, et elle craint d'avoir « fait une bêtise ». Ta responsable de secteur te confie l'accompagnement de la remise en sécurité de ses comptes.

Ce que tu observes chez elle : le même mot de passe (le prénom de son chat suivi de « 2020 ») est utilisé pour sa messagerie, Facebook et son compte Ameli ; elle n'a jamais entendu parler de la double authentification ; elle a cliqué la semaine dernière sur un lien reçu par SMS annonçant un colis à récupérer.

Ton rôle aujourd'hui

Avec ton binôme, répartissez-vous les rôles : l'aidant ou l'aidée.

Si tu joues Mme Cissé, tiens le rôle sérieusement : culpabilise à voix haute (« c'est ma faute, je n'y comprends rien »), et à un moment de l'étape C, demande à ton binôme de simplement « remettre le même mot de passe partout, ce sera plus facile à retenir ».

Problématique

« Comment sécuriser les comptes d'une usagère victime d'un piratage sans la faire culpabiliser, et sans créer un nouveau risque en simplifiant à l'excès ? »

Mission

A — Diagnostic des pratiques à risque de Mme Cissé

  1. Établir, à partir de ce que tu observes et de la fiche Pourquoi et comment bien gérer ses mots de passe ? — cybermalveillance.gouv.fr, le lien entre le mot de passe unique réutilisé partout et l'ampleur du piratage sur plusieurs comptes.
  2. Formuler une hypothèse sur le rôle du lien SMS cliqué la semaine précédente dans cet incident.

B — Préparation d'une méthode simple à lui transmettre

  1. Reformuler, à partir de la même fiche, une méthode de mot de passe robuste (phrase de passe) en langage courant, sans jargon technique, que Mme Cissé pourra réutiliser seule.
  2. Expliquer simplement la double authentification, avec un exemple concret d'usage quotidien.

C — Accompagnement de Mme Cissé dans la sécurisation

  1. Créer trois mots de passe distincts selon la méthode, un par compte cité dans la mise en situation.
  2. Proposer, avec ton binôme, à Mme Cissé de changer ses mots de passe et d'activer la double authentification sur au moins un compte, en tenant compte de son retour réel.
  3. Gérer l'imprévu : Mme Cissé insiste pour garder le même mot de passe partout pour ne rien oublier — noter ta réponse.

D — Orientation de Mme Cissé en cas de nouvel incident

  1. Noter une procédure courte à suivre en cas de nouveau piratage ou de compte définitivement compromis (qui contacter, dans quel ordre).
  2. Décrire la procédure officielle de signalement d'un SMS suspect (à qui, dans quel ordre), sans jugement porté sur Mme Cissé ; le SMS est fictif : ne fais aucun signalement réel.

E — Prise de recul et explicitation

J'explicite mes choix (2-3 min, à l'oral)

Présenter ta procédure à ton binôme ou à ton enseignant, et répondre à ces trois questions :

  • Pourquoi as-tu reformulé la double authentification en langage courant plutôt qu'en termes techniques ?
  • Comment as-tu géré la demande de Mme Cissé de garder un seul mot de passe partout ?
  • Que ferais-tu différemment si le prochain usager refusait catégoriquement toute double authentification ?

Questions de synthèse

  • Pourquoi un même mot de passe réutilisé sur plusieurs comptes aggrave-t-il les conséquences d'un piratage ?
  • Que change concrètement la double authentification si un mot de passe est volé malgré tout ?
Vérifier mes réponses
  • Un mot de passe unique compromis donne accès à tous les comptes qui le partagent, au lieu d'un seul.
  • Même avec le bon mot de passe, l'accès reste bloqué sans le second facteur (code envoyé sur le téléphone de la personne), ce qui empêche l'essentiel des accès frauduleux.
Ressources et outils
CRCN / Pix
  • CRCN 4.1 — Sécuriser l'environnement numérique
Compétence psychosociale

Régulation des émotions — Tu as gardé ton calme face à l'affolement de Mme Cissé et l'as aidée à retrouver le sien.

Retour sur mon action : Comment as-tu réagi à son affolement ? Qu'as-tu fait pour rester calme ?

Ce qu'il faut retenir

  • Un même mot de passe sur plusieurs comptes permet un piratage en cascade : un compte piraté donne accès aux autres.
  • Un mot de passe différent par compte, construit par exemple avec une phrase de passe, limite ce risque.
  • J'explique sans jargon pour que l'usager comprenne et applique seul.
  • Je signale tout lien ou message suspect, et j'argumente même si l'usager insiste pour garder ses habitudes.

Dans cette activité : comptes piratés d'une usagère qui utilisait le même mot de passe partout.

Grille d'évaluation

C8.2 — Sécuriser des comptes après piratage (MP8, prépare l'ECCF E7.4)

Production attendue : le diagnostic des pratiques à risque, la méthode de mot de passe reformulée, les trois mots de passe créés, la procédure de signalement, et l'explicitation orale.

Critère (référentiel C8.2) Indicateurs observables Descripteurs par niveau
Posture d'accompagnement : mobilisation des ressources de la personne
  • Méthode reformulée en langage courant, réutilisable seule par Mme Cissé
  • Imprévu du mot de passe unique traité sans céder à la facilité
    		•  -- : Aucune méthode transmise à Mme Cissé (mots de passe créés à sa place sans explication), ou l'imprévu est réglé en cédant à sa demande d'un seul mot de passe.
    - : La méthode est expliquée mais reste technique (« phrase de passe », « entropie ») sans reformulation accessible ; l'imprévu est géré mais sans lui laisser de solution alternative concrète.
    + : La méthode est reformulée en langage courant, avec un exemple qu'elle peut réutiliser seule pour un futur compte ; l'imprévu est traité en refusant la facilité tout en proposant une alternative réaliste (gestionnaire, carnet).
    ++ : Mme Cissé peut reformuler elle-même la méthode après l'échange ; l'imprévu est traité en construisant avec elle une solution qu'elle accepte et qui ne recrée pas le risque initial.
    Mise en place d'une relation en maintenant la distanciation professionnelle requise
  • Aucune culpabilisation de Mme Cissé dans les échanges produits
  • Diagnostic appuyé sur des faits observés, pas un jugement
    		•  -- : Des propos culpabilisants apparaissent dans les échanges (« il ne fallait pas cliquer ») ; le diagnostic porte un jugement sur elle plutôt que sur les pratiques observées.
    - : Pas de culpabilisation explicite mais un ton condescendant subsiste ; le diagnostic mélange faits observés et suppositions non vérifiées.
    + : Aucune culpabilisation, le ton reste factuel et bienveillant ; le diagnostic s'appuie uniquement sur les éléments observés (mot de passe unique, lien SMS cliqué).
    ++ : L'échange rassure explicitement Mme Cissé sur le fait que l'incident aurait pu arriver à quiconque ; le diagnostic relie chaque fait observé à sa conséquence précise dans l'incident.
    Anticipation et réalisation des démarches
  • Trois mots de passe distincts créés selon la méthode
  • Procédure de signalement correcte et sans donnée personnelle inutile
    		•  -- : Moins de trois mots de passe créés, ou des mots de passe qui ne respectent pas la méthode définie ; pas de procédure de signalement décrite.
    - : Trois mots de passe créés mais avec des variations mineures d'un même motif (donc pas réellement distincts) ; procédure de signalement incomplète.
    + : Trois mots de passe réellement distincts, un par compte, conformes à la méthode ; procédure de signalement décrite selon la procédure officielle sans donnée personnelle superflue.
    ++ : Les trois mots de passe sont distincts et la double authentification est activée sur au moins un compte ; la procédure de signalement est décrite et une procédure courte est notée pour un futur incident.