Le FBI alerte : les proxys résidentiels alimentent les attaques de credential stuffing
Le FBI et de nouvelles recherches désignent les proxys résidentiels comme le moteur du credential stuffing à grande échelle en 2026. Voici comment fonctionne l'attaque et comment la détecter par IP.
Cette semaine, l'actualité de la menace a mis en lumière un sujet dont nous parlons souvent : les proxys résidentiels. Le FBI a averti que les cybercriminels les utilisent de plus en plus pour mener des attaques de credential stuffing à grande échelle sans être repérés ni bloqués, et de nouvelles recherches publiées début juin 2026 montrent que la majorité du trafic de proxys résidentiels observé sert à commettre des abus contre des banques, des régies publicitaires et des plateformes e-commerce.
Si vous gérez des systèmes de connexion, cela vous concerne dès aujourd'hui. Voici ce qui se passe réellement et comment le détecter.
Ce qu'est le credential stuffing
Les attaquants ne cassent pas les mots de passe, ils les achètent. Des milliards de paires identifiant/mot de passe issues de fuites de données passées sont rejouées sur d'autres sites, en pariant que les utilisateurs réutilisent leurs identifiants. Chaque correspondance réussie donne un compte détourné. La technique est peu coûteuse, automatisée, et de plus en plus accessible à des opérateurs peu qualifiés à mesure que les outils se diffusent.
Pourquoi les proxys résidentiels ont changé la donne
La défense classique contre le credential stuffing consiste à limiter le débit par IP : trop de tentatives de connexion depuis une même adresse, et on la bloque. Les proxys résidentiels neutralisent cette défense.
En faisant transiter chaque tentative de connexion par une IP domestique réelle différente, voir qu'est-ce qu'un proxy résidentiel, un attaquant fait passer un million de tentatives pour un million d'utilisateurs ordinaires distincts. Aucune IP ne dépasse la limite de débit. Les listes de blocage de plages d'hébergement ne se déclenchent jamais, car il s'agit d'adresses FAI authentiques.
Vérifier si une IP présente des signaux de proxy résidentiel
Comment le détecter
Les vérifications d'ASN ou les listes statiques ne suffisent pas. Voici les signaux qui fonctionnent :
- Détection de proxy résidentiel : comparer l'IP à des pools de proxys connus et pondérer les schémas d'usage partagé et de rotation, pas seulement la propriété. C'est exactement le rôle de residential proxy detection.
- Contexte d'anonymisation : une association VPN ou Tor lors d'une connexion est un signal de risque supplémentaire.
- Réputation : les adresses avec un historique d'abus antérieur obtiennent un score plus élevé, voir réputation IP.
- Vélocité au niveau du compte et de l'appareil : l'IP changeant sans cesse, il faut limiter le débit du compte et de l'empreinte de l'appareil, pas seulement de l'IP.
Une défense concrète pour les connexions
| Couche | Ce qu'elle fait |
|---|---|
| Scoring IP | Signaler les connexions liées à un proxy résidentiel ou à un anonymiseur via la proxy detection API |
| Authentification renforcée | Exiger une MFA ou une vérification par e-mail/téléphone au-delà d'un seuil de risque |
| Vélocité du compte | Limiter les tentatives par compte et par appareil, pas seulement par IP |
| Vérification des mots de passe compromis | Rejeter les mots de passe connus comme divulgués à la connexion et à la réinitialisation |
Le changement clé : arrêter de penser « bloquer les mauvaises IP » et commencer à penser « évaluer chaque connexion et ajouter de la friction là où le risque est élevé ». Pour la tendance plus large vers les attaques fondées sur la connexion, voir les attaquants ne s'introduisent pas, ils se connectent.
En résumé
L'alerte du FBI confirme ce que montrent les données : les proxys résidentiels sont le moteur du credential stuffing moderne parce qu'ils déjouent les défenses fondées sur l'IP. Détectez-les grâce à la connaissance des pools et à la réputation, évaluez chaque connexion, et limitez les comptes et les appareils plutôt que de courir après des IP en rotation permanente.
Sources : alerte du FBI via BleepingComputer, recherche Synthient.