Au cours d’une heure, plus de 60 % des mots de passe sont décryptés à partir du hachage MD5 grâce à une seule GeForce RTX 5090

Comment il est possible de craquer rapidement les mots de passe MD5 : résultats de l’étude « Laboratoire Kaspersky »

*En 2024, des chercheurs du « Laboratoire Kaspersky » ont analysé plus de 231 millions de mots de passe volés provenant de fuites sur le dark‑net. Après avoir les hachés avec l’algorithme MD5, il a été constaté que :*

- 60 % des mots de passe peuvent être craqués en moins d’une heure.

- 48 % – déjà en une minute.

*Pour cela, il suffit d’une seule carte graphique Nvidia GeForce RTX 5090.*

Pourquoi c’est si rapide
1. Faible complexité du MD5

L’algorithme MD5 est depuis longtemps obsolète ; ses hachages sont facilement percés grâce aux GPU modernes.

2. Optimisation pour des mots de passe spécifiques

L’analyse de plus de 200 millions de mots de passe a révélé des schémas (modèles fréquents, mots simples, etc.) qui permettent de réduire le temps de recherche.

3. Augmentation de la puissance des processeurs graphiques

Depuis la première étude en 2024, les performances GPU ont considérablement augmenté, tandis que les mots de passe eux‑mêmes ne sont pas devenus plus complexes.

Que cela signifie pour les utilisateurs
- Les mots de passe protégés uniquement par des hachages MD5 ne peuvent plus être considérés comme sûrs. Si un attaquant obtient ces données via une fuite, il peut rapidement accéder aux comptes.

- Les hackers professionnels peuvent louer la puissance GPU auprès de fournisseurs cloud, donc même les cartes peu coûteuses représentent une menace.

Pourquoi le problème est plus complexe que « passer à SHA »
Les experts du The Register soulignent plusieurs facteurs :

1. Manque de sensibilisation

Les utilisateurs et organisations connaissent peu les risques liés aux mots de passe faibles.

2. Exigences faibles en matière de mot de passe

Sur de nombreuses plateformes, les règles restent souples, sans exigence de longueur, de complexité ou de mise à jour régulière.

3. Manque de mesures supplémentaires de protection

- L’authentification à deux facteurs (2FA) est encore perçue comme « suffisante » ; la biométrie est considérée comme le deuxième facteur le plus fiable.

- Les systèmes ne sont pas toujours protégés contre le déplacement horizontal d’un attaquant après l’intrusion initiale.

Que peut-on faire
- Passer à des hachages plus résistants (bcrypt, Argon2) et utiliser du sel.

- Mettre en place des règles strictes de mot de passe : minimum 12 caractères, combinaison de lettres, chiffres et symboles spéciaux.

- Obliger l’authentification à deux facteurs, idéalement avec biométrie ou tokens matériels.

- Réaliser régulièrement un audit de sécurité et former le personnel.

Ainsi, même les simples mots de passe MD5 représentent déjà une menace sérieuse. Des mesures de protection complètes sont la seule façon de réduire le risque d’attaques cybernétiques dans les conditions actuelles.