Distribution commerciale ou organisée, vente, achat ou échange de mots de passe et autres secrets d'authentification — qu'ils aient été récoltés, décodés ou acquis autrement — en vue de permettre un accès non autorisé, une exploitation ou une revente à des fins lucratives ou illicites.

Principe

La criminalité s'organise autour de la commercialisation et de la distribution : l'acte constitue un trafic lorsque les secrets d'authentification sont traités comme des marchandises transférables et monétisés ou diffusés systématiquement pour faciliter l'accès non autorisé.

Démonstration

Une place de marché propose des paires email/mot de passe validées et les vend à des acheteurs qui utilisent les identifiants pour accéder à des comptes de streaming ou commettre des fraudes financières ; un acteur exploite un service par abonnement fournissant des mots de passe craqués.

Mauvaise application

Qualifier de trafic le partage informel de mots de passe au sein d'une famille ou entre collègues, ou traiter une offre ponctuelle de mot de passe comme une entreprise de trafic organisée alors qu'il n'existe ni commerce ni distribution systématique.

Conséquence

La poursuite peut démanteler des places de marché illicites, entraîner la saisie des produits et de l'infrastructure, infliger des peines aux vendeurs et aux acheteurs, et réduire les vecteurs de prise de contrôle de comptes et de fraudes ultérieures.

Inversion

Les services légitimes de gestion de mots de passe qui stockent et partagent des mots de passe avec consentement explicite et protocoles de sécurité ne constituent pas un trafic ; la détention de mots de passe par les forces de l'ordre sous mandat est licite et non pénale.

Limite

Couvre le transfert commercialisé, organisé ou répété de mots de passe destiné à un usage non autorisé ; exclut le partage privé et consensuel, la délégation d'identifiants régie par une politique d'entreprise et la divulgation d'informations personnelles non authentificatrices.

Tension sémantique

La tension apparaît avec des termes comme « credential stuffing » et la vente de données de violation : le trafic insiste sur le marché et le mécanisme de distribution, tandis que le credential stuffing insiste sur la réutilisation automatisée des identifiants récoltés.

Synthèse

Le trafic de mots de passe est la marchandisation des secrets d'authentification : lorsque les mots de passe sont monétisés et distribués pour le profit ou un usage systématique, la conduite devient une infraction de trafic parce qu'elle crée et perpétue des préjudices d'accès.