Les logiciels malveillants de type « infostealer » constituent désormais l’une des voies les plus rapides menant d’une infection d’un ordinateur portable personnel à une violation de sécurité au sein d’une entreprise. En 2025, IBM X-Force a indiqué que plus de 300 000 ensembles d’identifiants ChatGPT étaient proposés à la vente sur les marchés du dark web, tandis que le rapport DBIR 2025 de Verizon a établi un lien entre l’utilisation abusive d’identifiants et 22% de violations confirmées. La solution ne réside pas dans un seul outil. Il faut réduire le nombre de mots de passe réutilisables, mettre en place une authentification multifactorielle (MFA) résistante au phishing et accélérer la détection des données de session volées.
Qu'est-ce qu'un logiciel malveillant de type « infostealer » ?
Un logiciel malveillant de type « infostealer » est un programme malveillant conçu pour collecter discrètement des données d'identité à partir d'un appareil : mots de passe enregistrés dans le navigateur, cookies de session, jetons, informations de remplissage automatique, fichiers de portefeuilles cryptographiques, informations de carte bancaire, sessions Telegram, captures d'écran, frappes au clavier et métadonnées du système. Il n'a pas besoin de chiffrer vos fichiers ni de se faire remarquer. Sa particularité réside justement dans sa discrétion.
Le risque concret est simple. Si un pirate parvient à se procurer un cookie ou un jeton valide, il n’aura peut-être même pas besoin de votre mot de passe, et les invites d’authentification multifactorielle (MFA) standard peuvent être contournées dans certains cas de prise de contrôle de compte. C’est pourquoi l’ancien conseil, « il suffit d’activer l’authentification multifactorielle », ne suffit plus à lui seul.
Autrefois, les équipes de sécurité considéraient les infections par des logiciels malveillants ciblant les particuliers comme une simple nuisance pour le service d'assistance. Cette vision est aujourd'hui largement dépassée. Google Cloud/Mandiant a révélé en 2024 que les intrusions chez les clients de Snowflake (UNC5537) avaient utilisé des identifiants précédemment volés par des logiciels d'espionnage, transformant ainsi les infections des terminaux en vols de données dans le cloud et en chantage.
Comment un logiciel malveillant de vol d'informations transforme un téléchargement malveillant en violation de données
La chaîne commence généralement par un élément anodin : un programme d’installation piraté, une publicité malveillante, une fausse mise à jour de navigateur, un e-mail de hameçonnage ou un outil de productivité infecté par un cheval de Troie. IBM X-Force a établi un lien entre la recrudescence, en 2025, des e-mails de hameçonnage diffusant des logiciels malveillants destinés à voler des informations et à récupérer des identifiants, et le recours par les cybercriminels à l’IA pour étendre la portée de leurs attaques, cibler leurs victimes et accélérer leurs itérations.
Une fois installé, le logiciel malveillant récupère les profils de navigateur et les données des applications, puis envoie les données volées à un opérateur. Ces données sont souvent appelées « logs ». En 2025, les sources spécialisées en sécurité décrivaient les marchés de logs issus de logiciels de vol comme proposant des lots pouvant inclure des mots de passe enregistrés, des cookies, des jetons cloud, des données de remplissage automatique, des fichiers de portefeuilles cryptographiques et des empreintes numériques d’appareils.
Voici un aspect que de nombreux guides génériques négligent : l’unicité des mots de passe modifie l’ampleur des répercussions. Une étude liée au rapport DBIR de Verizon réalisée en 2025 a révélé que, parmi les utilisateurs infectés par un logiciel malveillant de vol d’informations, l’utilisateur médian ne disposait que de 49% mots de passe distincts sur l’ensemble de ses services. Si vous possédez 80 comptes et que vous suivez ce comportement médian, environ 41 mots de passe de compte sont susceptibles d’être réutilisés ou répétés ailleurs. Un seul PC domestique infecté peut devenir une carte de votre vie professionnelle.
Le « credential stuffing » constitue l'étape suivante ; cette technique diffère de l'attaque par force brute, car les pirates testent des combinaisons nom d'utilisateur/mot de passe connues au lieu de deviner ces informations à partir de zéro. Si vous souhaitez une explication en termes simples, ce guide sur Attaques par « credential stuffing » et attaques par force brute explique pourquoi les mots de passe réutilisés sont si précieux pour les criminels.
Les chiffres qui illustrent le problème des fuites de données d'identification en 2026
Ces chiffres sont alarmants, mais il convient de les interpréter avec prudence. Les informations fiables provenant de sources primaires concernant les prix et les volumes sur le marché noir du bois illégal sont rares ; de nombreux chiffres proviennent de fournisseurs de solutions de sécurité ou de synthèses médiatiques plutôt que de bases de données des forces de l'ordre. Néanmoins, la tendance est claire.
| Source et année | Chiffre communiqué | Pourquoi c'est important |
|---|---|---|
| IBM X-Force, 2026 | Plus de 300 000 ensembles d'identifiants ChatGPT proposés à la vente sur les marchés du dark web en 2025 | Les comptes de services d'IA font désormais partie de la surface d'attaque en matière d'identité |
| Rapport annuel sur les infractions de données (DBIR) de Verizon, 2025 | Plus de 22 000 incidents et 12 195 fuites de données confirmées dans l'ensemble de données | L'utilisation frauduleuse d'identifiants a représenté 22% des violations de données |
| Google Cloud/Mandiant, 2024 | Les intrusions dans Snowflake (UNC5537) ont utilisé des identifiants précédemment volés par des logiciels de vol d'informations | Les infections de type grand public peuvent entraîner des failles de sécurité majeures dans le cloud |
| The Hacker News, d'après Flashpoint, 2026 | Plus de 11,1 millions d'appareils infectés en 2025, alimentant une base de données de plus de 3,3 milliards d'identifiants volés, de cookies, de jetons et d'autres données d'identité | Utile comme indicateur d'échelle, bien qu'il provienne d'un fournisseur |
| TechRadar, d'après Varonis, 2026 | Le logiciel espion « Storm » coûte $900 par mois | Montre comment les outils de piratage de comptes sont proposés sous forme d'abonnements |
Un rapide calcul permet de mieux cerner le chiffre avancé par Flashpoint. Si 3,3 milliards d’enregistrements d’identité provenaient de 11,1 millions d’appareils infectés en 2025, cela représenterait en moyenne environ 297 éléments volés par appareil. Cela ne signifie pas pour autant que chaque ordinateur portable infecté expose 297 mots de passe valides. Certaines entrées sont des doublons, des cookies périmés ou des comptes de faible valeur. Malgré tout, un seul profil de navigateur compromis peut représenter des années de risque accumulé.
Certains rapports concernant la souche 2026 sont particulièrement inquiétants. Le site Hacker News a révélé que BusySnake Stealer collectait des captures d’écran, les frappes au clavier, les fichiers de portefeuilles de cryptomonnaies, les données de session et d’identification Telegram, les cookies et les mots de passe. BleepingComputer a indiqué que l’exploitation de la vulnérabilité CVE-2026-35616 de FortiClient EMS permettait de déployer un voleur d’identifiants non documenté appelé EKZ. TechRadar a également relayé les conclusions de SentinelOne concernant Reaper, une variante de SHub pour macOS ciblant les navigateurs, les portefeuilles, les trousseaux de clés, les données Telegram et les documents des utilisateurs.
Pourquoi le vol de cookies donne l'impression que l'authentification multifactorielle (MFA) est moins sûre qu'elle ne l'est en réalité
L'authentification multifactorielle reste essentielle. Vraiment. Le problème, c'est que les systèmes classiques d'authentification multifactorielle (MFA) basés sur des notifications push ou des codes ne protègent que le moment de la connexion, alors que des cookies de session et des jetons volés peuvent permettre de se faire passer pour un utilisateur déjà connecté. Les pirates ne passent pas toujours par la porte d'entrée.
Les recommandations de Microsoft pour 2025 indiquent qu’une authentification multifactorielle (MFA) résistante au phishing doit être déployée et peut être rendue obligatoire par le biais de politiques d’accès conditionnel. La norme NIST SP 800-63B-4, publiée en juillet 2025, fournit également des recommandations concernant les mots de passe, la MFA et l’authentification résistante au phishing. La voie à suivre est claire : s'orienter vers les passkeys, les clés de sécurité FIDO2, l'authentification par certificat ou d'autres méthodes résistantes au phishing lorsque le risque pour l'entreprise le justifie.
Un cas limite préoccupant : un utilisateur correctement inscrit, disposant d'un mot de passe fort et d'une authentification multifactorielle (MFA) via une application, peut tout de même être exposé si un logiciel malveillant détourne une session de navigateur active depuis un appareil personnel non géré. Honnêtement, autoriser des appareils non gérés à accéder à des applications SaaS sensibles n'a de sens que si vous êtes prêt à tolérer ce risque ou si vous limitez strictement les actions autorisées lors de ces sessions.
Le même problème d'identité se pose dans le cas des attaques adjacentes. Par exemple, les avertissements concernant L'authentification multifactorielle (MFA) de Microsoft 365 n'est pas suffisante Il s'agit en réalité d'avertissements concernant le vol de session, l'utilisation abusive des jetons et les failles dans l'accès conditionnel, plutôt que d'une raison d'abandonner l'authentification multifactorielle (MFA).
Le marché du bois de chauffage volé, expliqué sans dramatiser
Les marchés de journaux de connexion volés fonctionnent parce que les cybercriminels n'ont pas besoin de pirater eux-mêmes chaque cible. Un groupe infecte les machines. Un autre achète les journaux de connexion. Un troisième teste des identifiants sur des VPN, des plateformes SaaS, des plateformes d'échange de cryptomonnaies, des banques, des outils de développement et des fournisseurs de messagerie. La spécialisation abaisse le niveau de compétence requis.
Les aperçus du marché rapportés pour 2026 varient. Le site Hacker News a cité une analyse de Flashpoint indiquant que plus de 30 souches distinctes de logiciels de vol d’informations étaient activement proposées à la vente sur des marchés illicites, des forums et au sein de communautés clandestines. Breachsense a indiqué en 2026 que RedLine dominait le marché des logiciels de vol d’informations observé en 2025, avec une part de 60% et 447 millions d’identifiants. Constella a signalé que les identifiants d’entreprise de 78% d’entreprises récemment victimes de violations de données étaient apparus dans les journaux de ces logiciels de vol d’informations dans les six mois suivant la violation.
Considérez ces chiffres fournis par les fournisseurs comme des indicateurs, et non comme des données officielles. Ils sont utiles pour repérer les tendances, mais ils ne mesurent pas tous la même chose. Un « identifiant » peut être un mot de passe, un jeton, un cookie, un doublon, un identifiant inactif ou un compte d’entreprise valide. Les acheteurs feront le tri par la suite.
L'IA permet de réduire le coût de ce tri. IBM a déclaré en 2026 que les pirates utilisaient l'IA pour accélérer leurs recherches, analyser de vastes ensembles de données et itérer leurs attaques plus rapidement. Cela correspond à ce que les défenseurs observent ailleurs : un tri automatisé, des messages de hameçonnage plus convaincants et une adaptation plus rapide après le blocage d'une campagne. Pour plus de contexte, lisez cette analyse de des agents d’IA militarisés par des hackers.
Comment les identifiants sont-ils volés, et que faut-il faire en premier lieu ?
Commençons par les mesures de sécurité un peu rébarbatives. Elles fonctionnent. La NSA et la CISA ont déclaré en 2023 qu’une mauvaise gestion des identifiants facilitait l’accès initial, la persistance et les mouvements latéraux, en particulier lorsque l’authentification multifactorielle (MFA) résistante au phishing n’était pas activée. Elles ont également conseillé aux organisations de fournir ou d’autoriser l’utilisation de gestionnaires de mots de passe.
Votre ordre de priorité doit être pragmatique, et non pas théâtral :
- Utilisez un gestionnaire de mots de passe et remplacez les mots de passe réutilisés, en commençant par ceux de vos comptes de messagerie, d'administration du cloud, de services financiers, de développement, des ressources humaines et d'accès à distance.
- Mettez en place une authentification multifactorielle (MFA) résistante au phishing pour les administrateurs, les cadres, les utilisateurs du service financier et toute personne ayant accès à des données sensibles.
- Utilisez l'accès conditionnel pour restreindre l'accès aux emplacements à risque, aux appareils non gérés, aux déplacements impossibles et aux comportements de session anormaux.
- Recherchez les identifiants d'entreprise exposés dans les journaux des logiciels de vol d'identifiants, puis réinitialisez les mots de passe et révoquez les sessions, et non pas seulement l'une ou l'autre de ces mesures.
- Renforcez la sécurité des navigateurs et des terminaux : bloquez les extensions non approuvées, empêchez autant que possible le stockage des identifiants, appliquez rapidement les correctifs et supprimez les droits d'administrateur local.
- Sensibilisez les utilisateurs aux faux programmes d'installation, aux logiciels piratés, aux publicités malveillantes et aux faux CAPTCHA ou processus de téléchargement, et pas seulement au hameçonnage par e-mail.
La révocation des sessions mérite davantage d'attention qu'on ne lui en accorde. Si vous réinitialisez un mot de passe mais que vous laissez les sessions actives en place, un cookie volé peut encore être utilisé jusqu'à son expiration ou jusqu'à ce qu'il soit invalidé. Pour les comptes à haut risque, réinitialisez les identifiants, révoquez les jetons de rafraîchissement, imposez une réauthentification et vérifiez les autorisations OAuth récemment accordées aux applications.
Les enquêtes doivent également s'appuyer sur le contexte d'identité, et pas seulement sur les alertes relatives aux logiciels malveillants. Les outils et services qui enrichissent les informations relatives aux identifiants volés peuvent aider les équipes de sécurité à hiérarchiser les vulnérabilités en fonction de leur importance ; ce rapport sur Enquêtes sur les menaces liées à l'identité assistées par l'IA montre pourquoi la rapidité est essentielle lorsque les rondins circulent rapidement.
Les petites entreprises ne devraient pas reproduire intégralement l’infrastructure de contrôle d’une banque dès le départ. Une entreprise de 25 personnes tirera davantage profit de l’adoption d’un gestionnaire de mots de passe, de l’application de l’authentification multifactorielle (MFA), des procédures de révocation de session et de l’application des correctifs sur les terminaux que d’un tableau de bord coûteux que personne n’a le temps de consulter. À mesure que les organisations gagnent en maturité, leurs priorités en matière de sécurité évoluent ; ce guide sur Comment les priorités en matière de sécurité évoluent au fur et à mesure que l'entreprise se développe est un compagnon sensé.
Ce que les dirigeants comprennent souvent mal au sujet des logiciels malveillants de type « infostealer »
La première erreur consiste à considérer cela comme un problème de discipline au sein du personnel. Certes, il se peut que quelqu’un ait installé une extension de navigateur douteuse ou une application piratée. Mais la faille la plus grave est d’ordre architectural : les navigateurs stockent trop d’informations d’identité, les appareils non gérés disposent d’un accès trop étendu, et trop de services acceptent des identifiants réutilisables.
Un autre écueil consiste à se contenter d'acheter un service de surveillance du dark web et à considérer que le travail est terminé. La surveillance vous indique simplement qu'une information est peut-être déjà exposée. Elle ne change pas les identifiants, ne révoque pas les sessions, ne supprime pas les logiciels malveillants et n'empêche pas le même utilisateur de réutiliser ce nouveau mot de passe la semaine suivante.
Un indicateur plus pertinent est le « délai entre l'alerte de vol de journal et l'invalidation de la session ». Si votre équipe de sécurité reçoit une alerte à 9 h et que le compte reste actif à 15 h, les attaquants disposent d'une journée ouvrée pour l'exploiter. Avec un tel délai, même les meilleurs outils font mauvaise figure.
Ne négligez pas non plus les appareils personnels. De nombreuses violations de sécurité au sein des entreprises trouvent leur origine dans le vol d’identifiants sur un ordinateur personnel, sur lequel un employé s’était connecté à sa messagerie en ligne, à Slack, à GitHub, à un CRM ou à un portail de paie. Vous ne gérez peut-être pas cet appareil, mais vous pouvez en limiter l’accès grâce à des règles de conformité des appareils, à une authentification renforcée et à des durées de session plus courtes.
FAQ
Les logiciels malveillants de type « infostealer » sont-ils identiques aux logiciels espions ?
Ces deux notions se recoupent, mais ne sont pas identiques. Les logiciels espions constituent une catégorie générale de logiciels de surveillance ; les logiciels malveillants de type « infostealer », quant à eux, sont spécialement conçus pour extraire des données sensibles telles que les mots de passe, les cookies, les jetons, les portefeuilles numériques et l'historique de navigation.
L'authentification multifactorielle (MFA) peut-elle bloquer les logiciels malveillants de vol d'informations ?
L'authentification multifactorielle (MFA) permet de réduire le risque de piratage de compte, en particulier lorsqu'elle est résistante au phishing. Elle ne supprime toutefois pas les logiciels malveillants présents sur l'appareil, et les cookies de session ou jetons volés peuvent continuer à présenter un risque si les sessions ne sont pas révoquées.
Comment savoir si mes identifiants figurent dans les journaux d'un logiciel de vol d'identifiants ?
Les entreprises ont généralement recours à des solutions de surveillance de l'exposition des identités, à des services de renseignements sur les menaces ou à des sociétés spécialisées dans la gestion des incidents pour analyser les données issues des journaux de vol d'identités. Les particuliers peuvent commencer par changer les mots de passe réutilisés, activer l'authentification multifactorielle (MFA) et consulter l'historique de connexion à leurs comptes lorsque les services le permettent.
Les Mac sont-ils concernés par les logiciels d'espionnage ?
Oui. En 2026, TechRadar a relayé les conclusions de SentinelOne concernant Reaper, une variante d'un logiciel de vol d'informations pour macOS ciblant les navigateurs, les portefeuilles de cryptomonnaies, les trousseaux de clés, les données de session Telegram et les documents des utilisateurs.
Que dois-je faire après avoir été infecté par un logiciel de vol d'informations ?
Commencez par nettoyer ou réinitialiser l'appareil, puis modifiez les mots de passe à partir d'un appareil de confiance, révoquez les sessions actives, renouvelez les jetons et les clés API, vérifiez vos comptes bancaires et vos comptes de messagerie, et activez l'authentification multifactorielle (MFA) résistante au phishing lorsque cela est possible.
FR 
EN 
ES