Infostealer : comment les cybercriminels volent vos identifiants et menacent votre entreprise

Ransomwares, phishing, attaques sophistiquées… Ce sont souvent les menaces qui viennent immédiatement à l’esprit. Pourtant, une intrusion peut commencer de façon bien plus banale : avec des identifiants enregistrés sur l’ordinateur d’un collaborateur.

Derrière ce type de compromission se cache souvent un infostealer, autrement dit un logiciel conçu pour voler des informations.

Son but n’est pas de bloquer le système ni de chiffrer les données pour réclamer une rançon. Il agit discrètement et collecte, parfois en quelques secondes, tout ce qui pourra être utile à un attaquant. Le plus souvent, l’utilisateur ne remarque rien.

Mais ce vol silencieux peut avoir des conséquences très concrètes pour l’entreprise.

Plusieurs familles d'infostealers ont marqué le paysage de la cybercriminalité ces dernières années, notamment Lumma Stealer, RedLine et StealC.

C’est précisément ce qui le rend difficile à repérer : contrairement à un ransomware, il ne provoque pas forcément de panne ou de message d’alerte. Le collaborateur continue à travailler comme si de rien n’était, alors que ses données ont déjà quitté le poste.

Comment se déroule une attaque ?

Un ordinateur personnel peut devenir une porte d'entrée vers l'entreprise

Prenons un cas très simple : un collaborateur utilise ponctuellement son ordinateur personnel pour consulter sa messagerie ou accéder à une application professionnelle.

Un jour, il télécharge un logiciel gratuit depuis un site non officiel. L’installation semble fonctionner normalement, mais elle embarque en réalité un infostealer.

En arrière-plan, le logiciel récupère les identifiants professionnels stockés dans le navigateur et les envoie à un cybercriminel.

Si ces accès sont encore valides et insuffisamment protégés, l'attaquant peut tenter de se connecter à la messagerie de l'entreprise, à des outils collaboratifs ou à des applications métiers.

Résultat : le système d’information peut être exposé alors même qu’aucun serveur de l’entreprise n’a été directement attaqué.

Ce scénario illustre l'importance de la séparation des usages personnels et professionnels, mais aussi de la sécurisation des identités indépendamment du terminal utilisé.

L'ANSSI évoque d'ailleurs, dans son Panorama de la cybermenace 2025, des infections par l'infostealer EpiBrowser consécutives à l'installation d'un faux navigateur Chromium au sein d'entreprises agroalimentaires.

Le MFA ne suffit-il pas à empêcher ces attaques ?

C’est l’un des points les plus déroutants : même avec de la double authentification, le risque ne disparaît pas complètement.

La double authentification (MFA) constitue une protection essentielle contre l'utilisation frauduleuse de mots de passe. Mais elle n'élimine pas tous les risques.

Après une authentification réussie, une application crée généralement une session afin que l’utilisateur n’ait pas à saisir de nouveau son mot de passe et son second facteur à chaque action.

Certains infostealers sont capables de dérober les cookies associés à ces sessions.

Dans certaines conditions, un attaquant peut réutiliser une session encore valide, sans avoir à franchir une nouvelle étape d'authentification.

Il ne faut pas en conclure que le MFA ne sert à rien, bien au contraire. Mais il doit s’inscrire dans une protection plus large, capable de prendre en compte le vol et la réutilisation de sessions déjà authentifiées.

Sekoia a notamment documenté en 2025 des campagnes de détournement de sessions permettant de contourner certains mécanismes MFA traditionnels. Ces campagnes reposaient sur des techniques de phishing AiTM, distinctes d'une infection par infostealer, mais illustrant le même enjeu de sécurité autour des jetons d'authentification.

Pourquoi les entreprises doivent-elles s'en préoccuper ?

Pour un cybercriminel, un identifiant volé n’est pas une simple donnée : c’est une clé d’entrée potentielle dans l’entreprise.

Un seul compte compromis peut suffire pour consulter des informations confidentielles, usurper l’identité d’un collaborateur ou préparer une attaque plus ambitieuse.

Les risques sont multiples : fraude financière, fuite de données, compromission de la messagerie, accès non autorisé aux environnements Cloud, ou encore propagation vers d'autres ressources internes.

Le rapport M-Trends 2026 de Google Cloud indique que les logiciels spécialisés dans le vol d'identifiants représentaient 9 % des familles de malwares observées dans les investigations menées par Mandiant en 2025. Ce chiffre concerne les investigations étudiées, et non l'ensemble des infections mondiales.

Autre difficulté : ces accès sont parfois exploités presque aussitôt après leur vol. Pour l’entreprise, la fenêtre de détection et de réaction devient alors très courte.

Comment se protéger contre les infostealers ?

Il n’existe pas de solution unique contre les infostealers. La protection repose sur plusieurs lignes de défense complémentaires : empêcher l’infection, repérer les comportements anormaux et savoir réagir rapidement.

1. Protéger les postes de travail avec un EDR : Détecter les logiciels malveillants, les comportements suspects et les tentatives d'exfiltration. Veiller à couvrir également les terminaux utilisés pour accéder aux applications sensibles.

2. Renforcer la sécurité des identités : Généraliser le MFA, privilégier les méthodes résistantes au phishing comme les clés FIDO2, appliquer le moindre privilège et contrôler les conditions d'accès aux ressources.

3. Détecter les identifiants compromis : Surveiller les fuites d'identifiants et les traces de compromission associées aux domaines de l'entreprise, puis qualifier rapidement les alertes pour identifier les comptes concernés.

4. Superviser les comportements suspects avec un SOC : Corréler les alertes des postes, des identités, des applications Cloud et des équipements de sécurité afin de repérer les tentatives d'utilisation frauduleuse des accès.

5. Sensibiliser les collaborateurs et préparer la réponse : Réduire les téléchargements à risque, encadrer les usages personnels et professionnels et prévoir des procédures de révocation des sessions, de rotation des secrets et de traitement des postes compromis.

Comment Hexanet Cybersécurité accompagne les entreprises

Chez Hexanet Cybersécurité, nous savons qu’un réseau et des serveurs bien protégés ne suffisent plus. Les postes de travail, les identités et les accès aux applications sont désormais au cœur de la sécurité de l’entreprise. C’est pourquoi nous les abordons comme un ensemble, et non comme des sujets séparés.

Chez Hexanet Cybersécurité, nous combinons plusieurs niveaux de protection :

• EDR : détecter les comportements malveillants sur les postes et serveurs.
• Threat Intelligence : identifier les fuites d'identifiants et les informations compromises associées à l'entreprise.
• SIEM/XDR : corréler les événements issus des postes, des identités et des applications.
• SOC 24/7 : analyser les alertes, qualifier les incidents et accompagner les actions de remédiation.

Notre objectif : détecter une compromission le plus tôt possible et réduire le risque qu'un identifiant volé devienne une porte d'entrée dans votre système d'information.

Conclusion : la cybersécurité commence aussi par la protection des identités

Les infostealers nous rappellent qu’un attaquant n’a pas toujours besoin de forcer le pare-feu pour entrer dans l’entreprise.

Parfois, un mot de passe, un secret ou une session encore ouverte lui suffit.

Pour faire face à cette menace, il faut donc relier la protection des postes, la sécurité des identités et la surveillance des accès. Ces trois dimensions font partie d’une seule et même stratégie de défense.

Et si les prochains identifiants compromis étaient ceux de votre entreprise ?

Hexanet Cybersécurité vous accompagne dans l'évaluation de votre maturité cyber, la protection de vos utilisateurs et la surveillance de votre système d'information.  

 Échangez avec un expert Hexanet Cybersécurité pour identifier vos priorités de protection. 

https://cybersecurite.hexanet.fr/contact-rdv