Un seul ordinateur professionnel infecté peut exposer bien plus qu'un mot de passe. Il peut également donner aux attaquants accès à des sessions authentifiées, leur ouvrant potentiellement la porte des systèmes de l'entreprise sans nouvelle connexion à effectuer.
Le rapport 2026 d'Outpost24 sur les références en matière d'exposition des identifiants a révélé une exposition liée aux infostealers dans 72 % des 4 824 organisations examinées aux États-Unis et en Europe. Ces résultats montrent à quel point le vol d'identifiants peut toucher les entreprises, même lorsqu'un petit nombre de comptes seulement sont compromis.
Les infostealers peuvent récupérer les mots de passe enregistrés, les cookies de session et les jetons d'authentification sur les appareils infectés. Pour les équipes de sécurité, cela crée un problème que les réinitialisations de mots de passe ne suffisent pas toujours à résoudre : les attaquants peuvent conserver leur accès grâce aux sessions volées, à moins que celles-ci ne soient également révoquées.
Le bilan des infostealers sur les 12 derniers mois
Outpost24 a examiné 4 824 organisations dans les secteurs des services financiers, des biens et services de consommation, du gouvernement, des services aux entreprises et de la santé aux États-Unis et en Europe.
Selon The Next Web, le rapport a révélé d'importantes différences entre les secteurs. Dans les services financiers, les organisations étaient les plus touchées : 77 % d'entre elles comptaient au moins un identifiant lié à un infostealer.
Bien que cela ne soit pas surprenant, compte tenu de la valeur potentielle de la compromission des entreprises de ce secteur, le fait qu'il arrive en tête de ce rapport reste préoccupant, car presque tout le monde utilise des services financiers et une faille dans ce secteur peut toucher un nombre potentiellement élevé de victimes.
Les entreprises de biens et services de consommation, quant à elles, ont enregistré 498 identifiants exposés, presque tous associés à des comptes clients.
Les différences géographiques étaient également manifestes. Les entreprises européennes comptaient en moyenne 224 identifiants exposés, soit 22 % de plus que les 184 enregistrés chez leurs homologues américaines.
Ces résultats suggèrent que l'exposition des identifiants est largement répandue, même si le nombre de comptes exposés n'indique pas nécessairement si les attaquants ont réussi à accéder aux systèmes de l'entreprise.
Les infostealers ne se limitent pas aux mots de passe
On considère souvent les infostealers comme des logiciels malveillants qui dérobent les mots de passe enregistrés, mais leurs cibles ne se limitent pas aux identifiants de connexion. Les attaquants ciblent de plus en plus les cookies de session et les jetons d'authentification car, contrairement à un mot de passe volé, un cookie de session valide peut leur permettre d'usurper l'identité d'un utilisateur déjà authentifié sans saisir à nouveau ses identifiants.
Cela est particulièrement préoccupant pour les organisations qui s'appuient sur l'authentification multifacteur (MFA). Bien que la MFA ajoute un niveau de protection supplémentaire lors de la connexion, les attaquants peuvent la contourner s'ils ignorent le mot de passe et dérobent les jetons d'authentification.
La sécurité des sessions, la protection des terminaux et la capacité à révoquer les sessions compromises deviennent donc des éléments importants de la réponse d'une organisation aux infections par des infostealers.
Les identifiants volés posent un problème de chiffres préoccupant
À première vue, les chiffres du rapport d'Outpost24 pourraient laisser penser que les logiciels malveillants de type infostealer ne représentent qu'une petite partie du problème de l'exposition des identifiants — seulement 844 000 des 31,5 millions d'identifiants examinés, soit moins de 3 %.
Cependant, ce faible pourcentage dissimule un problème potentiellement bien plus important : un seul compte d'employé compromis pourrait donner aux attaquants un point d'appui au sein de l'organisation et leur permettre d'accéder à d'autres systèmes et ressources, selon les autorisations du compte.
L'incident d'octobre 2026 impliquant Meta offre un nouvel exemple. Les attaquants auraient utilisé les identifiants volés d'un employé pour accéder à certains dépôts GitHub de l'entreprise.
L'incident montre pourquoi le nombre d'identifiants compromis à lui seul constitue un mauvais indicateur de l'impact potentiel sur l'entreprise. Un compte d'employé ayant accès à des ressources de développement sensibles peut représenter un risque de sécurité interne plus grave que des centaines d'identifiants clients exposés.
Le problème ne se limite pas à Meta. Plusieurs cyberattaques ayant fait la une ont été liées à la compromission d'ordinateurs d'employés, qui a entraîné l'exposition d'informations supplémentaires. Les dirigeants d'entreprise et les développeurs comptent parmi les cibles recensées du secteur dans ce type d'attaque, en raison du niveau d'accès associé à leurs comptes.
Le problème de fond est que les appareils des employés donnent souvent accès à plusieurs services de l'entreprise, depuis la messagerie professionnelle et les plateformes cloud jusqu'aux environnements de développement et aux applications internes.
Toute infection par un infostealer doit donc être examinée comme un point de départ possible d'une compromission plus vaste, plutôt que traitée comme une simple fuite de mot de passe isolée.
Ce que ce rapport signifie pour les équipes de défense
Les conclusions d'Outpost24 rappellent pourquoi les organisations doivent aller au-delà des réinitialisations de mots de passe lorsqu'elles réagissent à des infections par des infostealers. La MFA reste une défense importante, mais elle doit être complétée par une protection des terminaux, une sécurité des sessions et des contrôles d'accès.
Les organisations devraient déployer des outils de détection et de réponse sur les terminaux (EDR), activer une protection contre les altérations pour empêcher les attaquants de désactiver les outils de sécurité et surveiller les appareils à la recherche d'activités suspectes.
Les navigateurs nécessitent également une attention particulière, car ils stockent les mots de passe, les cookies de session et d'autres données d'authentification ciblées par les infostealers. Les identifiants de session liés à l'appareil (DBSC) de Google, introduits dans Chrome 146 pour Windows et Chrome 148 pour Mac, offrent une protection supplémentaire en rendant les cookies de session volés plus difficiles à réutiliser sur d'autres appareils.
Les organisations devraient également appliquer le principe du moindre privilège, limiter les autorisations administratives superflues, surveiller les mouvements latéraux et examiner les activités de connexion inhabituelles.
Les conclusions d'Outpost24 montrent pourquoi les organisations doivent considérer les infections par des infostealers comme davantage qu'un simple vol d'identifiants isolé. Les équipes de sécurité doivent déterminer quelles informations ont été exposées, si des sessions actives ont été compromises et à quels systèmes de l'entreprise le compte concerné pouvait accéder.
Les réinitialisations de mots de passe, la remédiation des terminaux, la révocation des sessions et les contrôles d'accès fondés sur le moindre privilège peuvent contribuer à limiter les dégâts. L'objectif n'est pas simplement de réduire le nombre d'identifiants volés, mais d'empêcher qu'un seul compte compromis ne devienne un point d'entrée vers l'ensemble de l'organisation.
Autre actualité, Google a publié Chrome 157 avec des correctifs pour 213 vulnérabilités de sécurité, dont sept failles critiques, ce qui incite les utilisateurs et les administrateurs informatiques à mettre à jour leurs navigateurs afin de réduire les risques potentiels pour la sécurité.