Infostealer : le malware discret qui vole vos identifiants et alimente le cybercrime

Un infostealer, c’est un logiciel malveillant qui s’installe sur votre machine pour extraire en douce des données sensibles. Pas de chiffrement spectaculaire comme un ransomware, pas d’alerte bruyante. Il opère en arrière-plan, récupère ce qu’il peut et l’envoie à son opérateur. Le truc, c’est que ces informations finissent très souvent revendues sur des marchés clandestins ou utilisées pour pirater d’autres comptes, parfois ceux de votre entreprise.

En 2025, les rapports d’IBM ont compté plus de 16 millions d’appareils infectés par des familles comme Lumma, Vidar ou Acreed. Ce volume alimente un véritable marché de credentials volés, avec des millions d’identifiants qui circulent chaque jour. Ce n’est plus une menace marginale : c’est devenu l’un des principaux carburants des attaques modernes.

Comment un infostealer s’installe-t-il vraiment ?

La plupart du temps, vous l’invitez vous-même sans le savoir. Un email de phishing avec une pièce jointe qui ressemble à une facture ou à un document RH. Un lien dans un message qui vous promet un logiciel gratuit ou une mise à jour urgente. Ou alors vous téléchargez un « crack » pour Photoshop, AutoCAD ou un jeu comme Fortnite, parce que c’est tentant et que les vidéos YouTube ou TikTok en parlent comme d’une solution miracle.

Les extensions de navigateur vérolées marchent aussi très bien. Une fois exécuté, l’infostealer scanne prioritairement le navigateur : mots de passe enregistrés, cookies de session, historique, données de formulaires. Il peut même prendre une capture d’écran au moment de l’infection ou dresser la liste des logiciels installés pour repérer si la machine appartient à un employé qui a accès à des systèmes pro. Les données partent vers un panneau de contrôle hébergé sur le cloud, souvent dans un modèle MaaS où le développeur vend l’outil à des opérateurs qui n’ont qu’à le déployer.

Ce que ces malwares volent exactement

Ce n’est pas seulement la liste de vos mots de passe. Les cookies de session permettent à l’attaquant de se connecter à votre place sans même connaître le mot de passe, tant que la session reste active. Les portefeuilles de cryptomonnaies sont une cible de choix. Les petits fichiers texte où vous avez noté des identifiants « juste au cas où ». Et parfois des informations système qui aident à qualifier la victime : langue du clavier, taille d’écran, logiciels installés.

Le tout est organisé proprement avant d’être exfiltré. Certains infostealers sont même capables de revenir plus tard récupérer les nouveaux mots de passe que vous avez changés, ou de se désinstaller tout seuls pour compliquer l’analyse.

Les familles qui dominent le paysage actuel

RedLine a longtemps été le roi du marché. LummaC2 a pris une place énorme en 2025 avant une opération de police qui l’a temporairement freiné. Vidar, StealC et de nouvelles variantes comme Acreed ou SnakeStealer ont rapidement comblé le vide. Le marché s’adapte vite : quand une famille tombe, d’autres prennent le relais en quelques semaines. Le modèle économique est simple et rentable : abonnement mensuel à bas prix pour les opérateurs, marges confortables pour les développeurs.

L’impact concret sur vous et sur les organisations

Pour un particulier, ça se traduit par des comptes bancaires vidés, des accès à des services en ligne détournés, ou des tentatives d’usurpation d’identité. Pour une entreprise, c’est souvent pire : un employé infecté sur son PC personnel ou professionnel peut fournir des identifiants valides pour accéder à la messagerie, à des outils SaaS ou à des systèmes internes. Beaucoup de breaches commencent exactement comme ça. La frontière entre vie pro et vie perso est devenue si poreuse que les attaquants n’ont même plus besoin de viser directement l’entreprise.

D’ailleurs, les données volées ne servent pas seulement à voler de l’argent tout de suite. Elles alimentent les courtiers en accès initial qui revendent ensuite l’entrée à des groupes de ransomware. C’est une chaîne bien huilée.

Comment savoir si vous êtes touché ?

C’est la partie la plus frustrante : un infostealer bien fait ne ralentit presque rien et ne s’affiche pas. Vous pouvez suspecter quelque chose si vous recevez des alertes de connexion depuis un pays où vous n’êtes jamais allé, ou si un de vos comptes se comporte bizarrement sans raison. Mais souvent, vous ne vous en rendez compte que quand il est déjà trop tard.

La méthode la plus fiable reste de lancer régulièrement des analyses complètes avec un antivirus sérieux, de vérifier les extensions installées dans vos navigateurs, et de surveiller vos adresses email sur des services comme Have I Been Pwned. Si vous pensez avoir un problème, changez vos mots de passe depuis un appareil propre, déconnectez toutes les sessions actives et activez une authentification forte avec une clé matérielle quand c’est possible.

Les protections qui tiennent vraiment la route

Éviter de télécharger des fichiers douteux reste la base. Sources officielles uniquement, même si c’est plus long ou plus cher. Un bon antivirus avec détection comportementale aide, parce que ces malwares essaient souvent d’échapper aux signatures classiques. Ajoutez un bloqueur de publicités correct et vous réduisez déjà pas mal de vecteurs.

Utilisez un gestionnaire de mots de passe dédié plutôt que celui intégré au navigateur. Déconnectez-vous des sessions quand vous avez fini, surtout sur des machines partagées. Activez la double authentification partout où c’est possible, et préférez les solutions qui ne se laissent pas voler facilement. Pour les entreprises, il faut ajouter une vraie supervision des connexions inhabituelles, une segmentation des accès et une formation continue des équipes sur les tentatives de phishing qui précèdent souvent l’installation.

Le point c’est que la protection parfaite n’existe pas. Ces outils circulent à bas prix, s’adaptent vite et profitent de notre habitude de tout synchroniser entre nos appareils. Mais en combinant des gestes simples et des outils corrects, on réduit vraiment la probabilité de se faire piéger. Et franchement, dans un paysage où un seul identifiant volé peut ouvrir la porte à une attaque bien plus lourde, ça vaut le coup de rester un peu plus vigilant.