Infostealers et cookies de session volés : pourquoi la double authentification ne suffit plus

Hamza est étudiant et adore les jeux vidéo. Sur YouTube, il trouve une vidéo qui explique comment obtenir la « version complète gratuite » d’un jeu célèbre, avec un lien de téléchargement. Le programme lui demande de désactiver son antivirus « parce qu’il bloque l’installation ». Il l’installe, le jeu ne se lance même pas, et il oublie l’affaire.

Deux semaines plus tard, il découvre que son compte Instagram publie des publicités pour des cryptomonnaies, et que des messages étranges sont partis de sa boîte mail. Le plus surprenant : la double authentification était activée sur les deux comptes, et il n’a reçu aucun code.

Ce qui est arrivé à Hamza porte un nom : un infostealer, ou logiciel voleur d’informations. C’est aujourd’hui l’une des premières causes de vol de comptes.

Qu’est-ce qu’un infostealer ?

C’est un petit logiciel malveillant dont le seul but est de rassembler très vite tout ce qui a de la valeur sur votre appareil, puis de l’envoyer aux escrocs. Selon Kaspersky, il vole généralement :

• Les identifiants et mots de passe enregistrés dans le navigateur.
• Les cookies du navigateur : c’est le plus dangereux, comme nous allons le voir.
• Des informations sur l’appareil lui-même.

Ces données sont regroupées dans des fichiers appelés « logs », puis revendues ou publiées sur des forums criminels. Kaspersky a analysé cinq millions de ces fichiers retrouvés sur le dark web en 2025.

Quel rapport entre les « cookies » et votre compte ?

Quand vous vous connectez à un compte dans le navigateur, avec mot de passe puis code, le site vous remet un petit « ticket » enregistré dans votre navigateur : le cookie de session. C’est grâce à lui que vous n’avez pas à retaper votre mot de passe à chaque visite.

Le problème : ce ticket représente une connexion déjà vérifiée. Si l’escroc le vole et l’installe dans son propre navigateur, le site croit que c’est vous, puisque vous avez déjà prouvé votre identité avec le mot de passe et le code. Pas besoin de nouveau mot de passe ni de nouveau code.

C’est pourquoi la société Recorded Future écrit sans détour dans son rapport sur 2025 : « l’authentification multifacteur seule ne suffit plus ». Elle a recensé en 2025 276 millions d’identifiants volés contenant des cookies de session actifs, soit 31 % de tous les identifiants dérobés par des logiciels malveillants.

Comment ces logiciels arrivent-ils sur votre appareil ?

Le logiciel malveillant a besoin que vous le lanciez vous-même. Il se déguise donc en quelque chose que vous voulez :

• Des jeux, mods et triches « crackés » ou gratuits : en décembre 2025, Kaspersky a décrit un voleur baptisé Stealka, déguisé en mods de jeux (par exemple pour Roblox ou GTA V) et en logiciels piratés, diffusé via des plateformes d’hébergement de fichiers connues.
• Des « activateurs » Windows ou Office et des logiciels piratés.
• De faux installateurs de logiciels célèbres, trouvés via des publicités ou des résultats de recherche.
• Des pièces jointes et des liens dans des e-mails ou des conversations.

Selon Kaspersky, plus d’un tiers des infections commencent quand l’utilisateur lance un fichier juste après l’avoir téléchargé, depuis le dossier des fichiers temporaires. Et dans de nombreux cas, les victimes suivent les instructions des escrocs en désactivant leur protection avant de lancer le fichier.

L’ampleur du problème est considérable : en mai 2025, Microsoft a mené une opération internationale contre un voleur très répandu, Lumma, avec Europol et d’autres partenaires. L’entreprise a indiqué avoir repéré plus de 394 000 ordinateurs Windows infectés en seulement deux mois (du 16 mars au 16 mai 2025).

Les signes qui peuvent indiquer une infection

• Vos comptes sont piratés malgré la double authentification, sans qu’aucun code ne vous parvienne.
• Des alertes de connexion depuis des lieux ou appareils inconnus.
• Des messages ou publications en votre nom que vous n’avez pas écrits.
• Vous avez récemment installé un jeu ou un logiciel d’une source non officielle, ou désactivé votre antivirus.
• Des opérations bizarres dans un portefeuille de cryptomonnaies ou un compte de paiement lié au navigateur.

Certains de ces logiciels ne laissent aucune trace visible : ils volent ce qu’ils veulent en quelques secondes, puis s’effacent.

Comment vous protéger

1. Téléchargez uniquement depuis les sources officielles : le site de l’éditeur ou la boutique d’applications officielle. Évitez les versions « crackées » et les activateurs, comme le recommande Kaspersky.
2. Ne désactivez jamais votre antivirus pour installer quoi que ce soit. Windows inclut gratuitement Microsoft Defender : laissez-le activé.
3. Analysez les fichiers suspects avant de les ouvrir avec un outil comme VirusTotal, via l’empreinte (hash) si le fichier est privé.
4. Mettez à jour votre système et votre navigateur régulièrement.
5. Utilisez un gestionnaire de mots de passe plutôt que d’enregistrer vos mots de passe dans des photos ou des notes, autre conseil de Kaspersky.
6. Déconnectez-vous de vos comptes sur les appareils partagés ou peu utilisés, pour ne pas laisser de sessions ouvertes inutilement.
7. Suivez les nouvelles protections des navigateurs : Google a développé dans Chrome une technologie qui lie la session à votre appareil (Device Bound Session Credentials), ce qui rend les cookies volés beaucoup plus difficiles à utiliser sur un autre appareil. Elle a démarré sur Windows et dépend aussi de la prise en charge par les sites : ne comptez pas uniquement sur elle.

Que faire si vous pensez que votre appareil est infecté ?

L’ordre des étapes compte :

1. Nettoyez d’abord l’appareil : analysez-le avec un antivirus fiable et à jour. Si le doute persiste, sauvegardez vos fichiers importants et réinstallez le système. Changer vos mots de passe depuis un appareil encore infecté pourrait livrer les nouveaux à l’escroc.
2. Depuis un appareil sain (un autre téléphone ou un ordinateur de confiance), déconnectez toutes les sessions de vos comptes importants. La plupart des grands services proposent l’option « Se déconnecter de tous les appareils » dans les paramètres de sécurité. C’est ce qui rend les cookies volés inutilisables.
3. Changez vos mots de passe, en commençant par votre e-mail, puis vos comptes bancaires et vos réseaux sociaux.
4. Vérifiez les appareils connectés et les applications liées à chaque compte, et supprimez ce que vous ne reconnaissez pas.
5. Si vous aviez un portefeuille de cryptomonnaies sur l’appareil infecté, considérez-le comme compromis et transférez vos fonds vers un nouveau portefeuille créé sur un appareil sain.
6. Vérifiez si votre adresse apparaît dans des logs de voleurs : Have I Been Pwned permet aux utilisateurs qui confirment être propriétaires de leur adresse de voir les sites associés à celle-ci dans ces logs. Nous l’expliquons dans l’article vos données ont-elles fuité ?.
7. Si de l’argent a été volé, appelez immédiatement votre banque et portez plainte auprès de la police ou via la plateforme « E-Blagh » (dgsn.gov.ma).

L’essentiel à retenir

• Les infostealers volent mots de passe et cookies du navigateur en quelques secondes.
• Un cookie volé permet d’entrer sans mot de passe ni code.
• Source principale : jeux, activateurs et logiciels « crackés ».
• Ne désactivez jamais votre antivirus.
• En cas d’infection : nettoyez l’appareil, déconnectez toutes les sessions depuis un appareil sain, puis changez vos mots de passe.

Sources

• Kaspersky : 35% of infostealer infections begin with users running files directly from temporary folders (15 juin 2026)
• Kaspersky Blog : Stealka stealer, the new face of game cheats, mods, and cracks (18 décembre 2025)
• Recorded Future : 2025 Identity Threat Landscape Report
• Microsoft : Disrupting Lumma Stealer (21 mai 2025)
• Chrome for Developers : Device Bound Session Credentials now available on Windows
• Troy Hunt : Experimenting with Stealer Logs in Have I Been Pwned