Comment les voleurs d’informations dérobent vos sessions, et pourquoi un nouveau mot de passe ne suffit pas

La plupart des conseils de sécurité portent sur les mots de passe. Mais toute une catégorie de logiciels malveillants, les voleurs d’informations (infostealers), est conçue pour s’en passer complètement. Ils prennent ce qui vous garde connecté, et avec ça, un attaquant peut ouvrir vos comptes comme si c’était vous, vérification en deux étapes comprise.

Ce que vole un voleur d’informations

C’est un petit programme qui s’exécute une fois, ramasse ce qu’il peut et l’envoie à l’attaquant, souvent en quelques secondes. Microsoft, qui a mené une action en justice contre Lumma Stealer en mai 2025, le décrivait comme un outil qui vole « mots de passe, cartes de crédit, comptes bancaires et portefeuilles de cryptomonnaie ». Le butin type :

• les mots de passe enregistrés dans votre navigateur
• les témoins de session (cookies), ces petits jetons qui vous gardent connecté
• les données de remplissage automatique, comme vos adresses et cartes
• les fichiers de portefeuilles de cryptomonnaie, et parfois des jetons d’applications de messagerie

Ce paquet volé, qu’on appelle souvent un « journal » (log), est ensuite vendu ou échangé.

Pourquoi les témoins comptent plus que les mots de passe

Quand vous vous connectez à un site et réussissez la vérification en deux étapes, le site remet à votre navigateur un témoin de session. À partir de là, ce témoin est votre connexion. L’équipe de Chrome chez Google l’a dit clairement en avril 2026 : comme les témoins ont souvent une longue durée de vie, les attaquants peuvent s’en servir pour accéder sans autorisation aux comptes « sans jamais avoir besoin de leurs mots de passe ».

C’est pourquoi les victimes sont souvent perplexes : « J’avais la vérification en deux étapes, et ils sont quand même entrés. » Ils n’ont pas déjoué votre vérification. Ils en ont pris le résultat.

Comment il arrive sur les ordinateurs

Les voleurs d’informations arrivent généralement parce que quelqu’un a été amené à les lancer :

• Logiciels piratés et tricheries de jeux. Le rapport d’août 2026 d’AhnLab montre des voleurs comme Remus, Vidar et LummaC2 diffusés sous forme de « cracks » et de générateurs de clés, mis en avant dans les résultats de recherche et sur des sites d’hébergement de fichiers.
• De fausses pages « Vérifiez que vous êtes humain » qui vous demandent de coller une commande. Nous avons consacré un billet à ce piège, ClickFix.
• Des publicités malveillantes et des courriels d’hameçonnage avec pièces jointes.

Les démantèlements aident, mais ne règlent pas tout. Microsoft dit avoir repéré plus de 394 000 ordinateurs Windows infectés par Lumma entre mars et mai 2025 et, avec les forces de l’ordre, avoir neutralisé ou bloqué environ 2 300 de ses domaines. Plus d’un an plus tard, les rapports de juillet et d’août 2026 d’AhnLab placent encore LummaC2 parmi les voleurs activement diffusés.

Ce que font les navigateurs

Deux changements méritent d’être connus :

• Le chiffrement lié à l’application (App-Bound Encryption, Chrome sous Windows, depuis la mi-2024) complique la lecture des témoins de Chrome par d’autres programmes. Ça augmente le coût pour les attaquants, sans arrêter complètement les logiciels malveillants.
• Les identifiants de session liés à l’appareil (Device Bound Session Credentials, offerts au public dans Chrome 146 sous Windows, macOS ensuite) attachent une session à une clé matérielle de votre appareil. Les témoins copiés sur une autre machine expirent vite et deviennent inutiles. Les sites doivent ajouter la prise en charge, et Google dit avoir constaté une baisse importante du vol de sessions là où c’est déployé.

Ni l’un ni l’autre ne rend sûr un ordinateur infecté. Ils réduisent la valeur de ce qui est volé.

Si vous pensez être infecté

L’ordre compte : changer vos mots de passe sur un ordinateur infecté peut livrer aussi les nouveaux.

1. Nettoyez d’abord l’appareil. Lancez une analyse complète; si quelque chose est trouvé, ou en cas de doute, sauvegardez vos fichiers et réinstallez.
2. Depuis un appareil sain, changez vos mots de passe, en commençant par votre courriel, puis la banque, puis les comptes enregistrés dans ce navigateur.
3. Déconnectez toutes les sessions. C’est l’étape qu’on oublie. Utilisez l’option « se déconnecter de tous les appareils » de chaque service, ou retirez les appareils inconnus dans ses paramètres de sécurité. Ça annule les témoins volés.
4. Vérifiez les options de récupération. Assurez-vous que le courriel et le numéro de récupération de vos comptes importants sont toujours les vôtres.
5. Passez aux clés d’accès là où c’est possible. Elles ne peuvent pas être tapées dans un faux site, et elles ne sont pas stockées comme un mot de passe réutilisable qu’un voleur pourrait lire.

Sources

• Microsoft On the Issues, Disrupting Lumma Stealer: Microsoft leads global action against favored cybercrime tool (en anglais), 21 mai 2025
• Google, Protecting Cookies with Device Bound Session Credentials (en anglais), 9 avril 2026
• Google Online Security Blog, Improving the security of Chrome cookies on Windows (en anglais), juillet 2024
• AhnLab ASEC, July 2026 Infostealer Trend Report (en anglais)
• AhnLab ASEC, August 2026 Infostealer Trend Report (en anglais)