Qu'est-ce qu'un infostealer et pourquoi est-ce le maillon clé ?
Réponse courte : un infostealer est un logiciel malveillant léger dont l'unique but est de siphonner des identifiants (mots de passe enregistrés dans le navigateur, cookies de session, jetons d'authentification, portefeuilles crypto) puis de disparaître. Les données volées sont revendues à des courtiers d'accès initial, qui les revendent à des groupes de rançongiciel. Le déploiement du rançongiciel suit souvent dans les 48 heures.
L'infostealer n'est pas spectaculaire. Il ne chiffre rien, n'affiche aucune rançon, ne perturbe pas l'utilisateur. Une infection dure typiquement quelques minutes, le temps d'exfiltrer un paquet de données, puis le processus se termine. C'est précisément ce qui le rend redoutable : rien n'alerte la victime.
Le volume est industriel. Les analyses de 2026 recensent plusieurs centaines de millions d'identifiants et des milliards de cookies de session récupérés dans les circuits clandestins sur la seule année précédente, issus de millions d'infections distinctes. Une infection expose en moyenne une cinquantaine d'identifiants : soit, pour un poste professionnel, l'accès au VPN, à la messagerie, au CRM et aux consoles infonuagiques.
Le point le plus dérangeant : 40 % des infections sur des postes protégés
Environ 40 % des infections par infostealer sont observées sur des postes disposant pourtant d'un EDR ou d'un antivirus actif. Ce chiffre mérite d'être lu correctement : il ne signifie pas que l'EDR est inutile, mais que la protection du poste ne suffit pas à protéger l'identité.
Trois raisons expliquent ces contournements :
La rapidité : l'exfiltration se fait en quelques minutes, souvent avant qu'une détection comportementale n'ait accumulé assez de signal
Les canaux non gérés : l'infection survient fréquemment sur un appareil personnel utilisé pour un accès professionnel, hors périmètre EDR
L'abus d'outils légitimes : les souches modernes s'appuient sur des binaires signés et des processus normaux du système d'exploitation
Le vrai problème : le cookie de session contourne le MFA
Beaucoup d'organisations pensent que l'authentification multifacteur annule la valeur d'un mot de passe volé. C'est vrai pour le mot de passe seul. Ce n'est pas vrai pour le cookie de session.
Un cookie de session est la preuve, déjà validée, que l'authentification a réussi. Un attaquant qui l'importe dans son propre navigateur arrive dans la session, sans mot de passe et sans second facteur. Aucune alerte de connexion, aucun défi MFA : du point de vue du système, c'est vous qui continuez à naviguer.
C'est pourquoi la réponse à une infection par infostealer ne peut pas se limiter à une réinitialisation de mot de passe. Il faut invalider les sessions.
La chaîne complète, du poste au rançongiciel
Infection : via une publicité malveillante, un faux installeur, un crack logiciel, une pièce jointe ou une extension de navigateur piégée
Exfiltration : mots de passe, cookies, jetons, historique et empreinte machine partent vers un serveur de commande
Revente : les lots sont proposés sur des places de marché clandestines, avec des prix moyens de quelques centaines à quelques milliers de dollars américains selon la qualité de l'accès
Validation : un courtier d'accès initial vérifie que l'accès fonctionne et le documente : VPN, taille de l'entreprise, secteur, revenus estimés
Déploiement : un affilié de rançongiciel achète l'accès, escalade ses privilèges, exfiltre puis chiffre
Cette chaîne explique une chose importante pour la réponse à incident : quand un rançongiciel se déclenche, la compromission initiale peut dater de plusieurs mois et provenir d'un poste qui n'appartient même pas à l'organisation.
Sept contrôles qui coupent réellement la chaîne
Révoquer les sessions, pas seulement les mots de passe : intégrer l'invalidation globale des jetons dans votre procédure de réponse standard
Réduire la durée de vie des sessions sur les applications sensibles et exiger une réauthentification pour les actions critiques
Lier la session à l'appareil : conditionner l'accès à un appareil géré et conforme, ce qui rend un cookie volé inutilisable ailleurs
Interdire l'enregistrement des mots de passe dans le navigateur au profit d'un gestionnaire d'entreprise, et gouverner les extensions installables
Surveiller les fuites d'identifiants de votre domaine dans les sources clandestines, avec une procédure de réaction documentée
Passer au MFA résistant au hameçonnage (FIDO2, clés matérielles, passkeys) pour les comptes à privilèges
Traiter l'appareil personnel comme hostile : accès sans agent, cloisonné, jamais de session persistante longue durée
Ce que nous voyons en forensique
Dans nos dossiers de réponse aux incidents, le scénario se répète : l'organisation a un EDR correct, un MFA généralisé, des sauvegardes. L'attaquant est entré par un poste hors périmètre (le portable personnel d'un sous-traitant, la machine familiale d'un employé en télétravail) avec un cookie de session valide et une session VPN héritée. Aucune de ces étapes n'a déclenché d'alerte, parce qu'aucune n'était techniquement anormale.
La leçon opérationnelle est simple : le périmètre à défendre n'est plus le poste, c'est l'identité et la session.
Conclusion
Les infostealers sont devenus le carburant du marché de l'accès initial, et donc la première étape de la majorité des incidents de rançongiciel que nous traitons au Canada. Se défendre exige de déplacer les contrôles vers l'identité : durée de vie des sessions, liaison à l'appareil, révocation rapide, MFA résistant au hameçonnage et surveillance des fuites. ITCS Group réalise des évaluations d'exposition identitaire, des tests d'intrusion axés sur le vol de session et la réponse aux incidents 24/7. Contactez-nous pour savoir ce qui circule déjà sur vos identifiants.
Sources
SpyCloud : 2026 Identity Exposure Report
Flare : 2026 State of Enterprise Infostealer Identity Exposure
Rapport de recherche CYFIRMA : convergence infostealers et rançongiciels
Dossiers de réponse aux incidents ITCS Group : 2025-2026