Infostealers 2026 : ces malwares silencieux qui volent les mots de passe et les sessions de votre PME

Un de vos salariés télécharge un « crack » de logiciel, ouvre une pièce jointe déguisée en facture, ou installe une fausse mise à jour de navigateur. En moins de dix secondes, sans écran bleu ni ralentissement, un programme aspire tous les mots de passe enregistrés dans son navigateur, ses cookies de session et ses coordonnées bancaires, puis disparaît. C'est le mode opératoire des **infostealers**, aujourd'hui l'une des premières causes de compromission des PME françaises. Voici ce qu'il faut vraiment savoir pour ne pas en être victime.

Qu'est-ce qu'un infostealer, concrètement ?

Un infostealer (ou « voleur d'informations ») est un logiciel malveillant dont le seul but est de collecter et exfiltrer des données sensibles en une seule exécution. Contrairement à un ransomware bruyant qui chiffre vos fichiers, l'infostealer est discret : il vole, envoie les données à un serveur pirate, puis se supprime souvent lui-même. La victime ne se rend compte de rien.

En pratique, il siphonne en quelques secondes : les mots de passe enregistrés dans Chrome, Edge ou Firefox, les cookies de session, les données de remplissage automatique (adresses, numéros de carte), les portefeuilles de cryptomonnaie, et parfois des captures d'écran ou la liste des logiciels installés. Les familles les plus répandues (Lumma, RedLine, Vidar, StealC et leurs successeurs) se louent quelques dizaines d'euros par mois sur des forums : n'importe quel amateur peut en lancer une campagne.

Pourquoi c'est une menace majeure pour les PME en 2026

Le vol de cookies contourne votre double authentification

C'est le point que la plupart des dirigeants ignorent. Vous avez activé le MFA sur Microsoft 365 ? Très bien, c'est indispensable. Mais une fois connecté, votre navigateur conserve un cookie de session qui prouve que vous êtes déjà authentifié. Si un infostealer vole ce cookie, l'attaquant l'injecte dans son propre navigateur et se retrouve connecté à votre compte sans mot de passe ni code MFA. La double authentification est purement et simplement court-circuitée.

Les identifiants volés alimentent les attaques suivantes

Un infostealer est rarement une fin en soi : c'est une porte d'entrée. Les identifiants récoltés sont revendus sur des marketplaces criminelles, souvent pour quelques dollars. Un autre groupe les rachète pour lancer une fraude au virement, déployer un ransomware, ou usurper votre messagerie pour piéger vos clients. Beaucoup de compromissions massives de 2024-2025 ont démarré par un simple mot de passe volé sur le poste d'un salarié ou d'un prestataire.

Le poste personnel, angle mort des TPE/PME

Le télétravail et le « BYOD » (matériel personnel) ont brouillé les frontières. Un salarié qui consulte ses mails professionnels depuis son PC familial infecté expose toute l'entreprise. Ce poste-là échappe à vos règles de sécurité, et c'est souvent par là que la fuite arrive.

Comment se protéger : les mesures qui marchent vraiment

1. Cessez de stocker les mots de passe dans le navigateur

Le stockage de mots de passe intégré à Chrome ou Edge est la cible numéro un des infostealers. Déployez un gestionnaire de mots de passe dédié (Bitwarden, 1Password, Keeper…) avec un chiffrement fort, et videz les mots de passe enregistrés dans les navigateurs. C'est la mesure la plus rentable, et elle coûte quelques euros par mois et par utilisateur.

2. Généralisez le MFA, mais visez les passkeys

Le MFA reste indispensable, mais sachez qu'il ne bloque pas le vol de cookie. Privilégiez les méthodes résistantes au phishing : les passkeys et les clés de sécurité physiques (FIDO2) sont bien plus difficiles à contourner. Configurez aussi des durées de session plus courtes et l'expiration automatique des connexions inactives.

3. Déployez un EDR, pas un simple antivirus

Un antivirus classique laisse souvent passer les infostealers récents. Un EDR (Endpoint Detection and Response) détecte les comportements suspects — un processus qui lit la base de mots de passe du navigateur, une exfiltration réseau anormale — et peut isoler le poste en temps réel. C'est aujourd'hui le minimum pour un parc professionnel.

4. Verrouillez ce que vos utilisateurs peuvent installer

La majorité des infections vient de logiciels téléchargés hors circuit officiel : faux installeurs, cracks, extensions de navigateur douteuses, publicités piégées (« malvertising »). Retirez les droits administrateur aux comptes du quotidien, contrôlez les logiciels autorisés et bloquez les extensions non validées.

5. Surveillez le Dark Web et réagissez vite

Même bien protégé, vous ne maîtrisez pas les fuites chez vos prestataires. Une surveillance Dark Web vous alerte quand des identifiants de votre domaine apparaissent en vente. En cas d'alerte, la règle est simple : réinitialisez les mots de passe concernés, révoquez toutes les sessions actives (et pas seulement le mot de passe), et vérifiez les connexions récentes.

Que faire si vous soupçonnez une infection ?

Agissez comme si les identifiants étaient déjà dans la nature. Isolez le poste du réseau, révoquez les sessions actives sur Microsoft 365, Google Workspace et vos outils critiques, puis changez les mots de passe depuis un appareil sain — jamais depuis la machine suspecte. Réinstallez le poste proprement plutôt que de « nettoyer », et vérifiez qu'aucune règle de transfert d'e-mails frauduleuse n'a été créée sur la messagerie. En cas de doute sur l'ampleur, faites intervenir un professionnel : le vol a pu servir de tremplin à une intrusion plus large.