Pourquoi les stealers sont-ils une menace en 2026 ?
Les stealers ciblent aujourd’hui bien plus que les mots de passe. Ces logiciels malveillants cherchent à récupérer toutes les informations qui peuvent faciliter l’accès aux comptes, aux applications et aux services numériques d’une entreprise.
En 2026, la menace continue de progresser. Fortinet observe une hausse de 79% des données provenant de systèmes compromis par des infostealers. Une seule machine infectée peut ainsi exposer plusieurs accès professionnels et ouvrir la voie à d’autres étapes d’une cyberattaque.
Les stealers recherchent notamment :
- les identifiants et mots de passe
- les cookies et sessions de navigateur
- les données bancaires
- les portefeuilles de cryptomonnaies
- les fichiers professionnels
- les informations associées aux applications et services Cloud
Une partie de ces informations appartient aux données sensibles de l’entreprise. Or, ces données sont désormais réparties entre les postes de travail, les outils métiers, les services Cloud et les terminaux mobiles. Autant d’environnements qu’il faut protéger.
Les stealers appartiennent à la famille des malwares. Leur objectif est simple : récupérer rapidement des données qui pourront être utilisées ou revendues par des cybercriminels.
Comment fonctionne un stealer ?
Une fois installé sur un terminal, un stealer, aussi appelé infostealer, cherche les données auxquelles l’appareil lui donne accès.
Il peut explorer les navigateurs, les fichiers locaux ou certaines applications pour repérer des informations intéressantes pour un attaquant. Cela peut aller des identifiants enregistrés aux cookies de session, en passant par des données liées aux comptes professionnels.
Les informations collectées sont ensuite envoyées vers une infrastructure contrôlée par les cybercriminels. Elles peuvent être utilisées immédiatement ou regroupées dans des fichiers appelés stealer logs.
Ces logs donnent aux attaquants une vue assez précise de leur victime : comptes utilisés, sessions encore actives, navigateur installé ou applications accessibles. Une infection qui semble limitée à un poste de travail peut donc devenir le point d’entrée d’une compromission beaucoup plus large du système d’information.
Quels sont les stealers les plus connus ?
Plusieurs familles de stealers se sont fait connaître ces dernières années, parmi lesquelles RedLine, Lumma, Vidar ou Raccoon.
Ce paysage évolue vite. De nouvelles variantes apparaissent régulièrement, tandis que d’autres disparaissent ou changent de mode de diffusion. En 2026, Fortinet relève notamment une forte présence de RedLine, Lumma et Vidar dans sa télémétrie.
Pour une entreprise, connaître chaque nom reste secondaire. L’enjeu est surtout de comprendre le principe : un stealer transforme un terminal compromis en source d’identifiants, de sessions et de données directement exploitables.
Comment les stealers infectent-ils un ordinateur ?
Pour voler des informations, un infostealer doit d’abord réussir à s’exécuter sur le terminal de sa victime.
Le point de départ est souvent très banal : une pièce jointe ouverte trop vite, un logiciel téléchargé depuis une source douteuse ou un lien qui semble légitime.
Quels sont les principaux modes d’infection ?
Les méthodes les plus fréquentes sont :
- un email de phishing
- une pièce jointe malveillante
- un logiciel piraté ou cracké
- une fausse mise à jour
- une extension de navigateur frauduleuse
- un faux site imitant un service connu
- une application téléchargée depuis une source non vérifiée
Le phishing reste particulièrement efficace parce qu’il pousse l’utilisateur à agir lui-même : télécharger un fichier, saisir ses identifiants ou ouvrir un contenu malveillant.
Quel rôle joue le Shadow IT ?
Le risque augmente aussi lorsque des collaborateurs utilisent des outils qui échappent à la visibilité de la DSI : application gratuite, extension de navigateur, service Cloud ou logiciel installé sans validation.
Ce Shadow IT crée des angles morts pour les équipes chargées de la sécurité.
L’article Sewan Sécurité informatique en entreprise : enjeux clés revient sur ce phénomène et sur les risques liés aux outils utilisés en dehors du cadre défini par la DSI.
Prenons un exemple : un collaborateur télécharge un utilitaire non validé pour convertir des fichiers. Le programme contient un stealer. Une fois lancé, celui-ci récupère les identifiants enregistrés dans le navigateur professionnel. L’attaque n’a pas commencé par une intrusion directe dans le réseau, mais par un simple logiciel installé sur un poste utilisateur.
Pourquoi les cookies de session intéressent-ils les stealers ?
Les identifiants ne constituent qu’une partie des informations recherchées.
Lorsqu’un utilisateur se connecte à un service, son navigateur peut conserver un cookie ou un token afin de maintenir la session ouverte. Certains stealers cherchent précisément à récupérer ces éléments.
C’est un point important lors d’une compromission. Changer son mot de passe ne règle pas forcément le problème si une session déjà ouverte reste valide.
L’authentification multifacteur ou MFA reste donc essentielle, mais elle gagne à être associée à une bonne gestion des sessions, des terminaux et des droits d’accès. Le MFA ajoute une étape de vérification supplémentaire et limite ainsi les conséquences du seul vol d’un mot de passe.
Comment se protéger efficacement contre les stealers ?
Se protéger contre les stealers demande de combiner plusieurs niveaux de sécurité. La sensibilisation, la protection des comptes et la surveillance des terminaux sont complémentaires.
Sensibiliser les collaborateurs
La première étape consiste à limiter les occasions d’infection.
Quelques réflexes font déjà une vraie différence
- éviter les logiciels provenant de sources inconnues
- ne pas installer d’extensions non validées
- se méfier des pièces jointes inattendues
- vérifier toute demande inhabituelle d’exécution d’un programme
- utiliser un mot de passe différent pour chaque service
Cette vigilance concerne également les nouveaux outils SaaS et les applications adoptées directement par les équipes.
Sécuriser les comptes et les droits
Une politique d’accès claire permet ensuite de limiter les conséquences d’un vol d’identifiants. Elle peut notamment s’appuyer sur :
- le MFA pour les comptes sensibles
- des mots de passe uniques
- des droits d’administration limités
- la suppression des comptes devenus inutiles
- des accès accordés selon le principe du moindre privilège
Une démarche d’IAM aide justement à mieux gérer les identités, les accès et les autorisations au sein du système d’information.
Protéger et surveiller les terminaux
L’antivirus reste un premier niveau de protection. Pour aller plus loin, les entreprises peuvent également s’appuyer sur un EDR.
L’EDR surveille le comportement des postes et des serveurs afin de repérer des activités suspectes. En cas d’incident, il peut aider à détecter la compromission, isoler le terminal concerné et fournir aux équipes de sécurité les informations nécessaires à l’investigation.
Sécuriser aussi les appareils mobiles et personnels
Les données professionnelles ne restent plus uniquement sur les ordinateurs de l’entreprise. Elles circulent entre smartphones, postes de travail et services Cloud.
Lorsque ces terminaux sont mal maîtrisés, les équipes IT disposent de moins de visibilité sur les applications utilisées et les données qui y sont stockées. L’article Sewan consacré au MDM et à la sécurisation des appareils mobiles explique comment mieux encadrer les appareils professionnels, le BYOD et le Shadow IT.
Comment détecter un stealer ?
La discrétion fait partie du mode opératoire des stealers. Une infection ne provoque donc pas forcément de ralentissement visible ou de message d’alerte évident.
Certains signaux doivent toutefois éveiller l’attention :
- des connexions inhabituelles sur certains comptes
- des alertes de sécurité répétées
- des sessions ouvertes depuis des appareils inconnus
- un comportement inhabituel d’un poste
- des mots de passe ou informations retrouvés dans une fuite de données ;
- une alerte remontée par un antivirus, un EDR ou un SOC.
La surveillance des identités complète cette approche. Dans sa gamme de solutions de cybersécurité, Sewan propose notamment Scan ID, un service conçu pour détecter des identifiants exposés sur le Web et le Dark Web.
Que faire en cas d’infection par un stealer ?
Lorsqu’un stealer est suspecté, la priorité est de limiter rapidement son impact. Supprimer le fichier malveillant ne suffit pas toujours : une partie des informations peut déjà avoir été exfiltrée.
Quelles actions effectuer immédiatement ?
Les premiers réflexes sont les suivants :
- Isoler le terminal du réseau
- Prévenir l’équipe informatique ou le responsable sécurité
- Identifier les comptes utilisés sur le poste compromis
- Modifier les mots de passe depuis un appareil sain
- Révoquer les sessions actives
- Renouveler les secrets ou clés potentiellement exposés
- Lancer une analyse de sécurité du terminal
- Vérifier si d’autres postes présentent des signes de compromission
L’étape suivante consiste à identifier précisément les données auxquelles le stealer a pu accéder.
Si des informations confidentielles ont été exfiltrées, l’incident peut constituer une fuite de données. Lorsque des données personnelles sont concernées, les obligations applicables doivent également être évaluées en fonction de la situation.
Pourquoi analyser l’origine de l’infection ?
Nettoyer le poste est indispensable, mais comprendre comment l’infection a eu lieu l’est tout autant.
L’analyse doit permettre de répondre à plusieurs questions :
- comment le stealer est-il arrivé sur le terminal ?
- quel utilisateur a été compromis ?
- quels comptes étaient accessibles ?
- quelles données ont pu être exfiltrées ?
- les identifiants volés ont-ils déjà été utilisés ?
- d’autres équipements sont-ils concernés ?
Cette investigation aide à corriger le point d’entrée et à éviter que le même scénario se reproduise ailleurs dans l’entreprise.
Pourquoi les stealers représentent-ils un risque pour toute l’entreprise ?
L’infection commence souvent sur un seul terminal, mais elle peut rapidement avoir des conséquences beaucoup plus larges.
Un identifiant professionnel compromis peut par exemple donner accès à une messagerie, un CRM, une application Cloud ou un espace contenant des informations clients. À partir de là, les attaquants peuvent tenter de récupérer d’autres données, envoyer des messages de phishing interne ou préparer une nouvelle étape de leur attaque.
Les stealers sont donc autant une menace pour les identités que pour les postes de travail.
C’est tout l’enjeu d’une stratégie de sécurité informatique en entreprise : protéger les utilisateurs, les accès, les données, les réseaux et les terminaux comme un ensemble.
Stealers : protéger les terminaux, mais surtout les accès
Les stealers illustrent bien la place centrale prise par l’identité numérique dans les cyberattaques.
Pour limiter leur impact, les entreprises ont intérêt à associer sensibilisation, MFA, gestion rigoureuse des droits, protection des endpoints et surveillance des identifiants exposés.
La prévention reste indispensable. Mais lorsqu’une compromission survient, la rapidité de détection et la capacité à révoquer immédiatement les accès concernés font également toute la différence.
