Un infostealer est un logiciel malveillant conçu pour collecter discrètement les informations utiles à un attaquant. Il ne cherche pas forcément à bloquer l’ordinateur : son objectif est souvent de repartir avec des accès immédiatement réutilisables.
Pour une TPE ou une PME, le risque est concret. Un seul poste compromis peut exposer la messagerie, la facturation, les réseaux sociaux, les outils métiers et les comptes administrateurs. Ce guide aide à comprendre le scénario et à organiser les premières mesures de protection. Il ne remplace pas une réponse à incident menée par un spécialiste.
1. Ce qu’un infostealer recherche
Le logiciel inspecte les emplacements où un utilisateur ou une application conserve des informations pour faciliter la connexion :
- mots de passe enregistrés dans un navigateur ou une application ;
- cookies et données de session, qui peuvent représenter une connexion déjà authentifiée ;
- jetons, clés, portefeuilles et fichiers de configuration ;
- historique, formulaires, extensions et informations sur l’appareil ;
- données utiles pour identifier les services et préparer une seconde attaque.
MITRE ATT&CK documente notamment l’accès aux identifiants enregistrés dans les navigateurs. La donnée n’a pas besoin d’être affichée à l’écran pour devenir intéressante : une base locale, un profil de navigateur ou une session ouverte peuvent suffire.
2. Comment l’attaque se déroule
Le scénario suit généralement une chaîne courte :
- l’utilisateur installe un logiciel piraté, ouvre une pièce jointe piégée ou suit un faux lien ;
- le programme s’exécute sur le poste et cherche les données accessibles ;
- les informations sont regroupées puis envoyées à l’opérateur ;
- les identifiants sont testés, revendus ou utilisés pour préparer une fraude ;
- l’attaquant se déplace vers d’autres services avec les mêmes accès ou les mêmes sessions.
Un infostealer n’a pas besoin de casser le chiffrement d’un coffre distant pour être dangereux. Il peut agir au moment où un secret est déverrouillé ou lorsqu’une session est active. Le poste, l’extension et les copies locales font donc partie du périmètre à protéger.
3. Pourquoi le MFA ne suffit pas toujours
L’authentification multifacteur reste une mesure essentielle : un mot de passe volé est moins utile lorsqu’un second facteur est exigé. Mais le MFA ne corrige pas un appareil compromis. Un attaquant qui récupère un cookie de session peut parfois réutiliser une session déjà validée sans déclencher le même parcours d’authentification.
Les protections modernes cherchent à lier davantage une session à l’appareil d’origine. Cela améliore la résistance au vol de cookies, sans supprimer le besoin de protéger les postes, de limiter la durée des sessions et de savoir les révoquer.
4. Réduire l’exposition sur les postes
Commencez par les appareils utilisés pour les comptes sensibles :
- activez les mises à jour automatiques du système, du navigateur et des extensions ;
- bloquez l’installation de logiciels sans validation et supprimez les extensions inutiles ;
- utilisez un compte quotidien sans privilèges administrateur ;
- activez le verrouillage de session et le chiffrement du disque ;
- évitez d’enregistrer les identifiants critiques dans plusieurs navigateurs ou fichiers ;
- prévoyez un moyen simple d’isoler un poste et de signaler un comportement suspect.
Un coffre chiffré local peut réduire la dispersion des secrets et les copies centralisées. Il ne protège toutefois pas un secret déjà déverrouillé sur un poste infecté : la sécurité de l’appareil, du navigateur et des sessions reste indispensable.
5. Organiser les identifiants de l’entreprise
Faites l’inventaire des accès qui pourraient arrêter l’activité : messagerie, domaine, hébergement, comptabilité, sauvegardes, banque, outils clients et consoles d’administration. Pour chacun, identifiez un propriétaire, les utilisateurs autorisés, le niveau de privilège et la procédure de révocation.
Adoptez ensuite quelques règles simples :
- un secret différent pour chaque service ;
- des comptes nominatifs plutôt que des identifiants partagés ;
- le MFA lorsque le service le propose ;
- une rotation après un départ, un doute ou une exposition ;
- des sauvegardes chiffrées dont la restauration est réellement testée.
Soclyde peut aider à générer des secrets uniques, à les conserver dans un coffre chiffré sur les appareils de l’organisation et à partager seulement ce qui est nécessaire. Cette organisation limite la réutilisation après un vol, mais elle ne remplace pas les contrôles du service protégé.
6. Réagir à un poste compromis
Ne vous contentez pas de changer le mot de passe depuis le poste suspect. La nouvelle saisie pourrait être observée à son tour. Préparez une procédure avec un appareil sain ou un canal de secours :
- déconnecter ou isoler le poste sans effacer immédiatement les éléments utiles à l’analyse ;
- prévenir le responsable désigné et noter l’heure, l’utilisateur et les symptômes ;
- révoquer les sessions et appareils actifs des comptes utilisés depuis le poste ;
- remplacer les secrets prioritaires depuis un environnement sain ;
- vérifier les règles de transfert de messagerie, les nouveaux utilisateurs, les clés et les accès administrateur ;
- conserver les preuves et faire analyser le poste avant sa remise en service ;
- informer les personnes ou partenaires concernés si un accès partagé a pu être exposé.
La vitesse compte, mais une rotation désordonnée peut faire oublier un compte secondaire. Utilisez l’inventaire et traitez d’abord les identifiants qui permettent de réinitialiser ou d’administrer les autres.
7. Checklist pour une PME
| Priorité | Action | Preuve attendue |
|---|---|---|
| Aujourd’hui | Activer le MFA sur la messagerie et les comptes administrateurs | Liste des comptes couverts et méthode de récupération |
| Cette semaine | Mettre à jour les postes et supprimer les extensions inutiles | État des appareils et liste des extensions validées |
| Ce mois-ci | Remplacer les secrets réutilisés et les comptes partagés | Inventaire des accès, propriétaires et date de rotation |
| À tester | Isoler un poste, révoquer une session et restaurer une sauvegarde | Compte rendu avec délai, responsable et points à corriger |
Le bon niveau de protection est celui que l’équipe peut maintenir. Commencez par les comptes qui donnent accès aux autres, documentez les exceptions et répétez les tests après chaque changement important.
En résumé
Les infostealers exploitent la confiance placée dans les appareils et les connexions persistantes. Réduire le risque demande une combinaison : appareils à jour, comptes nominatifs, secrets uniques, MFA, coffre maîtrisé localement et procédure d’incident praticable. Aucune mesure isolée ne suffit, mais chaque copie supprimée et chaque accès révoquable raccourcit le chemin d’un attaquant.
