Identifiants sur le dark web: comment repérer le vol

Le point aveugle: quand l'attaque ne vient pas du réseau

De nombreux dirigeants et responsables informatiques de petites et moyennes entreprises s'imaginent encore une cyberattaque sous les traits d'une intrusion spectaculaire. Ils s'attendent à ce que des pare-feu déclenchent des alarmes ou que des logiciels malveillants s'infiltrent bruyamment dans leur infrastructure réseau. La réalité de la cybercriminalité moderne est pourtant tout autre. Les attaquants s'introduisent de moins en moins en exploitant des vulnérabilités techniques complexes. Au contraire, ils se connectent tout simplement à l'aide d'identifiants valides préalablement dérobés. Pour les outils de sécurité traditionnels, cette connexion initiale reste parfaitement invisible, car elle ressemble en tout point à l'accès légitime d'un collaborateur effectuant du télétravail.

Ce mode opératoire fait des identifiants compromis l'une des menaces les plus pernicieuses pour le tissu économique. Selon le rapport Cost of a Data Breach Report publié par IBM, le vol ou la compromission de mots de passe est à l'origine de 16 % de l'ensemble des violations de données analysées, constituant ainsi le vecteur d'attaque le plus fréquent^[1]. Le danger majeur ne réside pas seulement dans l'intrusion elle-même, mais dans la durée pendant laquelle les criminels restent indétectés au sein du réseau d'entreprise.

Les connexions réalisées avec des identifiants corrects ne générant pas d'alertes automatisées dans les journaux d'événements standards, il faut en moyenne 292 jours aux équipes pour identifier et contenir une telle intrusion^[2]. Durant près de dix mois, les cybercriminels disposent de tout le temps nécessaire pour élever leurs privilèges, consulter des documents confidentiels, manipuler les sauvegardes et préparer minutieusement des attaques d'ampleur telles que le chiffrement par ransomware. Dans ce contexte, un antivirus classique montre rapidement ses limites, car il considère ces sessions comme légitimes.

• Connexion indétectable: l'utilisation de mots de passe valides ne déclenche aucune alarme automatique dans les journaux de connexion habituels.
• Présence prolongée: les attaquants restent souvent tapis dans le système pendant plusieurs mois pour cartographier les données stratégiques.
• Contournement du périmètre: l'accès s'effectue directement via les points d'entrée officiels comme le VPN, Microsoft 365 ou les portails cloud.

Malware infostealer: le voleur de données silencieux

Pour comprendre comment les identifiants d'une entreprise se retrouvent en vente sur le dark web, il convient d'analyser la source de cette fuite. L'un des principaux vecteurs est le malware de type infostealer. Il s'agit de logiciels malveillants hautement spécialisés, diffusés sous forme de kits "as-a-service" tels que RedLine ou Lumma Stealer, conçus pour collecter en arrière-plan des informations sensibles stockées sur les postes de travail: MITRE ATT&CK décrit Lumma Stealer comme une offre Malware-as-a-Service dont les données collectées sont revendues sur les marchés criminels à des courtiers d'accès initial^[3]. Une famille comme Raccoon Stealer collecte ainsi les mots de passe, les cookies de navigateur, les données de saisie automatique et les portefeuilles de cryptomonnaies^[4]. Ces malwares s'infiltrent généralement par le biais de publicités trompeuses sur les moteurs de recherche (malvertising), de pièces jointes malveillantes ou de téléchargements de logiciels piratés.

Une fois exécuté sur la machine, l'infostealer ne met que quelques secondes à fouiller le stockage local du navigateur web, les gestionnaires de mots de passe et les fichiers système. Le programme extrait méthodiquement les noms d'utilisateur, les mots de passe, les coordonnées bancaires, les clés de portefeuilles de cryptomonnaies et les données de saisie automatique.

Le risque est particulièrement élevé au sein des PME pratiquant le travail à distance ou autorisant l'utilisation d'équipements personnels. Lorsqu'un employé se connecte depuis son ordinateur personnel à des ressources professionnelles comme Microsoft 365, des serveurs de messagerie ou des espaces de stockage cloud, un infostealer présent sur sa machine privée transmet directement ses identifiants d'entreprise aux pirates. L'agence australienne de cybersécurité (ASD's ACSC) explique dans son avis sur les infostealers que les identifiants dérobés permettent aux cybercriminels d'accéder aux réseaux et systèmes d'entreprise avec des comptes utilisateurs valides, ce qui retarde souvent la détection par les responsables des systèmes, et souligne que les organisations ne peuvent généralement pas imposer de contrôles sur les appareils personnels utilisés par les collaborateurs en télétravail^[5]. Les secrets industriels sont ainsi compromis sans qu'aucun équipement du réseau de l'entreprise n'ait été directement infecté.

Jetons de session: le danger malgré l'authentification multifacteur

De nombreux dirigeants pensent être parfaitement protégés parce que leur entreprise exige une authentification multifacteur (MFA) lors de la connexion. Bien que la MFA constitue un socle de sécurité indispensable, elle ne garantit plus une protection absolue contre les infostealers modernes. Les cybercriminels ont adapté leurs outils et se concentrent désormais sur le vol des jetons de session (session tokens) et des cookies d'authentification enregistrés par les navigateurs.

Lorsqu'un collaborateur s'authentifie avec succès au moyen de son identifiant, de son mot de passe et de son second facteur sur un service cloud tel que Microsoft 365, le fournisseur d'identité émet un jeton de session. Ce jeton est conservé sous forme de cookie dans le navigateur afin d'éviter que l'utilisateur n'ait à ressaisir ses codes à chaque changement de page. Un infostealer intercepte précisément ce cookie de session déjà authentifié et l'envoie au serveur de l'attaquant: le FBI alerte sur le fait qu'un cybercriminel disposant de ce cookie de connexion peut se connecter à la place de la victime sans avoir besoin de son identifiant, de son mot de passe ni de son authentification multifacteur^[6].

1. Le collaborateur s'authentifie normalement avec son mot de passe et son code MFA sur une application cloud.
2. Le fournisseur d'identité génère un jeton de session valide et le stocke dans le navigateur local sous forme de cookie.
3. Le malware infostealer dérobe ce cookie de session actif en arrière-plan à l'insu de l'utilisateur.
4. L'attaquant importe le cookie volé directement dans son propre navigateur web.
5. L'attaquant accède immédiatement à l'environnement cloud sans devoir saisir de mot de passe ni de code MFA.

Comme le jeton prouve au serveur que l'étape de validation MFA a déjà été franchie avec succès, le système n'exige aucun second contrôle supplémentaire de la part de l'attaquant. Cette technique, appelée usurpation de session (session hijacking), permet aux criminels de parcourir librement la boîte de réception, les documents stockés sur SharePoint et les bases de données clients.

Fuites chez les tiers et risque de recyclage des mots de passe

Les malwares installés sur les postes de travail ne constituent pas la seule source d'exposition des identifiants d'entreprise. Une autre cause très répandue réside dans les failles de sécurité touchant des services web tiers ou des plateformes externes utilisés par les collaborateurs à titre personnel ou professionnel. Lorsqu'un prestataire externe subit une fuite de données, des millions de combinaisons d'adresses e-mail et de mots de passe sont divulguées publiquement ou revendues sur des forums criminels.

Le risque réel pour l'entreprise découle du comportement de réutilisation des mots de passe. Si un employé emploie son mot de passe professionnel pour créer un compte sur une boutique en ligne, un forum spécialisé ou un outil tiers, la violation subie par ce prestataire externe transforme immédiatement son compte d'entreprise en une cible vulnérable. La CNIL rappelle d'ailleurs qu'avec l'existence de bases regroupant des milliards d'identifiants issus de fuites successives, la réutilisation d'un même mot de passe expose fortement les comptes essentiels aux piratages^[7].

• Fuite de données chez le prestataire tiers: les attaquants s'emparent de bases de données externes contenant des identifiants.
• Diffusion des données: les listes de mots de passe sont partagées sur le dark web ou des canaux de messagerie.
• Attaques automatisées (credential stuffing): des réseaux de bots testent automatiquement ces paires d'identifiants sur les portails d'entreprise.
• Usurpation du compte professionnel: en cas de mot de passe identique, l'accès au réseau d'entreprise est accordé.

Dans le cadre d'une attaque de type credential stuffing, les cybercriminels utilisent des scripts automatisés pour tester des milliers d'identifiants volés à la minute sur les pages de connexion de Microsoft 365, des VPN ou des outils cloud. L'organisation OWASP définit le credential stuffing (OAT-008) comme le test automatisé à grande échelle d'identifiants dérobés ailleurs afin de vérifier leur validité sur une nouvelle application^[8]. Même un mot de passe très complexe ne protège pas l'entreprise s'il a été compromis sur un site externe.

Telegram et le dark web: le commerce industriel des identités

La revente d'identifiants volés s'est considérablement structurée ces dernières années. Alors que les échanges nécessitaient autrefois de naviguer sur des forums cachés du dark web, les cybercriminels utilisent désormais massivement des canaux automatisés sur Telegram et des plateformes de messagerie instantanée. Cet écosystème commercial fonctionne comme un marché boursier automatisé de la donnée volée.

Les logs d'infostealers y sont vendus sous forme de lots classés par pays, par domaine d'entreprise ou par type de compte. Les acheteurs peuvent filtrer les données pour cibler précisément des PME d'un secteur d'activité particulier. L'ampleur de ces lots est considérable: un seul ensemble de logs compilé depuis des canaux Telegram malveillants en juillet 2024 contenait 26,1 millions d'adresses e-mail uniques, accompagnées des mots de passe et des sites sur lesquels ils étaient utilisés^[9].

Cette industrialisation réduit drastiquement le coût d'entrée pour les attaquants. Les infostealers eux-mêmes se louent pour des sommes modestes: RedLine Stealer a été proposé sur des forums clandestins pour 100 à 150 dollars par licence ou 100 dollars par mois^[10]. Un attaquant peu expérimenté peut ainsi acquérir des lots d'accès prêts à l'emploi contenant cookies de session et mots de passe, sans maîtriser la moindre technique d'exploitation de vulnérabilités. Les logs sont revendus sur des forums et boutiques du dark web par des courtiers d'accès initial, une véritable industrie spécialisée qui récolte identifiants valides et cookies de session via les infostealers puis revend ces accès aux affiliés de ransomware^[11].

Les conséquences financières pour les PME

Lorsqu'un accès d'entreprise est vendu sur le dark web, le préjudice financier ne se limite pas aux frais de remise en état du système d'information. Les conséquences d'une intrusion basée sur des identifiants compromis se répercutent sur l'ensemble de l'activité économique de la PME. Le coût moyen mondial d'une violation de données a atteint 4,88 millions de dollars, la compromission d'identifiants figurant parmi les causes les plus coûteuses et les plus longues à résoudre^[1][2].

La présence prolongée de l'attaquant dans le réseau d'entreprise démultiplie l'impact financier: les violations impliquant des identifiants volés ont demandé en moyenne 292 jours pour être identifiées et contenues, le délai le plus long de tous les vecteurs d'attaque étudiés^[12]. Les criminels profitent de ce délai pour explorer le réseau et exfiltrer des données sensibles, les identifiants valides ainsi obtenus étant ensuite revendus par des courtiers d'accès initial à des affiliés de ransomware qui s'en servent pour se déplacer latéralement et déployer leur charge de chiffrement.

• Interruption d'activité prolongée: la paralysie des serveurs entraîne l'arrêt de la production et la perte directe de chiffre d'affaires.
• Vol de propriété intellectuelle: l'exfiltration de plans, devis et fichiers clients compromet définitivement l'avantage concurrentiel.
• Extorsion et double extorsion: les criminels réclament une rançon pour le déchiffrement ainsi que pour la non-publication des données volées.
• Sanctions réglementaires et responsabilités: le non-respect des obligations de sécurité imposées par la réglementation (DSGVO, NIS2) expose la direction à des amendes et à une responsabilité directe.

Pour les dirigeants de PME, une intrusion réussie met directement en jeu la survie de la structure. Dans le cadre de réglementations strictes telles que la directive NIS2, les autorités exigent en outre la mise en place de mesures de prévention adéquates sous peine de sanctions lourdes envers la direction, soulignant l'importance d'une préparation rigoureuse face aux incidents informatiques.

Détection précoce grâce à la surveillance continue du dark web

Face à la prolifération des infostealers et des fuites chez les tiers, attendre qu'une intrusion se manifeste au sein du réseau est une stratégie périlleuse. La seule démarche efficace consiste à identifier la fuite des identifiants dès leur première publication sur les marchés criminels, avant qu'ils ne soient exploités pour pénétrer les systèmes de l'entreprise. C'est précisément l'objectif de la surveillance du dark web.

Un service automatisé de surveillance scanne en permanence les salons Telegram, les forums du dark web, les marchés de stealer logs et les bases de données divulguées. Lorsqu'une adresse e-mail liée au nom de domaine de l'entreprise ou des jetons de session associés sont détectés, une alerte est immédiatement transmise aux équipes informatiques.

Cette détection précoce transforme une vulnérabilité critique en un simple incident d'exploitation rapidement maîtrisé. Dès réception de l'alerte, l'équipe de sécurité peut révoquer immédiatement la session active, forcer la réinitialisation du mot de passe compromis et vérifier l'état de santé de l'équipement concerné.

La plateforme CAVRIX réunit ces fonctions au sein d'une solution globale spécialement conçue pour les PME. En combinant la gestion Managed IT, la Cybersecurity avec SOC 24/7 et les modules de Compliance, CAVRIX intègre la protection de l'identité et les services de Digital Risk Protection. Les dirigeants d'entreprise bénéficient ainsi d'une visibilité complète sur leurs risques numériques et d'une capacité d'action immédiate pour neutraliser la menace avant tout préjudice opérationnel.