Identifiants volés : comment un simple malware peut ouvrir la porte aux cyberattaques

Près de 27 millions d’identifiants de connexion ont été récupérés lors d’une opération internationale visant plusieurs infrastructures cybercriminelles. Derrière ce chiffre massif, il y a une réalité souvent mal comprise : une cyberattaque ne commence pas forcément par un écran bloqué, une demande de rançon ou une panne générale.

Elle peut commencer beaucoup plus discrètement.

Un internaute clique sur un lien frauduleux. Un logiciel malveillant s’installe. Un autre programme récupère des mots de passe, des cookies de session, des données stockées dans le navigateur ou des accès à des services en ligne. Ces informations sont ensuite revendues, réutilisées ou intégrées dans d’autres attaques.

C’est ce que révèle l’opération internationale menée contre des malwares comme Amadey et StealC. Cette affaire montre que les identifiants sont devenus une matière première de la cybercriminalité. Comprendre ce mécanisme permet de mieux se protéger.

Ce qui s’est passé

L’opération Endgame a ciblé des infrastructures utilisées par plusieurs familles de malwares, dont Amadey, StealC et SocGholish.

Les autorités et leurs partenaires privés ont annoncé plusieurs résultats importants :

• près de 27 millions d’identifiants volés récupérés ;
• 326 serveurs neutralisés ou rendus inutilisables ;
• 142 domaines touchés par l’opération ;
• plus de 41 millions d’euros d’actifs crypto d’origine criminelle identifiés, signalés et restreints ;
• des infrastructures utilisées pour diffuser des malwares et faciliter des attaques plus graves.

Cette opération n’a pas seulement visé un logiciel malveillant isolé. Elle a visé une chaîne d’attaque : des outils, des serveurs, des domaines, des accès volés, des services criminels et des infrastructures permettant à d’autres cybercriminels de mener des fraudes, des vols de données ou des attaques par ransomware.

Microsoft indique de son côté qu’Amadey et StealC ont été liés à plus de 140 000 ordinateurs infectés dans le monde au cours des deux premières semaines de mai 2026.

Le point central est donc le suivant : les autorités et les entreprises partenaires ne se sont pas contentées de bloquer un virus. Elles ont cherché à perturber une partie de l’usine qui permet aux cyberattaques de fonctionner à grande échelle.

Quel a été l’impact ?

L’impact se situe à plusieurs niveaux.

D’abord, l’opération a perturbé des infrastructures criminelles. Des serveurs et des domaines utilisés par les attaquants ont été neutralisés. C’est important, car ces éléments servent à piloter les infections, recevoir les données volées ou maintenir le fonctionnement des outils malveillants.

Ensuite, près de 27 millions d’identifiants volés ont été récupérés. Ce chiffre illustre l’ampleur du problème : les cybercriminels ne cherchent pas seulement à infecter des machines. Ils cherchent à collecter des accès.

Enfin, l’opération vise à augmenter le coût de la cybercriminalité. Lorsqu’une infrastructure est démantelée, les groupes criminels doivent reconstruire, modifier leurs outils, changer de serveurs, trouver de nouveaux relais et reprendre leur organisation. Cela ne supprime pas définitivement la menace, mais cela ralentit les attaques et rend leur industrialisation plus difficile.

Pour les internautes, la leçon est directe : un compte compromis peut avoir des conséquences bien au-delà du service touché. Un mot de passe volé peut servir à accéder à une messagerie, à usurper une identité, à piéger des contacts, à récupérer d’autres comptes ou à préparer une fraude.

Quelles données ont été exposées ou concernées ?

Les données concernées dépendent des machines infectées et des informations que les malwares ont pu récupérer.

Dans ce type d’attaque, les données ciblées peuvent inclure :

• des identifiants de connexion ;
• des mots de passe ;
• des cookies de session ;
• des accès à des comptes email ;
• des accès à des services cloud ;
• des données stockées dans le navigateur ;
• des informations bancaires si elles sont accessibles ;
• des données personnelles ;
• des informations liées à des portefeuilles de cryptomonnaies ;
• des accès professionnels enregistrés sur une machine personnelle ou peu protégée.

Le point important est que même une donnée apparemment banale peut devenir dangereuse lorsqu’elle est combinée avec d’autres.

Une adresse email seule peut alimenter du phishing ciblé. Un mot de passe réutilisé peut ouvrir plusieurs comptes. Un cookie de session peut parfois permettre de contourner certaines protections. Un accès à une messagerie peut permettre de réinitialiser d’autres mots de passe.

Les cybercriminels ne regardent pas seulement la donnée isolée. Ils cherchent ce qu’elle permet de faire ensuite.

Comment l’incident a pu se produire

Les informations disponibles permettent de comprendre le rôle général des malwares visés.

• Amadey est décrit comme un malware de type dropper ou loader. Son rôle est d’ouvrir une porte sur la machine infectée, puis de permettre l’installation d’autres logiciels malveillants. Il sert donc souvent de premier maillon dans une chaîne d’attaque.
• StealC est un infostealer, c’est-à-dire un malware conçu pour voler des informations. Son objectif est de récupérer des données sensibles : mots de passe, accès stockés, données personnelles, identifiants ou autres informations exploitables.

Le mécanisme peut être résumé simplement :

• une victime est exposée à un piège numérique ;
• un premier malware s’installe ;
• ce malware permet d’ajouter d’autres outils ;
• un voleur d’informations collecte les identifiants ;
• les données sont envoyées vers une infrastructure contrôlée par les attaquants ;
• les accès volés peuvent être revendus, testés ou réutilisés pour d’autres attaques.

Dans certains cas, le point de départ peut être un email de phishing. Dans d’autres, il peut s’agir d’un faux logiciel, d’une fausse mise à jour, d’un site compromis ou d’un téléchargement piégé.

Ce qu’il faut retenir : le malware n’a pas toujours besoin de faire du bruit. Plus il est discret, plus il peut voler d’informations avant que la victime ne comprenne qu’un problème existe.

Pourquoi cet incident est important

Cette affaire est importante parce qu’elle montre que la cybercriminalité fonctionne comme une chaîne organisée.

Il n’y a pas seulement un pirate, un virus et une victime. Il existe un écosystème beaucoup plus large :

• des outils pour entrer dans les machines ;
• des malwares pour voler les identifiants ;
• des infrastructures pour recevoir les données ;
• des marchés pour revendre les accès ;
• des groupes qui achètent ces accès ;
• des attaquants qui les utilisent pour frauder, extorquer ou lancer des ransomwares.

Cette organisation explique pourquoi les identifiants sont si précieux. Un mot de passe n’est pas seulement un secret permettant d’ouvrir un compte. C’est parfois une porte vers une messagerie, un espace professionnel, un compte bancaire, un service cloud ou un système interne d’entreprise.

L’opération montre aussi un changement de stratégie. Les autorités ne cherchent pas seulement à arrêter des individus. Elles cherchent aussi à perturber les infrastructures qui permettent aux attaques de se multiplier.

C’est une logique de coupure de chaîne : si l’on bloque les serveurs, les domaines, les accès et les outils de commande, les attaques deviennent plus difficiles à lancer, à maintenir et à rentabiliser.

Ce que les internautes doivent comprendre

• La première leçon est simple : les cyberattaques commencent souvent avant le moment visible.

Le ransomware est parfois la dernière étape. Avant cela, il peut y avoir eu un email frauduleux, un identifiant volé, une session compromise, un logiciel malveillant discret ou un accès revendu sur un marché criminel.

• La deuxième leçon est que les mots de passe ont une valeur directe. Ils peuvent être revendus, testés automatiquement sur d’autres services ou utilisés pour prendre le contrôle d’un compte.
• La troisième leçon est que la frontière entre vie personnelle et vie professionnelle est fragile. Si un ordinateur personnel contient des accès professionnels, une infection domestique peut devenir un risque pour une entreprise.
• La quatrième leçon est que la double authentification réduit fortement le risque, mais elle ne doit pas être considérée comme une protection magique. Certains malwares cherchent aussi à voler des cookies de session ou des jetons d’accès. Cela renforce l’importance de la vigilance globale : mots de passe uniques, appareils à jour, prudence face aux téléchargements, surveillance des connexions inhabituelles.
• Enfin, cette actualité rappelle qu’un malware discret peut être plus dangereux qu’un virus spectaculaire. Un ordinateur peut sembler fonctionner normalement tout en envoyant des informations à des attaquants.

Les erreurs fréquentes à éviter

Réutiliser le même mot de passe

C’est l’erreur la plus dangereuse. Si un mot de passe volé fonctionne sur plusieurs services, un seul incident peut compromettre plusieurs comptes. Chaque compte important doit avoir un mot de passe unique.

Stocker trop d’identifiants dans le navigateur sans protection suffisante

Les navigateurs peuvent conserver des mots de passe, des cookies et des informations de session. Si une machine est infectée par un infostealer, ces données peuvent devenir une cible. L’usage d’un gestionnaire de mots de passe fiable, protégé par une authentification forte, réduit ce risque.

Cliquer trop vite sur un lien ou une pièce jointe

Le phishing reste une porte d’entrée fréquente. Un email crédible, une fausse urgence ou une imitation de marque connue peuvent suffire à déclencher une infection.

Télécharger des logiciels depuis des sources non officielles

Les faux logiciels, versions piratées, cracks, outils gratuits douteux ou fausses mises à jour peuvent contenir des malwares. Un logiciel doit venir d’une source officielle ou clairement vérifiée.

Ignorer les alertes de connexion

Une alerte de connexion inhabituelle ne doit pas être traitée comme un détail. Elle peut signaler qu’un mot de passe circule déjà ou qu’un accès est en cours de test.

Reporter les mises à jour

Un système ou un logiciel non mis à jour peut contenir des failles déjà connues. Les mises à jour ne sont pas seulement des améliorations de confort : elles corrigent aussi des vulnérabilités.

Croire qu’un antivirus suffit

Un antivirus est utile, mais il ne remplace pas des mots de passe uniques, la double authentification, la prudence face aux liens et la vérification des sources de téléchargement.

Penser que seules les grandes entreprises sont visées

Les malwares voleurs d’identifiants visent souvent large. Les particuliers, indépendants, associations, commerces et petites entreprises peuvent être touchés, parfois sans être ciblés individuellement au départ.

Les leçons pratiques pour mieux se protéger

Utiliser un mot de passe unique pour chaque service

C’est la base. Un mot de passe réutilisé transforme une seule fuite en risque généralisé. Un gestionnaire de mots de passe permet de créer et conserver des mots de passe différents sans devoir les mémoriser tous.

Activer la double authentification

La double authentification ajoute une barrière lorsqu’un mot de passe est volé. Elle ne règle pas tous les risques, mais elle bloque de nombreuses tentatives de connexion non autorisées.

Vérifier les emails et les liens avant d’agir

Un message urgent, une facture inattendue, une fausse livraison ou une demande de connexion doivent être vérifiés. En cas de doute, il faut passer par le site officiel ou l’application officielle, et non par le lien reçu.

Installer les logiciels depuis les sources officielles

Les faux installateurs et les logiciels piratés sont des vecteurs classiques de malwares. Une application doit être téléchargée depuis le site officiel de l’éditeur, une boutique reconnue ou un canal de confiance.

Maintenir les appareils à jour

Le système d’exploitation, le navigateur, les extensions, les logiciels et les applications doivent être mis à jour régulièrement. Les cybercriminels exploitent souvent des failles déjà connues.

Surveiller ses comptes sensibles

Messagerie, banque, cloud, réseaux sociaux, comptes professionnels : ces accès doivent être surveillés. Une activité inhabituelle doit conduire à changer le mot de passe et vérifier les paramètres de sécurité.

Réagir vite en cas de doute

Si un mot de passe a été communiqué, volé ou potentiellement compromis, il faut le changer sur le service concerné et sur tous les autres services où il aurait été réutilisé. Il faut aussi activer la double authentification si elle n’était pas déjà en place.

Ce que les petites entreprises peuvent en retenir

Pour une TPE ou une PME, cette actualité est particulièrement importante.

Un vol d’identifiants peut exposer :

• la messagerie professionnelle ;
• les fichiers clients ;
• les devis et factures ;
• les accès bancaires ;
• les outils de gestion ;
• les comptes publicitaires ;
• les plateformes cloud ;
• les accès au site internet ;
• les comptes administrateurs.

Le risque ne vient pas toujours d’une attaque très sophistiquée. Il peut venir d’un ordinateur infecté, d’un mot de passe réutilisé ou d’un accès professionnel stocké sur une machine personnelle.

Les petites entreprises doivent donc retenir plusieurs points :

• les mots de passe professionnels doivent être uniques ;
• la messagerie doit être protégée en priorité ;
• la double authentification doit être activée sur les comptes importants ;
• les accès administrateurs doivent être limités ;
• les salariés doivent être sensibilisés aux emails frauduleux ;
• les sauvegardes doivent être régulières et testées ;
• les appareils personnels utilisés pour le travail doivent être pris au sérieux.
• Une petite structure peut ne pas être ciblée directement, mais être touchée par une attaque automatisée ou par le vol d’identifiants circulant ensuite dans des circuits criminels.

Ce qui reste à surveiller

Plusieurs points restent importants après ce type d’opération.

• D’abord, les infrastructures neutralisées ne signifient pas que tous les risques disparaissent immédiatement. Les cybercriminels peuvent tenter de reconstruire, de migrer vers d’autres serveurs ou d’utiliser d’autres outils.
• Ensuite, les identifiants déjà volés peuvent continuer à circuler. Même si une partie des données a été récupérée par les autorités, cela ne garantit pas que toutes les copies ont disparu.
• Il faut aussi surveiller les tentatives de phishing qui suivent ce type d’actualité. Des escrocs peuvent exploiter la peur d’être concerné pour envoyer de faux messages invitant les victimes à “vérifier leur compte” ou à “changer leur mot de passe” via un faux lien.
• Enfin, les entreprises doivent suivre les communications officielles lorsqu’elles sont concernées par une notification, une fuite d’identifiants ou une alerte de sécurité.

Conclusion

Cette opération internationale montre que les cyberattaques modernes reposent sur des chaînes organisées. Amadey sert à ouvrir l’accès. StealC sert à voler des informations. Les identifiants récupérés peuvent ensuite alimenter des fraudes, des usurpations ou des attaques plus graves.

La leçon principale est simple : protéger ses identifiants, c’est protéger toute sa vie numérique.

Un mot de passe unique, la double authentification, des logiciels à jour, des téléchargements officiels et une vigilance face aux messages urgents ne garantissent pas une sécurité absolue. Mais ces réflexes réduisent fortement les risques les plus courants.

La cybersécurité commence souvent par une idée simple : avant de se protéger, il faut comprendre ce que les attaquants cherchent vraiment. Dans cette affaire, ils cherchaient surtout des accès.

FAQ

Qu’est-ce qu’un identifiant volé ?

Un identifiant volé est une information permettant d’accéder à un compte : adresse email, nom d’utilisateur, mot de passe, cookie de session ou jeton d’accès. Ces données peuvent être réutilisées pour prendre le contrôle d’un compte ou préparer une fraude.

Pourquoi les mots de passe volés sont-ils dangereux ?

Un mot de passe volé peut permettre d’accéder à un compte personnel ou professionnel. S’il est réutilisé sur plusieurs services, le risque s’étend à tous les comptes utilisant le même mot de passe.

Qu’est-ce qu’un malware voleur d’identifiants ?

Un malware voleur d’identifiants, ou infostealer, est un logiciel malveillant conçu pour récupérer des informations sensibles sur un appareil infecté : mots de passe, cookies, données de navigateur, accès email ou informations personnelles.

Quel est le rôle d’Amadey ?

Amadey est un malware de type loader ou dropper. Il permet d’installer d’autres logiciels malveillants sur une machine compromise et peut servir de premier maillon dans une chaîne d’attaque.

Quel est le rôle de StealC ?

StealC est un infostealer. Il est conçu pour voler des informations sensibles sur les machines infectées, notamment des mots de passe, des données de navigateur et des accès numériques.

Comment savoir si mes identifiants ont été compromis ?

Il faut surveiller les alertes de connexion, les emails de sécurité des services utilisés, les connexions inhabituelles et les notifications officielles. En cas de doute, il faut changer le mot de passe concerné et activer la double authentification.

Que faire si j’ai réutilisé le même mot de passe partout ?

Il faut changer en priorité les mots de passe des comptes les plus sensibles : messagerie, banque, cloud, réseaux sociaux, comptes professionnels. Chaque nouveau mot de passe doit être unique. Un gestionnaire de mots de passe peut aider à les gérer.

La double authentification suffit-elle à me protéger ?

La double authentification réduit fortement le risque, mais elle ne protège pas contre tous les scénarios. Elle doit être associée à des mots de passe uniques, des appareils à jour, une vigilance face au phishing et une surveillance des connexions inhabituelles.

Sources, méthode et limites

Cet article est un contenu de vulgarisation destiné à aider les internautes à comprendre une actualité cybersécurité et à en tirer des réflexes de prévention.

Il s’appuie sur des sources institutionnelles et techniques : Operation Endgame/Europol, Microsoft Security Blog, Microsoft On the Issues, Cybermalveillance.gouv.fr et CNIL.

Les sources journalistiques utilisées comme point de départ ne sont pas citées comme sources publiques dans cet article.

Les éléments non confirmés ne sont pas présentés comme des faits. Les recommandations proposées sont générales et ne remplacent pas un audit de sécurité, une réponse à incident ou un accompagnement professionnel.

Date de rédaction : juillet 2026.

Suggestions de maillage interne

Identifiants volés → /identifiants-voles

Phishing → /phishing-definition

Mot de passe compromis → /mot-de-passe-compromis

Double authentification → /double-authentification

Malware → /malware-definition

Ransomware → /ransomware-definition

Infostealer → /infostealer-definition

Fuite de données → /fuite-de-donnees

Sécurité des comptes en ligne → /securite-comptes-en-ligne

Gestionnaire de mots de passe → /gestionnaire-mots-de-passe

Données structurées suggérées

Types de données structurées pertinents :

Article

NewsArticle

FAQPage

BreadcrumbList

Champs nécessaires pour un JSON-LD complet :

titre définitif ;

URL canonique ;

date de publication ;

date de modification ;

auteur ;

organisation éditrice ;

image principale ;

description ;

fil d’Ariane ;

questions-réponses de la FAQ.

Checklist qualité avant publication

[ ] Les faits confirmés sont distingués des hypothèses.

[ ] Les sources primaires sont indiquées.

[ ] La source journalistique n’est pas citée publiquement.

[ ] Les données exposées ne sont pas inventées.

[ ] Le mécanisme technique reste défensif et pédagogique.

[ ] L’article explique l’impact concret de l’actualité.

[ ] La leçon de cybersécurité est claire.

[ ] Le contenu est compréhensible par un non-spécialiste.

[ ] Les conseils ne promettent pas une protection totale.

[ ] Le SEO est naturel, sans bourrage de mots-clés.

[ ] Les signaux E-E-A-T sont visibles.

[ ] La FAQ répond à de vraies questions d’internautes.

[ ] L’article peut être publié après relecture éditoriale.

Sources utilisées pour étayer l’article

Operation Endgame/Europol : chiffres de l’opération, malwares ciblés, serveurs/domaines neutralisés, identifiants récupérés, rôle d’Europol et approche par “chaîne” cybercriminelle. �

operation-endgame.com

Microsoft On the Issues : rôle d’Amadey et StealC, approche juridique et technique, usage de l’IA, plus de 140 000 ordinateurs infectés observés sur les deux premières semaines de mai 2026. �

The Official Microsoft Blog

Microsoft Security Blog : fonctionnement général des infostealers, rôle des identifiants, cookies, jetons de session, Amadey comme loader et StealC comme voleur d’informations. �

Microsoft

Cybermalveillance.gouv.fr : recommandations sur les mots de passe, phishing et double authentification.

cybermalveillance.gouv.fr +2

CNIL : recommandations générales sur les mots de passe et la maîtrise de la sécurité de l’authentification.

cnil.fr