Le démantèlement des infostealers Amadey et StealC, annoncé dans le cadre d’Operation Endgame, marque une victoire judiciaire spectaculaire : 326 serveurs neutralisés, 142 domaines saisis, plus de 27 millions d’identifiants volés récupérés et 47 millions de dollars d’actifs crypto gelés. Mais pour une PME ou une ETI, la vraie leçon n’est pas la taille de l’opération — c’est que vos identifiants circulaient peut-être déjà dans ces bases de données. Un infostealer ne fait pas de bruit, ne chiffre rien, ne demande pas de rançon : il vole, exfiltre et disparaît. Et le mal est souvent fait des mois avant le moindre signal.
Pourquoi les infostealers sont la menace silencieuse des PME-ETI
Un infostealer est un logiciel malveillant conçu pour aspirer en quelques secondes tout ce qui a de la valeur sur un poste : mots de passe enregistrés dans le navigateur, cookies de session, jetons d’authentification, portefeuilles crypto, fichiers de configuration VPN. Amadey et StealC ont industrialisé ce modèle en le proposant « as-a-service », accessible à des affiliés sans compétence technique avancée.
Le danger pour une PME-ETI tient à trois caractéristiques :
- La furtivité : aucune perturbation visible. L’utilisateur ne remarque rien, l’antivirus classique passe souvent à côté.
- Le vol de sessions actives : en dérobant les cookies, l’attaquant contourne le mot de passe et la double authentification (MFA), car la session est déjà ouverte.
- Le marché de la revente : les « logs » volés alimentent des courtiers d’accès initiaux (IAB) qui les revendent aux groupes de ransomware. L’infostealer est la porte d’entrée ; le chiffrement vient ensuite.
Ce que révèle Operation Endgame sur le vol d’identifiants
L’action coordonnée de Microsoft et de ses partenaires confirme une tendance de fond : le vol d’identifiants est devenu le carburant de l’écosystème cybercriminel. Les 27 millions de crédentiels récupérés ne sont qu’une fraction de ce qui circule. Le rapport BleepingComputer souligne que ces plateformes servaient de socle partagé à plusieurs familles de malwares.
Surtout, un démantèlement ne signifie pas la fin de la menace. Les infrastructures repoussent, les opérateurs migrent, et les identifiants déjà volés restent exploitables tant qu’ils ne sont pas changés. C’est la même logique que pour les campagnes de vol de jetons Microsoft 365 : la session compromise survit au mot de passe.
Cinq mesures pour protéger vos identifiants en PME-ETI
Face au vol d’identifiants, la défense ne repose pas sur un produit miracle mais sur une hygiène disciplinée. Voici les priorités concrètes :
- Rotation des secrets exposés : si un poste a été compromis, changez immédiatement les mots de passe ET invalidez les sessions actives (déconnexion forcée côté serveur). Un mot de passe changé sans révocation de session laisse la porte ouverte.
- MFA résistant au phishing : privilégiez les clés FIDO2 ou les passkeys aux codes SMS et OTP, qui ne protègent pas contre le vol de cookies. Complétez avec des sessions à durée de vie courte.
- Bannir le stockage de mots de passe dans le navigateur : déployez un gestionnaire de mots de passe d’entreprise et désactivez l’enregistrement natif des credentials dans Chrome ou Edge par politique.
- Surveillance des fuites : surveillez l’apparition de vos domaines dans les bases de logs volés (services de threat intelligence, alertes HaveIBeenPwned pour les comptes professionnels).
- EDR plutôt qu’antivirus : un infostealer moderne échappe aux signatures. Un EDR comportemental détecte l’accès anormal aux bases de credentials du navigateur, là où l’antivirus reste aveugle.
L’angle agentique : vos assistants IA stockent aussi des secrets
Un point souvent négligé en 2026 : les infostealers ciblent désormais les fichiers de configuration des outils de développement et des agents IA, qui contiennent fréquemment des clés API et des jetons OAuth en clair. Chaque poste exécutant un assistant de code ou un agent autonome devient une cible enrichie. La règle reste la même que pour les humains : un agent est un utilisateur privilégié, et ses secrets doivent être chiffrés, segmentés et soumis à rotation — comme nous le rappelions à propos de la fatigue MFA.
Conclusion : le vol d’identifiants ne se patche pas, il se discipline
Operation Endgame est une bonne nouvelle, mais elle ne vous rend pas vos identifiants volés. Pour une PME-ETI, la protection contre les infostealers passe par une routine non négociable : rotation des secrets, MFA résistant au phishing, suppression du stockage navigateur, surveillance des fuites et détection comportementale. La menace est silencieuse — votre défense doit être systématique.