Les voleurs d’informations en ligne volent les cookies du navigateur à grande échelle, exposant les utilisateurs à des risques allant du vol d’identité au piratage de compte, selon un rapport publié lundi par un fournisseur de services VPN.
De juin 2025 à juin 2026, les chercheurs de NordVPN ont analysé plus de 52,4 milliards de cookies de navigateur trouvés dans les journaux d’infostealer proposés à la vente sur les forums du dark web et les marchés Telegram.
Même si un petit pourcentage des cookies volés sont restés actifs, les cookies d’authentification en direct peuvent donner aux attaquants un accès immédiat aux comptes en ligne.
« Cette échelle montre pourquoi les cookies du navigateur sont devenus une cible si précieuse », a écrit Domantas Lapinskas sur un blog de NordVPN.
Il a noté que les cookies publicitaires et de suivi représentaient la plus grande part des cookies volés dans l’étude, bien que les experts affirment que les cookies d’authentification – bien que beaucoup moins courants – posent le plus grand risque de sécurité.
« Nous savons tous que les cookies sont précieux car certains d’entre eux vous permettent de rester connecté », a déclaré Rich Pleeth, co-fondateur de Finmile, une société SaaS de logistique d’IA à Londres.
« Mais si un criminel vole le bon cookie, il pourra peut-être accéder à votre courrier électronique, à votre banque ou à votre compte d’entreprise sans avoir besoin de votre mot de passe, et parfois sans déclencher une authentification à deux facteurs », a-t-il déclaré à TechNewsWorld.
Un cookie de session sert de preuve au serveur qu’un utilisateur s’est déjà authentifié, a expliqué Sila Özeren Hacioglu, ingénieure de recherche associée en sécurité chez Picus Security, une société mondiale de simulation de cyberattaques.
« Lorsque vous vous connectez avec un mot de passe et que vous effacez la MFA (authentification multifacteur), le site émet un cookie de session afin qu’il ne vous demande plus qui vous êtes », a-t-elle déclaré à TechNewsWorld. « Si un attaquant vole ce cookie et le relit depuis son propre navigateur, le serveur voit une session valide et déjà authentifiée – pas de mot de passe, pas d’invite MFA, pas de défi de mot de passe. »
« C’est pourquoi nous disons désormais ‘le cookie est le nouveau mot de passe' », a-t-elle ajouté.
Les données de session sont privilégiées par rapport aux informations d’identification
Hacioglu a soutenu que les voleurs d’informations ciblent les cookies précisément parce qu’ils court-circuitent chaque contrôle de temps de connexion. « Le dernier ensemble de données de NordVPN a révélé que les enregistrements de cookies apparaissaient 4,6 fois plus fréquemment que les mots de passe, les détails de carte de paiement et les fichiers réunis », a-t-elle déclaré. « Cela pourrait être la preuve que les opérateurs privilégient désormais les données de session plutôt que les informations d’identification. »
« Les cookies des comptes Google et Microsoft sont doublement précieux », a-t-elle poursuivi, « car ces mêmes identités constituent la passerelle d’authentification unique et MFA vers des dizaines de services en aval. »
« La plupart des cookies n’ont aucune valeur commerciale pour les voleurs d’informations », a-t-elle expliqué. « Un cookie de suivi vous décrit, un cookie d’authentification se porte garant de vous. Seule la deuxième catégorie compte, et elle ne représente qu’une petite fraction d’un énorme gain. »
« C’est pourquoi le titre ‘des milliards volés’ est trompeur », a-t-elle argumenté. « Le volume n’est pas l’histoire. Une poignée de jetons de session en direct l’est. »
Un cookie de session volé est l’équivalent numérique du vol de la carte d’accès d’une personne déjà glissée plutôt que du crochetage d’une serrure, a affirmé Francis West, PDG de Security Everywhere, une société de cybersécurité basée à Hemel Hempstead, en Angleterre.
« C’est exactement pourquoi nous voyons de plus en plus de logiciels malveillants infostealer cibler spécifiquement les navigateurs », a-t-il déclaré à TechNewsWorld. « Un seul appareil infecté peut générer des dizaines de sessions en direct (e-mail, opérations bancaires, stockage dans le cloud, outils SaaS d’entreprise) en même temps, et les lots de cookies volés sont désormais activement échangés sur les marchés criminels. »
Au cours des deux dernières années, le vol de cookies de session est passé d’un avantage secondaire du vol d’identifiants à l’objectif principal des logiciels malveillants voleurs, a ajouté Adrian Cheek, chercheur principal en cybercriminalité chez Flare, une société de renseignement sur les menaces à Montréal.
« Cela brise également la séquence standard de réponse aux incidents », a-t-il déclaré à TechNewsWorld. « La rotation d’un mot de passe n’a aucun effet sur un cookie volé. La session reste active jusqu’à ce qu’elle soit explicitement révoquée ou expire d’elle-même. »
Logiciels malveillants rapides et silencieux
Cheek a expliqué que les cookies sont massivement volés par des logiciels malveillants infostealer exécutés sur l’appareil d’une victime. « Le malware est rapide et silencieux », a-t-il déclaré. « Cela ne nécessite aucun privilège administratif et n’a pas besoin de persister. »
« Une seule exécution lit chaque profil de navigateur sur la machine et se ferme », a-t-il poursuivi. « Le journal des voleurs qui en résulte est une archive ZIP contenant des cookies, des informations d’identification enregistrées, des données de remplissage automatique, un historique de navigation, des logiciels installés, le contenu du presse-papiers et une capture d’écran du bureau prise au moment de la compromission. »
« Les faux exercices de recrutement et les projets logiciels trojanisés sont un autre leurre de plus en plus courant, en particulier pour les développeurs et autres utilisateurs techniques », a ajouté Bogdan Botezatu, directeur principal de la recherche et du reporting sur les menaces chez Bitdefender, une société mondiale de technologie de cybersécurité.
« Un mécanisme de livraison très populaire appelé ‘ClickFix’ aide les cybercriminels à installer des voleurs d’informations en se faisant passer pour des boîtes Captcha qui manipulent le presse-papiers d’un utilisateur pour exécuter des commandes dangereuses dans le terminal du système », a-t-il déclaré à TechNewsWorld.
Il a également noté que les cookies peuvent être capturés via des extensions de navigateur malveillantes, des sites Web compromis ou des pages de phishing d’un adversaire au milieu qui relaient une véritable connexion et interceptent la session résultante. « Le HTTPS moderne rend la simple interception sur le réseau local beaucoup moins utile que l’infection du point final ou la manipulation du processus d’authentification lui-même », a-t-il expliqué.
Plus qu’un antivirus nécessaire
NordVPN a également signalé avoir trouvé des cookies volés sur des appareils sur lesquels un logiciel de sécurité était installé. Parmi les journaux de voleurs identifiant les logiciels de sécurité installés, 96,3 % nommaient Windows Defender, tandis que le reste faisait référence à des suites antivirus commerciales, note-t-il.
« L’antivirus peut détecter et supprimer la plupart des souches de voleurs d’informations », a déclaré à TechNewsWorld Paul Bischoff, défenseur de la vie privée des consommateurs chez Comparitech, un site Web d’avis, de conseils et d’informations sur les produits de sécurité grand public.
« Cependant », a-t-il ajouté, « ils ne vous immunisent pas ».
L’antivirus reste important, mais il ne s’agit pas d’un contrôle hermétique, a prévenu Deric Palmer, directeur des risques numériques chez ASC3ND Technologies Group, une société de cybersécurité et de modernisation informatique à Washington, DC.
« Les voleurs d’informations modifient fréquemment leur code, leurs méthodes de livraison et leur comportement pour échapper à la détection basée sur les signatures, et les utilisateurs peuvent ignorer les avertissements de sécurité ou installer eux-mêmes des logiciels malveillants », a-t-il déclaré à TechNewsWorld.
Il a recommandé que l’antivirus soit traité comme une seule couche, aux côtés des correctifs rapides, de la surveillance des points finaux, des contrôles du navigateur, de la liste blanche des applications et d’un comportement utilisateur plus sûr.
Une solution plus durable au problème consiste à rendre le cookie volé inutile, a soutenu Chris Boehm, directeur de la technologie chez Zero Networks, un fournisseur de microsegmentation automatisée, de réseau zéro confiance, de contrôle d’accès basé sur l’identité et d’accès à distance sécurisé à Tel Aviv, en Israël.
« C’est ce que Google a livré dans Chrome 146, avec les informations d’identification de session liées au périphérique, liant la session à une clé à l’intérieur du TPM ou Secure Enclave », a-t-il déclaré à TechNewsWorld. « Les sites doivent l’adopter de leur côté, donc la couverture prendra du temps. »
Mots de passe forts, MFA ne suffit pas
Palmer d’ASC3ND a soutenu que le vol de cookies révèle un angle mort dans la façon dont les gens envisagent la sécurité des comptes. « Des mots de passe forts et une authentification multifacteur protègent le processus de connexion, mais ils ne peuvent pas arrêter un attaquant qui vole la session authentifiée une fois la connexion déjà effectuée », a-t-il observé.
« L’industrie doit mettre davantage l’accent sur les sessions de courte durée, l’authentification liée aux appareils, l’évaluation continue des risques et la révocation rapide des sessions », a-t-il déclaré.
« La plupart des gens supposent que les bannières de consentement aux cookies sont un élément de sécurité, mais celles-ci proviennent du droit européen en vertu de la directive ePrivacy et du RGPD, et elles régissent ce qu’un site Web peut placer sur votre appareil plutôt que ce que les logiciels malveillants retirent de votre ordinateur portable », a ajouté Boehm de Zero Networks.
« L’industrie a passé 15 ans à expliquer aux gens qu’un mot de passe fort et la MFA signifiaient qu’ils étaient en sécurité, et ces données montrent que les conseils étaient incomplets », a-t-il noté. « Les attaquants ont arrêté d’attaquer la porte d’entrée et ont commencé à voler la preuve que vous l’aviez déjà franchie. »
