La cybersécurité des entreprises repose encore trop souvent sur l'idée de protéger les identifiants, de renforcer les mots de passe et de réinitialiser les accès en cas de compromission.

Pourtant, les dernières données publiées par la société suédoise de cybersécurité Outpost24 viennent rappeler que la réalité est nettement plus compliquée que ça. Selon son étude, 72% des 4824 entreprises américaines et européennes analysées ont été concernées par l'exposition d'au moins un identifiant appartenant à un employé ou à un client au cours des douze derniers mois.

Au total, 31,5 millions d'identifiants exposés ont été recensés. Un chiffre impressionnant, mais qui mérite d'être nuancé. Près de 97% de ces données proviennent d'anciennes fuites et de bases d'identifiants déjà compromises, tandis que 844 000 identifiants ont été récupérés directement par des logiciels malveillants de type infostealer.

C'est précisément cette distinction qui rend l'étude intéressante.

Les infostealers infectent les appareils et collectent de manière discrète les informations qui y sont stockées: identifiants enregistrés dans les navigateurs, cookies de session et données permettant de conserver une connexion active à différents services. Un attaquant ne cherche donc plus nécessairement à deviner un mot de passe ou à contourner une authentification. Il peut simplement récupérer une session déjà ouverte et se faire passer pour son utilisateur légitime.

L'accès est le vrai danger

L'étude révèle d'ailleurs que 41% des entreprises analysées possédaient au moins un identifiant professionnel dérobé par un infostealer. Dans 31% des cas, les identifiants concernés étaient exclusivement associés à des comptes clients. Les différences sectorielles sont également révélatrices. Les services financiers affichent le taux d'exposition le plus élevé, avec 77% des entreprises concernées, tandis que les sociétés de services aux entreprises sont particulièrement exposées du côté des comptes collaborateurs, avec 47% d'entre elles ayant subi le vol d'au moins un identifiant professionnel.

Ces chiffres montrent que la menace dépasse largement le cadre informatique traditionnel. Elle concerne aussi bien les environnements internes que les relations avec les clients.

À mes yeux, l'un des enseignements les plus importants de cette étude réside dans le décalage entre le volume des identifiants exposés et la gravité réelle d'une compromission.

Une entreprise de distribution comptabilisant des milliers de comptes clients compromis n'est pas nécessairement dans une situation plus critique qu'une banque dont un seul ordinateur professionnel a été infecté. Ce dernier peut en effet constituer une porte d'entrée vers des applications internes, des données sensibles ou des systèmes stratégiques.

Les exemples récents, notamment les attaques visant les clients de Snowflake en 2024, illustrent parfaitement cette réalité.

Aujourd'hui, les entreprises doivent dépasser la simple réinitialisation des mots de passe. Lorsqu'un infostealer est détecté, il faut considérer l'incident comme une compromission potentiellement plus grave. Il est nécessaire d'analyser l'appareil infecté, révoquer les sessions actives, renouveler les identifiants concernés et surveiller les activités suspectes. Pour les comptes clients, des mesures complémentaires de vérification et de détection des fraudes deviennent indispensables.

Les identifiants sont devenus une véritable monnaie d'échange pour les cybercriminels et les sessions actives constituent parfois des clés d'accès bien plus précieuses que les mots de passe eux-mêmes.