Plus d’un million de comptes bancaires compromis en 2025 :
comment les infostealers alimentent le dark web.
Le danger ne vient plus seulement du faux site bancaire ou du cheval de Troie conçu spécifiquement pour détourner une transaction. Les cybercriminels récupèrent désormais des ensembles complets de données depuis les ordinateurs et smartphones : identifiants, mots de passe, cookies de session, données de formulaires, cartes bancaires et parfois documents. Ces informations sont ensuite regroupées, revendues ou partagées et peuvent être réutilisées longtemps après l’infection initiale.
Plus d’un million de comptes bancaires : un chiffre spectaculaire qui demande une précision essentielle
En avril 2026, Kaspersky a publié son bilan des cybermenaces financières observées en 2025. Son équipe Digital Footprint Intelligence indique avoir retrouvé dans des données issues d’infostealers les identifiants de plus d’un million de comptes de banque en ligne servis par les 100 plus grandes banques mondiales. Les identifiants étaient diffusés gratuitement sur des ressources du dark web.
La formulation est importante. Cela ne signifie pas que les systèmes informatiques de cent banques ont été pénétrés ni qu’un attaquant a réussi à retirer de l’argent sur chacun de ces comptes. Les informations proviennent de machines infectées par des logiciels voleurs de données. Un identifiant présent dans un journal d’infostealer doit être considéré comme compromis, mais sa présence ne prouve pas à elle seule une fraude bancaire effectivement réalisée.
Autre nuance : Kaspersky précise que ces comptes ne correspondent pas nécessairement à des utilisateurs de ses produits. Le chiffre provient de l’observation de données circulant dans l’écosystème criminel. Il peut également évoluer avec le temps, certains journaux d’infection n’étant publiés que plusieurs mois, voire davantage, après le vol initial.
Le signal reste néanmoins très fort. L’Inde, l’Espagne et le Brésil présentaient, selon l’étude, le nombre médian le plus élevé de comptes compromis par banque. Pour les cartes de paiement identifiées dans les données d’infostealers publiées en 2025, Kaspersky indiquait en outre que 74 % étaient encore techniquement valides en mars 2026. Une donnée volée peut donc conserver une valeur opérationnelle bien après l’infection.
L’infostealer ne cherche pas seulement votre mot de passe bancaire
Un infostealer est un logiciel malveillant spécialisé dans l’extraction de données présentes sur un appareil. Son intérêt pour les criminels tient à sa polyvalence. Il peut collecter des identifiants enregistrés dans le navigateur, des cookies de session, des informations de carte bancaire saisies ou mémorisées, des données d’autoremplissage, des portefeuilles de cryptomonnaies et différents fichiers présents sur la machine.
Cette logique change profondément le modèle de l’attaque. Le cybercriminel n’a pas nécessairement besoin de concevoir un malware exclusivement bancaire. Il vole un ensemble de données, puis trie ce qui peut être monétisé. Un même poste compromis peut donner accès à une messagerie, un compte professionnel, une boutique en ligne, un réseau social et un service financier.
Kaspersky a mesuré en 2025 une hausse mondiale de 59 % des détections d’infostealers sur PC par rapport à 2024. En juin 2026, une autre analyse portant sur cinq millions de journaux d’infostealers découverts sur le dark web a montré qu’environ 35 % des infections étudiées avaient pour point de départ des fichiers exécutés depuis des dossiers temporaires du navigateur. Cela renvoie à un comportement banal : télécharger un fichier puis l’ouvrir directement.
Les logiciels piratés, faux installateurs, pièces jointes, outils présentés comme gratuits et téléchargements provenant de sources non fiables restent donc des vecteurs particulièrement dangereux. L’ANSSI a également documenté en France l’usage récurrent d’infostealers dans des fuites de données en 2025, notamment après l’installation d’un faux navigateur Chromium dans plusieurs entreprises.
Le vol d’un cookie compte autant que celui d’un mot de passe. Certaines données de session peuvent permettre de réutiliser une authentification déjà établie. C’est pourquoi changer uniquement le mot de passe ne suffit pas toujours : les sessions actives doivent aussi être révoquées lorsque le service le permet.
Le dark web transforme un vol local en matière première pour d’autres fraudes
L’infection d’un ordinateur n’est souvent que la première étape. Les informations récupérées sont organisées dans des journaux contenant les données de la victime et des indications sur l’appareil compromis. Ces ensembles peuvent être distribués gratuitement, vendus, agrégés dans des bases plus larges ou intégrés à des profils complets de victimes.
Cette économie souterraine sépare les métiers. Celui qui diffuse le malware n’est pas forcément celui qui exploitera le compte bancaire. Des acheteurs peuvent rechercher des données correspondant à une banque, un pays ou un type de compte précis. D’autres réutilisent les mêmes informations pour préparer un phishing crédible, une prise de contrôle de messagerie ou une usurpation d’identité.
Le mot « dark web » ne doit donc pas masquer la mécanique réelle. La menace n’est pas l’existence d’un endroit mystérieux où seraient stockés les mots de passe ; c’est la capacité à industrialiser la collecte, le tri, la vente et la réutilisation de données provenant de millions d’appareils compromis.
Cette persistance explique pourquoi une fuite ancienne reste préoccupante. Un mot de passe réutilisé sur plusieurs services peut ouvrir plusieurs portes. Une adresse électronique associée à une banque donne une information utile à un fraudeur. Des données personnelles combinées à des informations financières permettent de fabriquer un scénario de social engineering beaucoup plus convaincant.
Le phishing financier se déplace vers les boutiques en ligne et les services du quotidien
Le phishing bancaire classique n’a pas disparu, mais les leurres évoluent. Dans les données Kaspersky pour 2025, les pages imitant des boutiques en ligne représentaient 48,5 % du phishing financier observé, devant les banques à 26,1 % et les systèmes de paiement à 25,5 %. Le faux site marchand est efficace parce qu’il peut demander à la fois des informations personnelles, des identifiants et des données de paiement.
Cette évolution montre pourquoi la protection ne peut pas se limiter à « ne jamais cliquer sur un lien de sa banque ». Un faux suivi de colis, une promotion, un abonnement, une facture ou un logiciel peuvent servir de porte d’entrée. L’objectif final peut rester financier même lorsque le premier écran n’a rien d’un site bancaire.
Les attaquants profitent également de la quantité d’informations déjà disponibles sur leurs victimes. Plus ils disposent de données exactes, plus leur message paraît légitime. Nom, numéro de téléphone, adresse électronique, enseigne utilisée ou historique d’une fuite antérieure peuvent suffire à rendre une sollicitation crédible.
La règle la plus robuste reste de ne pas utiliser un lien reçu pour accéder à un espace bancaire ou de paiement lorsqu’une demande paraît inhabituelle. Il vaut mieux ouvrir l’application officielle ou saisir soi-même l’adresse connue du service. Un message urgent ne doit jamais faire disparaître cette vérification.
En 2025, la catégorie « e-commerce » domine le phishing financier mesuré par Kaspersky. Le réflexe de sécurité doit donc s’étendre bien au-delà des messages prétendant provenir d’une banque.
Sur smartphone, les chevaux de Troie bancaires continuent de progresser
La menace financière n’est plus centrée sur le PC. Kaspersky a rapporté en mars 2026 une augmentation de 56 % des attaques par chevaux de Troie bancaires sur smartphones Android en 2025. Le nombre de nouveaux paquets d’installation associés à cette catégorie a atteint 255 090, soit une hausse de 271 % sur un an selon ses mesures.
Les applications de messagerie et les pages web malveillantes font partie des canaux de diffusion cités. Sur mobile, la difficulté vient aussi de la concentration des usages : le même téléphone reçoit le SMS, ouvre le lien, contient l’application bancaire, gère les courriels et sert parfois de second facteur d’authentification.
Il faut cependant éviter une conclusion excessive : Android n’est pas synonyme de compte bancaire compromis et les chiffres de détection d’un éditeur de sécurité ne représentent pas l’ensemble des smartphones de la planète. Ils décrivent une tendance observée dans son périmètre de données. Cette tendance est suffisamment nette pour justifier une vigilance particulière sur les applications installées hors des circuits habituels et les autorisations demandées.
La sécurité mobile mérite donc le même niveau d’attention que celle d’un ordinateur professionnel : système maintenu à jour, applications issues de sources fiables, verrouillage de l’appareil, contrôle des permissions et réaction immédiate en cas de comportement inhabituel.
En France, l’ANSSI confirme que les infostealers participent aux fuites de données
Il n’existe pas, dans les sources publiques consultées, de ventilation permettant d’affirmer combien des « plus d’un million » de comptes bancaires identifiés par Kaspersky appartiennent à des clients français. Attribuer arbitrairement une part de ce chiffre à la France serait donc trompeur.
En revanche, le Panorama de la cybermenace 2025 publié par l’ANSSI confirme le recours récurrent aux infostealers dans des attaques ayant conduit à des fuites de données. L’agence cite le cas d’entreprises françaises du secteur agroalimentaire ayant identifié EpiBrowser sur de nombreux postes après l’installation d’un logiciel gratuit se présentant comme un navigateur Chromium.
L’exemple est instructif parce qu’il ne repose pas sur un scénario sophistiqué. Un logiciel apparemment banal est installé, puis collecte des identifiants et mots de passe. L’ANSSI souligne aussi la difficulté de réaction lorsque les usages professionnels et personnels ne sont pas correctement séparés.
Pour une entreprise, l’enjeu dépasse donc le compte bancaire du salarié. Des identifiants volés sur un poste peuvent donner accès à une messagerie, un CMS, un hébergement, un CRM ou un service cloud. La compromission d’un compte personnel utilisé sur un appareil professionnel peut également devenir le premier maillon d’une attaque contre l’organisation.
Ce qui est confirmé pour la France : les infostealers sont bien observés dans des incidents et fuites de données. Ce qui n’est pas public : le nombre exact de comptes bancaires français inclus dans le million identifié au niveau mondial.
Réduire le risque demande surtout de protéger l’appareil et l’identité numérique
Face aux infostealers, la protection bancaire commence avant l’ouverture de l’application de la banque. Le premier objectif est d’éviter l’exécution du logiciel malveillant : mises à jour régulières, téléchargement depuis les sources officielles, prudence avec les pièces jointes et refus des logiciels piratés ou installateurs douteux.
Chaque service important doit disposer d’un mot de passe distinct. La réutilisation transforme le vol d’un identifiant en problème transversal. Un gestionnaire de mots de passe permet de générer des secrets uniques sans devoir les mémoriser tous. Lorsque le service le propose, une authentification multifacteur résistante au phishing apporte une barrière supplémentaire.
Il faut aussi considérer les sessions déjà ouvertes. Les infostealers peuvent récupérer des cookies et d’autres données permettant de détourner une session. Après une infection avérée, modifier les mots de passe depuis la machine compromise n’est pas une bonne première étape : l’appareil doit d’abord être assaini ou remplacé, puis les sessions révoquées et les secrets modifiés depuis un appareil sain.
Pour les entreprises, la séparation des usages personnels et professionnels, la limitation des droits administrateur, la gestion centralisée des postes et la surveillance des connexions inhabituelles réduisent le risque qu’un vol d’identifiants individuel devienne une intrusion plus large. Une politique de cybersécurité ne peut plus considérer le mot de passe comme l’unique frontière.
Identifiants compromis : l’ordre des actions compte
Lorsqu’un infostealer est suspecté ou confirmé, la priorité est d’empêcher qu’il continue à collecter les nouvelles informations. Déconnecter l’appareil des usages sensibles et effectuer l’assainissement depuis une procédure adaptée évite de saisir immédiatement de nouveaux mots de passe sur une machine potentiellement surveillée.
Depuis un appareil sain, il faut ensuite sécuriser en priorité la messagerie principale, car elle sert souvent à réinitialiser les autres comptes, puis les services financiers, professionnels et les comptes contenant des données personnelles. Les mots de passe réutilisés doivent être remplacés partout, pas uniquement sur le service où le problème a été découvert.
Les sessions actives doivent être fermées lorsqu’une fonction de déconnexion globale existe. Les mouvements bancaires, bénéficiaires ajoutés, opérations de carte et notifications doivent être contrôlés. En présence d’une opération inconnue ou d’un doute sur un moyen de paiement, contacter directement sa banque par les coordonnées officielles est plus sûr que de répondre à un message reçu.
Pour une entreprise, l’incident doit aussi être envisagé sous l’angle professionnel : comptes cloud, messagerie, accès VPN, hébergement, outils métiers et secrets enregistrés dans le navigateur. Si des données de l’organisation ont pu être exposées, la réponse ne se limite plus à changer un mot de passe personnel.
Une compromission d’identifiants n’est pas un incident isolé par service. Il faut raisonner à partir de l’appareil infecté et de tout ce qui a pu y être enregistré ou ouvert.
Comptes bancaires, infostealers et dark web.
Un million de comptes bancaires ont-ils réellement été piratés en 2025 ?
Kaspersky indique avoir retrouvé les identifiants de plus d’un million de comptes de banque en ligne des 100 plus grandes banques mondiales dans des données d’infostealers diffusées sur le dark web. Cela établit une compromission des identifiants, pas nécessairement un accès frauduleux ou un vol d’argent sur chacun des comptes.
Les banques ont-elles elles-mêmes été piratées ?
Ce n’est pas ce que démontre cette étude. Les identifiants analysés ont été récupérés par des infostealers présents sur les appareils des victimes. Le point d’entrée se situe donc généralement côté terminal et non dans une brèche unique des systèmes bancaires.
Qu’est-ce qu’un infostealer ?
C’est un logiciel malveillant conçu pour extraire des informations d’un appareil : identifiants, mots de passe, cookies, données d’autoremplissage, cartes, portefeuilles de cryptomonnaies ou fichiers. Ces données peuvent ensuite être revendues ou réutilisées.
Changer son mot de passe suffit-il ?
Pas toujours. Si l’appareil est encore infecté, le nouveau mot de passe peut être volé à son tour. Les cookies de session peuvent aussi avoir été récupérés. Il faut d’abord assainir l’appareil, puis révoquer les sessions et modifier les identifiants depuis un terminal sain.
Le dark web est-il la cause du piratage ?
Non. L’infection de l’appareil provoque le vol initial. Le dark web sert ensuite d’écosystème de diffusion, de vente et de réutilisation des données, ce qui permet à plusieurs acteurs criminels d’exploiter le même vol.
Combien de comptes français sont concernés ?
Les données publiques utilisées ne fournissent pas de chiffre précis pour la France. Il serait donc incorrect de déduire un nombre français à partir du total mondial.
Les smartphones sont-ils concernés ?
Oui. Kaspersky a mesuré une hausse de 56 % des attaques de chevaux de Troie bancaires sur smartphones Android en 2025. Le mobile concentre en outre de nombreux moyens d’authentification et services sensibles.
Quel est le premier réflexe en cas de doute ?
Éviter toute nouvelle connexion sensible depuis l’appareil suspect, utiliser un appareil sain pour sécuriser la messagerie et les comptes importants, fermer les sessions actives et contacter directement la banque si une opération ou un moyen de paiement paraît compromis.
- Kaspersky Securelist — Financial cyberthreats in 2025 and the outlook for 2026, 8 avril 2026.
- Kaspersky — Over a million banking accounts compromised, 8 avril 2026.
- Kaspersky — Trojan banker attacks on smartphones increased by 56% in 2025, 4 mars 2026.
- Kaspersky DFI — analyse de cinq millions de journaux d’infostealers, 15 juin 2026.
- ANSSI / CERT-FR — Panorama de la cybermenace 2025.
WY-Créations suit les évolutions de la cybersécurité qui touchent directement les entreprises, leurs sites et leurs données. Retrouvez les actualités web WY-Créations et la présentation de WY-Créations.
La sécurité fait partie de la crédibilité numérique d’une entreprise.
Architecture, maintenance, visibilité et maîtrise des accès doivent être pensées ensemble lorsqu’un site devient un outil de travail et d’acquisition.