En 2025, les chercheurs ont estimé qu'au moins 11,1 millions d'appareils ont été infectés par des infostealers dans le monde, produisant plus de 3,3 milliards d'identifiants et de données associées qui circulent aujourd'hui sur les marchés criminels du dark web. Ces chiffres ne représentent pas une anomalie ponctuelle mais l'état stable d'un écosystème criminel mature qui a développé une infrastructure de production, de distribution et de monétisation aussi sophistiquée que certains secteurs légaux.
Comprendre comment fonctionne concrètement cet écosystème, qui vend quoi à qui, comment les données sont structurées, vérifiées et revendues, et quelle est la durée de vie utile d'un log, est essentiel pour les équipes de sécurité qui veulent calibrer correctement leur stratégie de surveillance. Une organisation qui ne surveille que les bases de données de fuites classiques manque la majorité de l'exposition réelle. La différence entre une brèche classique et un log d'infostealer est fondamentale, et elle détermine ce que vous devez surveiller.
Un log d'infostealer n'est pas une simple liste de paires identifiant/mot de passe. C'est un instantané complet de l'environnement numérique d'un utilisateur au moment de l'infection. La structure exacte varie selon la famille d'infostealer, mais la plupart des familles actives en 2026 collectent les catégories suivantes.
Les mots de passe enregistrés dans le navigateur, pour chaque site où l'utilisateur a activé la sauvegarde automatique. Les cookies de session actifs, qui permettent de reprendre une session authentifiée sans connaître le mot de passe ni déclencher d'authentification multifacteur. Les données de remplissage automatique, qui incluent les adresses, les numéros de carte bancaire et parfois les documents d'identité. Les fichiers ciblés selon des patterns prédéfinis, généralement les PDFs, les documents Office, les fichiers .env, les fichiers de configuration contenant des clés API, et les fichiers de portefeuilles de cryptomonnaie. Les informations système, notamment le nom de la machine, l'adresse IP, le système d'exploitation, les applications installées et les résolutions d'écran. Dans certaines variantes, des captures d'écran prises au moment de l'infection.
Pour une organisation, la valeur d'un log qui contient les données d'un employé est directement liée aux services auxquels cet employé avait accès. Un log d'un développeur contenant des cookies GitHub et des fichiers .env avec des clés AWS vaut beaucoup plus qu'un log d'un utilisateur grand public. C'est pourquoi les marchés de logs ont développé des mécanismes de filtrage sophistiqués qui permettent aux acheteurs de cibler des profils et des organisations spécifiques.
Plus de 30 familles d'infostealers distinctes sont actuellement actives et listées sur les marchés criminels. Les plus connues incluent Redline, Raccoon, Vidar, StealC, Lumma Stealer, Meta Stealer, Mystic Stealer, et ACR Stealer, mais le catalogue évolue constamment avec l'émergence de nouvelles familles et la disparition d'autres suite à des opérations de démantèlement.
Ce marché concurrentiel entre familles d'infostealers a produit une spécialisation : certaines familles ciblent spécifiquement les gamers et les comptes de jeux vidéo, d'autres les environnements d'entreprise Windows, d'autres encore les utilisateurs macOS ou les plateformes de cryptomonnaie. Les prix varient en fonction des capacités, des taux de détection actuels par les antivirus, et de la réputation du développeur sur les forums criminels.
Les infostealers sont vendus sous forme de Malware-as-a-Service : l'acheteur paie un abonnement mensuel ou par infection réussie, reçoit le builder qui génère l'exécutable personnalisé et le panneau de contrôle qui agrège les logs entrants. Le barrier to entry est intentionnellement bas, ce qui a démocratisé l'accès à ces outils. Un acteur malveillant sans compétences techniques peut opérer une campagne d'infostealer avec un investissement de quelques centaines de dollars et une connexion à un forum approprié.
Les logs produits par les infostealers transitent par plusieurs couches de commercialisation avant d'être utilisés. La première couche est la vente directe de logs bruts sur des marchés spécialisés comme Russian Market, 2easy Shop, et leurs équivalents Telegram. Ces marchés vendent des logs individuels ou en packs, avec des métadonnées qui incluent la date de l'infection, la géographie, les services identifiés dans le log (présence de credentials Microsoft, Google, crypto, etc.), et le prix demandé.
La deuxième couche est celle des brokers, des acteurs qui achètent des logs en volume et les revendent avec une valeur ajoutée. Les brokers filtrent les logs pour en extraire les credentials d'organisations spécifiques, vérifient lesquels sont encore valides, et proposent des services de recherche sur mesure. BleepingComputer a documenté en 2026 le segment de marché dit "search your target" : des services qui permettent à un acheteur d'entrer le nom de domaine d'une organisation cible et de recevoir tous les credentials correspondants extraits d'un corpus de logs, à des prix allant de quelques euros pour des credentials communs à plusieurs centaines d'euros pour des accès vérifiés à des systèmes d'entreprise.
La troisième couche est celle des services de vérification. Une fois qu'un acheteur dispose d'un lot de credentials, il peut les faire passer par des services de validation automatisée qui testent chaque paire identifiant/mot de passe contre les endpoints d'authentification réels pour confirmer que le credential est encore actif. Les credentials validés sont revendus avec une prime significative. C'est la raison pour laquelle le délai entre la mise en vente d'un log et l'utilisation active des credentials qu'il contient est parfois très court : un credential validé automatiquement peut être utilisé le jour même de son achat.
La durée de vie utile d'un log d'infostealer dépend du type de données qu'il contient. Les cookies de session ont la durée de vie la plus courte : ils expirent généralement en quelques heures ou quelques jours, selon la configuration de timeout de session du service concerné. Un cookie de session Microsoft 365 extrait aujourd'hui peut permettre un accès pendant 24 à 72 heures sans réauthentification, selon les paramètres du tenant de l'organisation.
Les mots de passe ont une durée de vie potentiellement beaucoup plus longue. Si le mot de passe extrait n'a pas été changé depuis l'infection, et si l'organisation victime n'a pas détecté la compromission, le mot de passe reste utilisable indéfiniment. Les études de réutilisation de mots de passe montrent que la majorité des utilisateurs ne changent leur mot de passe que s'ils y sont contraints, ce qui signifie qu'un mot de passe extrait il y a plusieurs mois reste souvent valide.
Cette durée de vie variable crée une fenêtre de détection théorique entre la mise en vente d'un log et l'utilisation de ses données par un acheteur. Dans les cas où les données les plus sensibles sont les cookies de session, cette fenêtre est de quelques heures. Dans les cas où les données les plus sensibles sont des mots de passe qui n'ont pas été rotés depuis l'infection, cette fenêtre peut être de semaines ou de mois. Une surveillance dark web qui détecte la mise en vente d'un log contenant des credentials de votre organisation dans cette fenêtre, et qui déclenche une réponse immédiate (révocation des sessions, changement des mots de passe concernés), peut neutraliser la menace avant qu'elle soit exploitée. C'est la promesse opérationnelle de la surveillance dark web en temps réel.
Une proportion significative de l'activité des marchés de logs criminels se déroule sur des plateformes francophones ou sur des canaux Telegram dans lesquels le français est la langue principale. Forums spécialisés, canaux Telegram privés, groupes Discord criminels, tous ces vecteurs ont des segments francophones qui commercialisent des logs ciblant des organisations européennes, nord-africaines, et d'Afrique francophone.
La plupart des plateformes de surveillance dark web sont optimisées pour les sources anglophones et russophones. Elles indexent Russian Market, les forums russophone du dark web, et les sources anglophones. Elles manquent systématiquement les canaux francophones où des logs d'organisations françaises, belges, suisses, marocaines, tunisiennes et algériennes sont vendus.
Pour une organisation francophone ou opérant dans une région francophone, cette lacune de couverture n'est pas théorique. Elle signifie qu'une partie de l'exposition dark web n'est pas couverte par les outils standards du marché. Une surveillance qui couvre les sources francophones, avec des opérateurs humains capables de lire et d'interpréter le contenu dans cette langue, n'est pas un luxe mais une exigence de couverture. Comprendre son exposition réelle aux credentials nécessite une surveillance qui va là où les données circulent effectivement.
Si les marchés dark web classiques comme Russian Market et leurs équivalents restent des canaux importants pour la vente de logs d'infostealers, Telegram est devenu en 2025-2026 l'infrastructure centrale de l'écosystème. Des milliers de canaux Telegram sont dédiés à la distribution de logs, à la vente de credentials ciblés, aux discussions sur les campagnes d'infostealing en cours, et à la coordination entre opérateurs d'infostealers et acheteurs.
L'avantage de Telegram pour les opérateurs criminels est multiple. La plateforme offre des canaux et des groupes avec un contrôle d'accès flexible, permettant de créer des communautés fermées pour les acheteurs sérieux et des canaux publics pour la publicité. Les bots Telegram permettent d'automatiser la distribution de logs, la vérification des paiements, et la livraison des données achetées sans intervention humaine. La modération de contenu sur Telegram, bien qu'améliorée par rapport aux années précédentes, reste insuffisante pour éliminer ces communautés qui migrent rapidement vers de nouveaux comptes quand elles sont supprimées.
Pour les équipes de surveillance du dark web, la couverture des canaux Telegram est aussi importante que la couverture des marchés dark web traditionnels. Une surveillance qui se concentre sur les marketplaces accessibles via Tor mais ignore les canaux Telegram manque une proportion significative de l'activité de distribution de logs. La surveillance de Telegram nécessite des approches différentes des marchés dark web : les canaux changent de nom et migrent régulièrement, les accès aux groupes privés nécessitent soit d'être invités, soit d'opérer des comptes leurres, et le volume de contenu sur les canaux actifs peut être très élevé, nécessitant des capacités de filtrage et de traitement automatique importantes pour identifier les mentions pertinentes d'une organisation cible.
La sophistication croissante des outils de vérification automatique de credentials change la temporalité des attaques issues de logs d'infostealers. Un attaquant qui achète un lot de logs en 2026 n'a pas besoin de vérifier manuellement quels credentials sont encore actifs. Des services automatisés prennent en entrée une liste de paires identifiant/mot de passe, les testent contre les endpoints d'authentification appropriés (en gérant la rotation d'IP pour éviter les blocages), et retournent une liste filtrée des credentials qui ont passé la vérification avec succès.
Ce processus de vérification peut s'exécuter en quelques heures pour un lot de plusieurs dizaines de milliers de credentials. Cela signifie que la fenêtre entre l'achat d'un log sur le marché et la disponibilité de credentials vérifiés pour utilisation est maintenant mesurée en heures plutôt qu'en jours. Les organisations qui détectent la présence de leurs credentials dans un log via leur surveillance dark web ont une fenêtre de réponse plus étroite qu'elles ne l'imaginent souvent : il ne s'agit pas de jours, mais potentiellement d'heures avant que les credentials ne soient validés et utilisés.
Cette réalité temporelle impose des exigences précises sur la maturité opérationnelle d'un programme de surveillance dark web. La détection seule ne suffit pas ; il faut une capacité de réponse qui peut être activée en dehors des heures de bureau, qui peut exécuter la révocation de sessions et la réinitialisation de mots de passe pour un compte donné en quelques minutes, et qui dispose de processus clairs pour informer l'employé concerné et pour auditer les accès suspects qui ont pu se produire entre l'infection et la détection. La surveillance dark web en temps réel n'a de valeur opérationnelle que si la réponse qui lui est associée est aussi rapide que la menace qu'elle surveille.
Pour rendre concret ce que représente la présence de logs d'un employé sur un marché criminel, voici ce qu'un log typique d'une infection par Lumma Stealer ou Redline sur la machine d'un employé de bureau en France contient. Tous les identifiants enregistrés dans Chrome, Firefox ou Edge pour les services professionnels : l'espace client de l'opérateur télécom de l'entreprise, le portail de gestion des notes de frais, l'accès au logiciel comptable, les identifiants de la messagerie et du calendrier d'entreprise, les accès aux outils de visioconférence. Les cookies de session actifs pour Microsoft 365 ou Google Workspace, qui permettent d'accéder immédiatement aux emails, aux fichiers partagés, et aux outils collaboratifs sans mot de passe. Les fichiers récemment ouverts qui correspondent aux patterns ciblés par le stealer, incluant les contrats PDF, les tableurs financiers, les présentations clients.
Ce log, une fois mis en vente sur un marché criminel au format structuré, permet à n'importe quel acheteur d'accéder aux mêmes ressources que l'employé infecté avait le jour de l'infection. Le coût d'acquisition pour l'acheteur est typiquement entre 10 et 50 euros pour un log d'utilisateur standard, et plusieurs centaines d'euros pour un log d'utilisateur avec accès à des systèmes sensibles ou des droits d'administration. C'est le rapport entre le coût d'acquisition très bas et la valeur potentielle des accès obtenus qui rend les marchés de logs si attractifs pour les acteurs malveillants. Une surveillance continue de votre exposition aux credentials est la réponse opérationnelle à cette réalité.
Pour comprendre pourquoi les marchés de logs d'infostealers sont aussi actifs et aussi rentables, il est utile de tracer la chaîne de valeur complète depuis l'infection initiale jusqu'à l'exploitation finale. Cette chaîne implique plusieurs acteurs avec des rôles distincts, et sa structure explique pourquoi le marché est résistant aux perturbations partielles.
L'opérateur d'infostealer est l'acteur qui gère l'infrastructure de distribution (les campagnes de phishing, les faux sites, les campagnes de malvertising) et le panneau de contrôle qui agrège les logs entrants. Il vend les logs en volume sur les marchés spécialisés ou directement via des canaux Telegram privés. Ses acheteurs sont de deux types : les acheteurs en volume qui achètent des lots de milliers de logs pour les traiter et les revendre, et les acheteurs ciblés qui cherchent des logs d'organisations spécifiques. Le broker qui achète en volume filtre les logs, les vérifie, et propose des services de recherche ciblée à des acheteurs finaux. L'acheteur final utilise les credentials pour des campagnes d'account takeover, des accès non autorisés à des systèmes d'entreprise, ou de la fraude.
Chaque étape de cette chaîne ajoute de la valeur pour l'acteur suivant. Les logs bruts se vendent quelques centimes à quelques euros pièce selon leur contenu. Les logs filtrés et vérifiés se vendent de quelques euros à plusieurs centaines d'euros selon le profil de la victime et la valeur des accès qu'ils contiennent. Un accès administrateur vérifié à un système d'entreprise peut se vendre plusieurs milliers d'euros sur les marchés d'accès initiaux qui opèrent en parallèle des marchés de logs. Cette structure de prix reflète la valeur que chaque étape de traitement apporte et explique pourquoi chaque maillon de la chaîne est rentable même avec les coûts croissants d'infrastructure et d'evasion.
Un aspect souvent négligé de l'exposition aux logs d'infostealers est la persistance des données historiques. Les credentials extraits par un infostealer il y a 18 mois ne disparaissent pas des marchés criminels quand le log initial est vendu. Ils circulent dans des compilations, sont revendus dans des packs thématiques, et peuvent resurfacer des mois ou des années après l'infection initiale dans un contexte complètement différent.
Pour une organisation, cela signifie que l'exposition à une infection passée dont elle n'a peut-être jamais eu connaissance peut créer un risque réactivé longtemps après l'événement initial. Un employé dont le compte personnel a été infecté par un infostealer deux ans avant sa prise de poste dans l'organisation peut avoir des credentials réutilisés pour des services professionnels qui réapparaissent maintenant dans une compilation revendue. La surveillance dark web qui couvre uniquement les incidents récents manque ce risque de réactivation. Une approche qui indexe et surveille en continu les sources de logs historiques, pas seulement les nouvelles publications, produit une image plus fidèle de l'exposition réelle aux credentials de l'organisation à un moment donné.
Les menaces décrites dans cet article correspondent directement aux catégories d'exposition que Defendis surveille en continu : logs d'infostealers contenant des identifiants d'employés sur le dark web, domaines frauduleux imitant votre marque déposés avant que votre équipe ne les détecte, assets externes exposés invisibles depuis l'intérieur, et données issues de fuites alimentant les attaques opportunistes.
Defendis analyse les forums criminels, les marchés du dark web et les bases de données de fuites pour identifier les données liées à votre organisation avant qu'elles soient exploitées. La surveillance est continue, pas ponctuelle, et couvre les sources en langue française que les plateformes globales manquent systématiquement.
Réservez une démo pour voir Defendis en action.
