Data Troll: fuite de journaux de voleurs d’informations en 2025

Les catégories de données vérifiées dans la fiche Data Troll sont les adresses e-mail et les mots de passe. Dans les journaux de logiciels voleurs d’informations, le site visité par l’utilisateur, son adresse e-mail et le mot de passe capturé lors de cette connexion peuvent généralement apparaître ensemble. Le risque diffère donc de celui d’une fuite classique de la base de données d’un site web. Ici, le problème ne se limite pas à la récupération de la table des utilisateurs d’un service : il peut s’agir d’un logiciel malveillant infectant l’appareil de l’utilisateur et collectant les identifiants présents dans le navigateur, les données saisies dans les formulaires ou les sessions enregistrées. De telles données peuvent faciliter des tentatives rapides de prise de contrôle de comptes si l’utilisateur réutilise le même mot de passe sur d’autres comptes.

Les journaux de logiciels voleurs d’informations contenant des mots de passe sont particulièrement dangereux, car l’attaquant peut essayer directement la valeur capturée au lieu de tenter de deviner le mot de passe. Il ne faut toutefois pas supposer que chaque correspondance d’adresse e-mail s’accompagne d’une ligne complète et à jour associant un site à un mot de passe. La compilation peut contenir des doublons, des données anciennes, des mots de passe déjà observés, des enregistrements dont l’analyse est incomplète ou des fragments ne contenant que des adresses e-mail. Il faut donc éviter de présenter à l’utilisateur le nombre brut repris dans les gros titres comme s’il correspondait au nombre réel de personnes concernées. Le risque réel doit être expliqué à partir du périmètre vérifié des adresses e-mail uniques et du risque de prise de contrôle de comptes lié à la réutilisation des mots de passe.

Le chiffre de 109 532 219 affiché dans la fiche Data Troll correspond au nombre vérifié d’adresses e-mail uniques. Bien que le nombre brut de lignes soit beaucoup plus élevé, une ligne ne correspond pas à une personne. La même adresse e-mail peut apparaître des dizaines de fois pour différents sites; des enregistrements relatifs au même site peuvent être répétés dans plusieurs fichiers; certaines lignes peuvent provenir uniquement d’anciennes compilations. La fiche Data Troll s’appuie donc sur le nombre d’adresses e-mail uniques pertinent pour les utilisateurs et les comptes qu’ils contrôlent, plutôt que de reprendre les chiffres annoncés dans les gros titres. Cette approche permet à la fois de limiter la panique et de se concentrer sur les mesures concrètes à prendre.

La date retenue pour cet événement est juin 2025; cela ne signifie toutefois pas que toutes les données d’identité ont été volées au cours de ce mois. Les compilations de journaux de logiciels voleurs d’informations réunissent généralement des données capturées à différentes périodes. La présence d’un utilisateur dans la fiche Data Troll ne prouve pas que son appareil a été infecté précisément en juin 2025. Les données peuvent provenir d’une ancienne infection, d’un mot de passe déjà diffusé ou d’une liste partagée à nouveau. Ce résultat doit néanmoins être pris au sérieux : si un ancien mot de passe est toujours utilisé, ou si le même mot de passe est réutilisé sur d’autres comptes, le risque persiste.

Les personnes qui utilisent le même mot de passe pour plusieurs comptes sont les plus exposées. Une combinaison adresse e-mail et mot de passe capturée dans des journaux de logiciels voleurs d’informations peut inciter les attaquants à l’essayer sur différents services : messagerie, réseaux sociaux, stockage dans le cloud, jeux, cryptomonnaies, systèmes professionnels ou comptes d’achat en ligne. Le personnel technique, les personnes en télétravail, celles qui utilisent leur adresse e-mail professionnelle sur un appareil personnel et celles qui enregistrent de nombreux mots de passe dans leur navigateur présentent un risque plus élevé. Pour ces personnes, l’infection d’un seul appareil peut entraîner la fuite simultanée d’identifiants de plusieurs services.

Pour les organisations, le risque augmente lorsque des comptes de messagerie de salariés apparaissent dans des journaux de logiciels voleurs d’informations. Cela ne signifie pas directement que le serveur de l’organisation a été piraté : les données proviennent souvent de connexions capturées sur l’appareil personnel ou professionnel du salarié. Du point de vue de l’attaquant, le résultat est toutefois similaire : des identifiants valides peuvent être essayés sur des systèmes d’accès à distance, des consoles de services cloud, des dépôts de code ou des outils de gestion. Pour les comptes professionnels, un simple changement de mot de passe peut donc ne pas suffire : il faut fermer les sessions, nettoyer les appareils, examiner les journaux d’accès suspects et imposer l’authentification multifacteur.

Un utilisateur dont les données correspondent à la fiche Data Troll doit d’abord changer le mot de passe de tous les comptes sur lesquels il a utilisé le même mot de passe. La priorité doit être donnée aux comptes de messagerie, aux comptes bancaires et de paiement, aux comptes professionnels, au stockage dans le cloud, aux réseaux sociaux et aux services pouvant recevoir des liens de réinitialisation de mot de passe. Les nouveaux mots de passe ne doivent pas être de simples variantes des anciens : il faut créer un mot de passe unique et robuste pour chaque compte. Un gestionnaire de mots de passe accélère ce processus et permet de repérer les réutilisations. En parallèle, il faut activer l’authentification à deux facteurs sur les comptes importants et, si possible, fermer les sessions sur tous les appareils.

La deuxième mesure urgente concerne la sécurité des appareils. Un enregistrement dans des journaux de logiciels voleurs d’informations peut signaler une infection passée ou toujours active par un logiciel malveillant. Avant de changer ses mots de passe, l’utilisateur doit analyser son appareil à l’aide d’un logiciel de sécurité à jour, supprimer les extensions de navigateur inconnues, supprimer les logiciels piratés ou les fichiers d’installation d’origine incertaine et mettre à jour le système d’exploitation. Si le même appareil a servi à accéder à des comptes professionnels, l’équipe de sécurité de l’organisation doit être informée, et les mots de passe sensibles ne doivent pas être saisis à nouveau tant que l’appareil n’est pas considéré comme sain. Sinon, le nouveau mot de passe pourrait lui aussi être capturé.

La protection la plus efficace à long terme contre les risques liés aux journaux de logiciels voleurs d’informations consiste à utiliser des mots de passe uniques et à ne pas les considérer comme suffisants, à eux seuls, pour se connecter. Les utilisateurs doivent intégrer durablement les mesures de base à leurs habitudes : gestionnaires de mots de passe, authentification multifacteur, mises à jour des appareils et recours à des sources de logiciels fiables. Les mots de passe enregistrés dans le navigateur doivent être vérifiés régulièrement, les comptes inutilisés doivent être fermés et l’historique des sessions doit être surveillé sur les comptes sensibles. Le compte de messagerie doit également être protégé, car c’est généralement là qu’arrivent les liens de récupération des autres comptes.

La stratégie des organisations doit être plus complète. Les politiques visant à réduire la réutilisation des mots de passe sur les comptes des salariés, l’authentification multifacteur obligatoire, les contrôles de l’état de sécurité des appareils, les alertes de session suspecte et les processus de surveillance des fuites d’identifiants doivent fonctionner ensemble. Lorsqu’un journal de logiciel voleur d’informations est détecté, il ne suffit pas de demander à l’utilisateur de changer son mot de passe : l’appareil concerné, les cookies de session, les jetons d’accès, les connexions VPN et les privilèges d’administration doivent également être examinés. Les salariés doivent en outre être régulièrement informés des risques liés aux logiciels voleurs d’informations diffusés par l’intermédiaire de logiciels piratés, de fausses mises à jour, de modules complémentaires et de fichiers utilisés pour l’hameçonnage.

Si le résultat de la vérification sur cette page correspond à la fiche des journaux de logiciels voleurs d’informations Data Troll, l’utilisateur doit y voir non pas une alerte concernant un compte auprès d’une seule marque, mais un risque plus large pour ses identifiants. Les lignes indiquant les sites pour lesquels des données ont été capturées ne sont pas toujours visibles depuis cette page générale. L’utilisateur doit donc faire l’inventaire de ses comptes, commencer à remplacer les mots de passe réutilisés en donnant la priorité aux comptes les plus sensibles et fermer les sessions suspectes. Si une adresse e-mail professionnelle est concernée, il convient d’en informer l’équipe de sécurité de l’organisation. Si des logiciels suspects ont déjà été présents sur un appareil personnel, le nettoyage de cet appareil doit précéder le changement des mots de passe.

Comme la fiche Data Troll peut contenir des données anciennes et reconditionnées, chaque correspondance ne signale pas nécessairement une nouvelle infection de l’appareil; cela ne signifie toutefois pas qu’aucune action n’est nécessaire. Si le même mot de passe est encore utilisé quelque part, le risque de prise de contrôle de compte persiste. L’utilisateur doit considérer cette fiche comme une alerte concrète l’invitant à revoir ses pratiques en matière de mots de passe, à étendre l’usage de l’authentification multifacteur, à fermer les anciennes sessions et à vérifier la sécurité de ses appareils. L’attention se porte ainsi sur le risque réel, qu’il est possible de réduire, plutôt que sur les chiffres exagérés des gros titres.