Une nouvelle base de données exposée contenant environ 24 milliards d'enregistrements d'identifiants souligne une réalité persistante pour les responsables de la cybersécurité : le compromis d'identité reste l'une des voies les plus rapides entre l'exposition externe et l'impact sur l'entreprise.

La base de données, un cluster Elasticsearch ouvert contenant plus de 8,3 téraoctets de données, dont des noms d'utilisateur volés, des adresses électroniques, des mots de passe en clair et les services auxquels ces identifiants étaient destinés. Bien que la base de données ait été retirée de la circulation peu après sa découverte, le risque ne disparaît pas une fois l'accès public supprimé. Si des identifiants ont déjà été collectés, copiés, échangés ou réutilisés, les organisations concernées peuvent continuer à être confrontées à des prises de contrôle de comptes, des fraudes, des mouvements latéraux et des risques de rançongiciels.

Pour les RSSI, les DSI, les responsables des risques et les propriétaires de la sécurité d'identité, l'incident concerne moins un référentiel exposé qu'il ne concerne l'ampleur et la maturité de l'économie de l'abus d'identifiants.

Ce Qui a été exposé

Le jeu de données contenait environ 24 milliards d'enregistrements, avec des chercheurs estimant que la majorité était journaux d'infostealer. Les infostealers sont des familles de logiciels malveillants conçues pour collecter des identifiants, des cookies de navigateur, des jetons de session, des données de portefeuille de crypto-monnaie et d'autres informations sensibles à partir des appareils infectés.

Dans ce cas, les enregistrements exposés étaient en grande partie structurés comme des entrées d'informations d'identification individuelles, incluant couramment :

• Noms d'utilisateur ou adresses e-mail

• Mots de passe en clair

• URL ou services associés à ces identifiants

• Données agrégées provenant de bases de données sur les fuites de données, de chaînes Telegram et d'autres sources liées à la cybercriminalité

Les enregistrements proviennent de 36 sources distinctes. Plus de Parmi ces sources, 30 étaient des chaînes Telegram, beaucoup d'activités liées à la cybercriminalité et à l'échange d'identifiants volés. Au-dessus 1,7 milliard d'enregistrements étaient liées à des sources issues de Telegram, les données étant disponibles à la fois en anglais et en russe.

La plus grande partie, environ 22,6 milliards d'enregistrements, a été qualifiée de “ collections ”. Cette appellation est ambiguë. Elle peut faire référence à des ensembles de données provenant d’infostealers ayant déjà fait l’objet de fuites et regroupés, ou à des identifiants classés par services auxquels ils donnent accès. La base de données ayant été retirée de l’espace public peu après sa découverte, la composition exacte et la provenance de cette catégorie “ collections ” n’ont pas pu être entièrement vérifiées.

Pourquoi cela est important pour la gestion des risques d'entreprise

La divulgation de données d'identification à une telle échelle engendre des risques dans tous les grands secteurs, notamment les services financiers, la santé, l'industrie manufacturière, l'énergie, le secteur public, le commerce de détail, les télécommunications, la logistique et les plateformes technologiques.

La menace la plus immédiate est prise de contrôle de compte. Lorsque les utilisateurs réutilisent les mêmes mots de passe pour leurs comptes personnels et professionnels, le vol d'identifiants des consommateurs peut devenir un problème de sécurité pour l'entreprise. Les pirates testent systématiquement les identifiants exposés sur les VPN d'entreprise, les plateformes cloud, les applications SaaS, les systèmes de messagerie, les environnements de développement, les outils d'accès à distance et les portails clients.

Cela a des implications directes pour :

• Services financiers : la fraude, la compromission des paiements, l'abus d'accès privilégié et la surveillance réglementaire.

• Soins de santé : accès non autorisé aux données des patients, points d'entrée des ransomwares et perturbation des opérations cliniques.

• Industrie manufacturière et infrastructures essentielles : compromission d'accès à distance, pivotement IT/OT, perturbation de la production et risque opérationnel lié à la sécurité.

• Commerce de détail et commerce électronique : usurpation de compte client, fraude liée aux programmes de fidélité, abus en matière de paiement et atteinte à la réputation.

• Technologie et fournisseurs de SaaS : compromission des locataires, divulgation du code source, fuite d'informations confidentielles et perte de confiance des clients.

• Secteur public : exposition des données des citoyens, interruption de service, constatations d'audit et manquements en matière de responsabilité.

Résumé pour la direction : La fuite d'identifiants n'est pas seulement un problème de sécurité des identités. C'est aussi un enjeu lié à la continuité d'activité, à la fraude, à la conformité et à la résilience.

Le rôle des logiciels de vol d'informations dans les intrusions informatiques actuelles

Les malwares de type infostealer sont devenus une chaîne d'approvisionnement essentielle pour la cybercriminalité. Au lieu d'exploiter directement une vulnérabilité, les attaquants peuvent acheter ou obtenir des identifiants fonctionnels volés sur des points d'extrémité infectés. Ces identifiants peuvent inclure l'accès aux systèmes de l'entreprise si des employés se sont connectés à des applications professionnelles depuis des appareils personnels compromis ou non gérés.

Ce modèle abaisse la barre d'entrée pour les attaquants. Ils n'ont plus besoin de pénétrer par une exploitation avancée s'ils peuvent simplement se connecter avec des identifiants valides.

Les données dérivées des infostealers peuvent également inclure des cookies de navigateur ou des jetons de session, qui peuvent parfois aider les attaquants à contourner les mots de passe ou à réduire l'efficacité des contrôles de connexion traditionnels. Même lorsque les mots de passe sont modifiés, les sessions compromises et la mauvaise gestion des jetons peuvent rester un risque si les processus de détection et de révocation ne sont pas matures.

Pour les responsables de la sécurité, cela renforce la nécessité de considérer l'identité comme une surface d'attaque principale, et non comme une simple fonction administrative.

Signaux d'un référentiel d'identifiants activement maintenu

La base de données exposée ne semblait pas contenir uniquement des données d'anciennes violations. Elle incluait également des indicateurs suggérant une surveillance continue du paysage de la cybersécurité.

Parmi les records inhabituels figuraient :

• Autour 17 000 entrées contenant des identificateurs de vulnérabilité CVE et des liens GitHub

• Plus de 5 200 journaux d'articles sur des violations de données récentes

• Presque 2 900 journaux de publications sur les réseaux sociaux concernant les incidents de cybersécurité

• Références à des événements de sécurité récents, y compris du matériel publié aussi récemment qu'au début de 2026

Cela suggère que la personne qui gérait la base de données suivait peut-être les nouvelles vulnérabilités, les violations et les fuites pour maintenir la collection d'informations d'identification à jour.

Cette distinction est importante. Une archive de violations statique est dangereuse, mais un référentiel d'informations sur les identifiants activement maintenu est plus utile aux attaquants. Il peut soutenir le bourrage d'identifiants en continu, le détournement de compte ciblé, le phishing, le courtage d'accès initial et la priorisation des victimes en fonction des événements de sécurité actuels.

Incertitudes que les décideurs devraient reconnaître

Plusieurs détails importants restent flous. Le nombre exact d'identifiants uniques n'est pas connu car le jeu de données peut contenir des doublons. L'âge de nombreux enregistrements est également incertain. Certains identifiants peuvent être obsolètes, tandis que d'autres peuvent être encore valides. Le propriétaire ou l'opérateur de la base de données n'a pas été confirmé.

Ces incertitudes ne doivent pas mener à l'inaction. Dans les événements d'exposition de credentials, le risque pratique n'est pas de savoir si chaque enregistrement est valide. Le risque est qu'un faible pourcentage de credentials valides, à cette échelle, puisse créer une exposition significative.

Point clé : Les programmes de sécurité doivent partir du principe que certaines identités d'employés, de prestataires, d'administrateurs, de services et de clients circulent déjà dans les réseaux criminels.

Actions prioritaires pour les responsables de la sécurité

Les organisations doivent traiter les fuites de données d'identification à grande échelle dans le cadre d'un programme permanent de protection de l'identité, et non comme un incident ponctuel.

Appliquer une authentification multifacteur résistante au hameçonnage

L'authentification multi-facteurs reste l'une des défenses les plus efficaces contre la réutilisation des mots de passe et les attaques par substitution d'identifiants. Cependant, toutes les MFA ne se valent pas.

Prioriser les méthodes plus robustes pour les accès à haut risque, notamment :

• Comptes administrateurs privilégiés

• Consoles cloud et fournisseurs d'identité

• VPN et services d'accès à distance

• Plateformes d'email et de collaboration

• Environnements de développement et dépôts de code source

• Plateformes financières, de paiement, RH et de données clients

Dans la mesure du possible, progresser vers authentification multifacteur résistante au hameçonnage, tels que les clés de sécurité FIDO2 ou les passkeys, en particulier pour les rôles privilégiés et sensibles.

2. Détection des attaques par bourrage d'identifiants et des comportements de connexion suspects

Les équipes de sécurité doivent veiller à ce que les journaux d'identité et d'application soient surveillés afin de détecter tout schéma associé à l'utilisation abusive automatisée des identifiants.

Les indicateurs utiles comprennent :

• Connexions échouées à haut volume sur de nombreux comptes

• Connexions réussies provenant de zones géographiques ou d'infrastructures inhabituelles

• Pulvérisation de mots de passe contre les services d'accès à distance

• Événements de voyage impossibles

• Connexions provenant de services d'anonymisation connus, de botnets ou de fournisseurs d'hébergement suspects

• Nouvelles inscriptions d'appareils suite à des événements d'authentification inhabituels

La détection devrait couvrir non seulement les fournisseurs d'identité d'entreprise, mais aussi les portails clients, les plateformes SaaS, les systèmes d'accès privilégié et les chemins d'accès à distance tiers.

3. Réduire la réutilisation des mots de passe et les méthodes d'authentification obsolètes

La réutilisation des mots de passe reste l'une des principales raisons pour lesquelles les données d'anciennes violations continuent d'avoir de la valeur. Les responsables de la sécurité devraient investir dans des contrôles qui réduisent la dépendance aux mots de passe au fil du temps.

Les étapes pratiques comprennent :

• Bloquer les mots de passe compromis connus lors des changements de mot de passe

• Désactivation des protocoles d'authentification hérités lorsque cela est possible

• Application de mots de passe uniques pour les comptes privilégiés et de service

• Accélérer l'adoption des passkeys ou de l'authentification sans mot de passe pour les groupes d'utilisateurs appropriés

• Renforcement des processus de réinitialisation de mot de passe et de récupération de compte

L'authentification héritée est particulièrement risquée car elle peut ne pas prendre en charge la MFA ou les contrôles d'accès conditionnels modernes.

4. Examiner l'exposition des appareils personnels et non gérés

Les infostealers s'exécutent souvent sur des appareils non gérés utilisés pour la navigation personnelle, les jeux, le partage de fichiers ou l'accès non officiel au travail. Si les employés utilisent des appareils personnels pour accéder aux applications SaaS de l'entreprise, les identifiants de l'entreprise peuvent être capturés en dehors des contrôles des points d'extrémité de l'entreprise.

Les organisations devraient réévaluer :

• Politiques d'appareils personnels

• Exigences d'accès conditionnel

• Vérifications de conformité des appareils

• Contrôles de session du navigateur

• Accès des points de terminaison non gérés aux applications sensibles

• Pratiques d'accès des tiers et des entrepreneurs

L'objectif n'est pas de bloquer inutilement la productivité, mais de garantir que l'accès sensible est lié à des identités de confiance, des appareils de confiance et des contrôles de session appropriés.

5. Renforcer la réponse aux incidents en cas de compromission d'identité

Les plans de réponse aux incidents devraient couvrir explicitement les scénarios d'exposition de credidentiels et de prise de contrôle de compte. De nombreuses organisations ont encore des playbooks de réponse aux malwares matures mais des flux de travail d'incident d'identité plus faibles.

Un playbook d'identité pratique devrait inclure :

1. Identification rapide des utilisateurs ou systèmes affectés.

2. Réinitialisations de mot de passe ou révocation des identifiants basées sur le risque.

3. Invalidation du jeton de session là où c'est pris en charge.

4. Examen de la réinitialisation MFA pour détecter l'enrôlement d'un attaquant.

5. Revue des accès privilégiés.

6. Examen médico-légal des règles de boîte aux lettres, des attributions OAuth, des jetons d'API et des accès cloud.

7. Flux de travail de notification pour les équipes juridiques, de conformité, de fraude et de support client lorsque nécessaire.

Gouvernance et implications au niveau du conseil d'administration

L'exposition des identifiants à cette échelle devrait être discutée en termes commerciaux. Le conseil d'administration et la direction générale n'ont pas besoin de tous les détails techniques, mais ils doivent comprendre comment la compromission des identités peut affecter les revenus, les opérations, la conformité, les clients et la résilience.

L'encadrement exécutif utile comprend :

• “Les identifiants valides constituent désormais une voie d'intrusion majeure.”

• “La réutilisation des mots de passe transforme les violations externes des consommateurs en risques pour l'entreprise.”

• “La couverture de l'authentification multifacteur (MFA) doit être mesurée par niveau de risque, et non uniquement par pourcentage global.”

• “La télémétrie d'identité est désormais aussi critique que la télémétrie des points d'extrémité et du réseau.”

• “L'accès des tiers et des contractuels doit être réglementé aussi strictement que l'accès des employés.”

Les responsables de la sécurité devraient également aligner la gestion des risques liés aux identifiants sur les exigences d'audit, les attentes en matière d'assurance cyber, les obligations de résilience réglementaire et les engagements de confiance des clients.

Construire la résilience contre l'abus d'identifiants

L'exposition de milliards d'enregistrements d'identifiants renforce une priorité stratégique : les organisations doivent supposer que les mots de passe seront volés, réutilisés, vendus et testés à grande échelle.

La bonne réponse n'est pas la panique. C'est une réduction disciplinée du risque d'identité.

Les organisations qui privilégient l'authentification multifacteur (MFA) résistante au hameçonnage, les contrôles de mots de passe compromis, l'accès conditionnel, la détection de connexions suspectes, la gestion des sessions et une réponse rapide aux incidents d'identité seront mieux placées pour résister aux attaques basées sur les informations d'identification sans ralentir inutilement l'activité.

Point clé à retenir : Considérez l'exposition des identifiants comme un état de fonctionnement continu, et non comme un événement exceptionnel. Les organisations qui gèrent l'identité comme une fonction de résilience essentielle seront mieux préparées pour la prochaine fuite à grande échelle, la prochaine campagne d'infostealers et la prochaine tentative de transformer des mots de passe volés en perturbation opérationnelle.