En avril 2023, le FBI a supprimé un marché du Web sombre sur invitation uniquement appelé Genesis Market. La saisie faisait partie de « l’Opération Cookie Monster », une collaboration du DOJ avec les forces de l’ordre de 17 pays. Ils ont découvert 80 millions d’identifiants volés sur environ 1,5 million d’appareils, y compris des cookies de session qui permettent aux fraudeurs de se connecter au compte d’un utilisateur sans même saisir de mot de passe.
Genesis Market a peut-être disparu, mais des lots de cookies de session divulgués, appelés « journaux de vol », sont toujours récoltés et vendus dans d’autres espaces du Dark Web. En fait, les chercheurs de NordVPN ont dénombré plus de 52,4 milliards de cookies volés dans les données des infostealers entre juin 2025 et 2026. Cela dit, la bonne nouvelle est que les cookies de session volés cessent de fonctionner dès que vous révoquez les sessions actives depuis les paramètres de votre compte. Il est donc important de savoir si vos cookies de session se sont retrouvés sur le dark web, de corriger votre compte si nécessaire et d’éviter de telles fuites en premier lieu.
Qu’est-ce qui rend les sessions de navigation si précieuses ?
Chaque fois que vous vous connectez avec succès à un compte, le site Web transmet à votre navigateur un petit fichier texte appelé cookie de session. À l’intérieur du fichier texte se trouve un identifiant de session unique qui permet au site Web de vous reconnaître instantanément aussi longtemps que vous êtes connecté. De cette façon, vous n’avez pas besoin de continuer à saisir vos informations de connexion à chaque fois que vous accédez à une nouvelle page ou faites une nouvelle demande sur ce site Web.
Les cookies de session ont généralement une période d’expiration allant de quelques heures à plusieurs semaines, à la fin de laquelle vous êtes déconnecté et devez à nouveau saisir vos informations d’identification. Mais le problème est que si quelqu’un d’autre met la main sur vos cookies de session, il peut profiter de cette session connectée en se faisant passer pour vous.
Pour ce faire, les pirates utilisent un type de malware appelé infostealers, qui inclut des noms tristement célèbres comme Lumma, Vidar, StealC, Acreed et Atomic Stealer (AMOS). Ils pénètrent sur votre appareil via des sites Web infectés, des logiciels piratés et de faux installateurs. Une fois entrés, ils espionnent discrètement vos activités pour extraire les mots de passe, les codes PIN, les données de remplissage automatique et les cookies de session, le tout dans un fichier appelé journal de vol qui est transmis directement au pirate informatique.
Une fois qu’un pirate informatique a accès à ces journaux de vol, il peut les vendre ou les utiliser pour lui-même. Quoi qu’il en soit, dès que quelqu’un importe ces journaux dans son navigateur, il peut effectivement reprendre vos comptes connectés en utilisant ces cookies de session depuis votre appareil. Ils peuvent même utiliser cette fenêtre pour vous déconnecter et réinitialiser vos mots de passe.
Comment les journaux de vol sont vendus sur le dark web
Il existe une chaîne d’approvisionnement du Dark Web très organisée que les attaquants utilisent pour échanger des journaux de vol. Le marché russe a effectivement remplacé Genesis Market en tant que nouvelle vitrine pour les cybercriminels au chapeau noir, bien qu’une grande partie du marché se soit également déplacée vers les chaînes privées sur Telegram.
Selon les analystes des menaces de DarkOwl, environ 180 000 journaux de vol ont été vendus sur le marché russe au cours du premier semestre 2025 seulement. De plus, le marché russe est une vitrine bien conçue à laquelle les utilisateurs peuvent accéder même sans liens Onion ou sans navigateur Tor. Cela signifie que n’importe qui peut s’y rendre et acheter un tas de journaux de vol pour commencer à tenter des rachats de comptes à grande échelle.
Pendant ce temps, Flare Research estime que ce chiffre est loin d’être comparable à l’ampleur réelle de la menace, car 90 % des journaux de vols apparaissent désormais en privé sur Telegram. Là-bas, des chatbots automatisés permettent aux escrocs d’acheter des journaux de voleurs comme sur Amazon, avec des options de filtrage par pays, application et privilège de compte. Les journaux se vendent entre 5 $ et 500 $ pièce, selon la valeur estimée des comptes cibles.
Comment vérifier si vos cookies de session ont fui
Il n’existe pas une seule base de données qui assure le suivi de chaque cookie ou identifiant volé, mais il existe quelques moyens conviviaux de vérifier si vous pensez que votre compte a été compromis. Il existe davantage d’options pour les utilisateurs professionnels qui peuvent se permettre de dépenser des centaines, voire des milliers de dollars par mois en abonnements pour suivre les menaces du Dark Web, mais celles-ci sont pour la plupart exagérées pour les utilisateurs réguliers.
Le moyen le plus simple de procéder consiste à examiner tous vos appareils actifs et leur emplacement dans les paramètres de votre compte sur la plupart des sites Web. Si vous voyez un appareil ou un emplacement que vous ne reconnaissez pas, vous faites probablement l’objet d’une violation continue. Cependant, gardez à l’esprit que cette méthode n’est pas toujours fiable si vous utilisez iCloud Private Relay ou un VPN. Néanmoins, il est généralement recommandé de se déconnecter de toutes les sessions actives de temps en temps et d’effectuer une nouvelle connexion pour invalider toute session non autorisée.
Deuxièmement, Have I Been Pwned est un service gratuit qui suit les informations d’identification volées sur les principaux forums et marchés du Dark Web. Il ne suit pas réellement les cookies de session, mais si votre adresse e-mail ou votre mot de passe a été piraté, on peut dire sans se tromper qu’ils ont probablement aussi vos cookies de session. Vous pouvez même vous inscrire pour recevoir des notifications afin d’être alerté dès qu’un de vos comptes apparaît dans une fuite de données. Bien qu’il n’existe pas beaucoup d’outils de surveillance du Dark Web destinés aux consommateurs qui suivent les cookies de session, les forfaits Complete ou Prime de NordVPN incluent un service de surveillance en temps réel des sessions détournées qui analyse activement le Dark Web à la recherche de fuites susceptibles de vous affecter.
Que faire si vos sessions sont compromises
Maintenant que nous avons abordé la détection, parlons de ce qu’il faut faire lorsque vous avez confirmé que vos cookies de session ont été volés et que vous êtes victime d’une violation continue. N’oubliez pas que l’ordre dans lequel vous suivez les étapes ci-dessous est important. Si vous les effectuez dans le mauvais ordre, cela donnera aux attaquants toutes les opportunités dont ils ont besoin pour reprendre vos comptes une fois que vous aurez terminé.
-
Commencez par exécuter une analyse antivirus complète sur tous les appareils que vous possédez. Les attaquants ne peuvent pas mettre la main sur vos cookies de session à moins d’infecter d’abord votre appareil. Supprimez tous les logiciels malveillants signalés par votre antivirus lors de l’analyse, puis effectuez une nouvelle installation de votre système d’exploitation si vous pouvez gagner du temps.
-
Réinitialisez les mots de passe de votre compte de messagerie, activez l’authentification à deux facteurs pour une protection supplémentaire et déconnectez-vous de toutes les sessions avant de vous reconnecter. Votre boîte de réception est le point d’entrée unique de la plupart des attaques, car c’est là que la plupart des sites Web envoient leurs codes de vérification ou leurs liens magiques.
-
Déconnectez-vous de toutes les sessions actives sur chaque compte que vous soupçonnez être compromis. Cela déconnectera tous les attaquants qui sont actuellement sur une session de navigation piratée.
-
Changez vos mots de passe sur chaque plateforme par ordre de priorité. Commencez par les sites Web bancaires, les fournisseurs de stockage cloud et les gestionnaires de mots de passe.
-
Examinez les intégrations tierces et les autorisations d’application de chaque compte compromis. Révoquez l’accès si vous ne parvenez pas à reconnaître une application ou si elle semble suspecte. Assurez-vous également de faire pivoter toutes les clés API que vous utilisez actuellement, car celles-ci peuvent également avoir été compromises.
Réduire les risques de sécurité liés aux cookies de session
Bien qu’il n’existe pour l’instant aucun moyen infaillible de garantir la sécurité de vos sessions de navigateur, cela pourrait bientôt changer avec l’initiative Device Bound Session Credentials (DBSC). Il s’agit d’une norme Web ouverte qui verrouille efficacement chaque session en ligne connectée avec une clé privée protégée par la puce de sécurité de votre ordinateur, afin que les attaquants ne puissent pas utiliser les cookies de session pour usurper votre identité à partir d’un autre appareil. Google a déjà implémenté DBSC sur Chrome pour les comptes Windows et Google ; Les utilisateurs de Chrome sur macOS accèdent également progressivement à cette fonctionnalité.
Mais même si l’initiative est déjà open source, aucun autre fournisseur en ligne majeur n’a commencé à offrir un support natif pour celle-ci à la date de cet article. Cela signifie que les avantages de sécurité de DBSC sont limités aux services Google tels que Gmail et Docs, Chrome pour Windows et aux sites Web tiers proposant des options d’authentification unique (SSO) pour votre compte Google. Nous pourrions cependant assister à un déploiement plus large dans un avenir proche.
