Un voleur d'identifiants, ou infostealer, est un programme qui s'installe discrètement et repart avec le contenu du navigateur et des applications de la machine. Il ne chiffre rien, il ne réclame pas de rançon, il copie et s'en va. La personne ne s'aperçoit de rien jusqu'au jour où un compte lui échappe.

La société Flare a analysé 53 896 machines infectées par un voleur d'identifiants entre le 7 juin et le 12 août 2025, résultats publiés en novembre 2025. 41,47 % de ces infections proviennent d'un fichier lié au jeu vidéo.

Sur l'ensemble des machines, toutes catégories de logiciels confondues, la fonction la plus souvent annoncée par le fichier piégé est le crack, à 17,65 %. Ce chiffre couvre cependant tous les logiciels et pas seulement les jeux : pour les infections liées aux utilitaires, c'est le contournement d'activation qui domine, à 26,13 %.

Quand on isole les infections liées au jeu vidéo, le classement des appâts est différent. La triche arrive en tête avec 21,44 %, devant le mod menu à 20,21 %, puis les « hacks » à 11,30 %. Ces pourcentages ne relèvent que les mentions explicites dans les noms de fichiers, ils sous-estiment donc le phénomène.

Les deux premiers appâts du jeu vidéo s'installent sur un jeu qu'on possède déjà. Les titres les plus utilisés le confirment : GTA, Roblox, Valorant, Counter-Strike: Global Offensive et Fortnite arrivent en tête des sources d'infection.

Pour un accompagnement, la conséquence est directe. Le message « ne téléchargez pas de jeux piratés » ne couvre plus le premier vecteur. Le public à sensibiliser inclut désormais des joueurs, souvent jeunes, qui ont payé leur jeu et ne se sentent donc pas concernés par la mise en garde habituelle. La question à poser n'est plus seulement « d'où vient ce jeu », mais « d'où vient ce que tu installes par-dessus ».

Un seul logiciel malveillant, Lumma, représente 71,9 % de ces infections, soit 38 759 machines sur 53 896. StealC suit loin derrière, à 10,4 %.

Microsoft a décrit les méthodes de diffusion de Lumma en mai 2025 : hameçonnage, publicité malveillante, faux CAPTCHA, applications trojanisées. Ce que le programme récupère : identifiants et cookies de navigateur, portefeuilles de cryptomonnaies, fichiers de configuration VPN, clients de messagerie, ainsi que des documents. Le 21 mai 2025, Microsoft, le département de la Justice américain et Europol ont saisi plus de 2 300 domaines de son infrastructure.

Le point le plus souvent manqué concerne les cookies de session. Un cookie de session volé rejoue une connexion déjà authentifiée, sans mot de passe et sans second facteur. Changer les mots de passe après une infection ne suffit donc pas : tant que les sessions actives ne sont pas révoquées, celui qui détient le cookie reste connecté.

L'ordre des opérations compte :

1. Désinfecter ou réinstaller la machine avant toute autre chose, faute de quoi les nouveaux mots de passe repartent aussitôt.

2. Depuis un autre appareil sain, déconnecter toutes les sessions actives de chaque compte. La fonction existe sous des noms variés selon les services : « Déconnecter tous les appareils », « Sessions actives », « Appareils connectés ».

3. Changer les mots de passe, en commençant par la messagerie qui sert à réinitialiser tous les autres.

4. Activer l'authentification à deux facteurs. Elle ne protège pas contre le rejeu d'un cookie déjà volé, mais elle protège la suite.

Un antivirus tenu à jour et jamais désactivé, y compris « juste le temps d'installer un truc ». Cette désactivation volontaire est le geste qui revient le plus souvent dans les récits d'infection, parce que l'alerte de l'antivirus est perçue comme un obstacle à l'installation plutôt que comme un avertissement.