VoidStealer : vos mots de passe Chrome menacés
Un nouveau malware, VoidStealer, contourne le chiffrement de Chrome pour voler vos mots de passe. Ce que chaque dirigeant de PME doit savoir et faire.
Vous sauvegardez vos mots de passe directement dans Chrome pour gagner du temps ? C'est pratique, certes. Mais un nouveau logiciel malveillant appelé VoidStealer vient de rendre cette habitude particulièrement dangereuse. Ce malware est capable de contourner le chiffrement intégré de Chrome — la protection censée rendre vos mots de passe illisibles — pour les extraire en clair. Résultat : vos identifiants de banque, d'ERP, de messagerie professionnelle peuvent tomber entre de mauvaises mains en quelques secondes, sans que vous ne vous en rendiez compte.
VoidStealer : comment ce malware s'attaque à Chrome
Chrome dispose depuis plusieurs années d'un système de protection des mots de passe enregistrés, basé sur un chiffrement lié à votre session Windows. Concrètement, même si quelqu'un accédait à votre ordinateur, il ne devrait pas pouvoir lire vos mots de passe sans être connecté à votre compte. VoidStealer contourne ce mécanisme en exploitant une technique avancée : il s'exécute dans le contexte de votre propre session utilisateur, au moment où vous êtes connecté, et intercepte les données déchiffrées en mémoire avant qu'elles ne soient protégées. En d'autres termes, il profite de la fenêtre où Chrome manipule vos mots de passe pour les saisir à la volée. Ce type d'attaque, appelé "infostealer" (voleur d'informations), se propage principalement via des pièces jointes malveillantes, des logiciels piratés téléchargés sur Internet, ou des publicités en ligne infectées. Une seule machine compromise dans votre entreprise peut suffire.
Pourquoi les PME sont particulièrement exposées
Dans une grande entreprise, les accès critiques sont en général protégés par plusieurs couches de sécurité : des équipes informatiques dédiées, des politiques strictes de gestion des mots de passe, et des outils de surveillance en temps réel. Dans une PME, c'est rarement le cas. La plupart du temps, les collaborateurs utilisent Chrome comme coffre-fort de mots de passe par commodité, et un seul identifiant compromis peut ouvrir l'accès à votre compte bancaire professionnel, à votre logiciel de gestion (ERP), à votre messagerie ou à vos outils de facturation. Les conséquences concrètes d'un tel vol de mots de passe Chrome en PME peuvent être désastreuses : virements frauduleux, espionnage de vos échanges commerciaux, blocage de votre activité, ou encore revente de vos données à des concurrents. Sans oublier l'impact sur votre responsabilité légale si des données clients sont compromises.
Le vrai problème : faire confiance au navigateur pour gérer vos accès
La sécurité navigateur en entreprise est souvent négligée parce qu'elle semble transparente. Chrome propose d'enregistrer les mots de passe, vous acceptez, et vous ne vous en préoccupez plus. C'est exactement cette habitude que des malwares comme VoidStealer exploitent. Le navigateur n'a pas été conçu pour être un gestionnaire de mots de passe professionnel sécurisé. Il est conçu pour être pratique. Or, pour protéger les accès critiques d'une entreprise, la praticité ne suffit pas. Un gestionnaire de mots de passe dédié — comme Bitwarden, 1Password ou Dashlane Business — stocke vos identifiants de façon chiffrée et isolée du navigateur, avec des couches de protection supplémentaires. Il est aussi nettement plus difficile à cibler par ce type d'attaque.
Ce que vous pouvez faire dès maintenant
1. Supprimez les mots de passe enregistrés dans Chrome. Allez dans les paramètres de Chrome, rubrique "Gestionnaire de mots de passe", et supprimez tous les identifiants stockés. Faites-le sur tous les postes de votre entreprise. 2. Adoptez un gestionnaire de mots de passe professionnel. Des solutions comme Bitwarden (gratuit pour les petites équipes) ou 1Password Business permettent de centraliser et sécuriser tous vos accès, sans dépendre du navigateur. 3. Activez la double authentification (2FA) sur vos comptes critiques. Même si un mot de passe est volé, l'accès reste bloqué sans le second facteur (code SMS, application d'authentification). Faites-le en priorité sur votre messagerie, votre banque et votre ERP. 4. Sensibilisez vos équipes aux pièces jointes et téléchargements suspects. VoidStealer se propage souvent par e-mail ou via des logiciels téléchargés hors des sources officielles. Une simple règle "je ne télécharge pas sans vérifier" peut éviter l'infection. 5. Mettez à jour Chrome et Windows régulièrement. Les mises à jour corrigent les failles de sécurité exploitées par ce type de malware. Activez les mises à jour automatiques sur tous les postes de votre entreprise si ce n'est pas encore le cas.