Quand une boîte mail se fait pirater, le premier réflexe est de changer son mot de passe. C’était sans compter sur l’ingéniosité des pirates. Depuis le début du mois de novembre, un malware circule, et vise directement Gmail. La promesse : permettre un accès aux comptes de la victime, même si elle change de mot de passe.
Pas besoin de voler les cookies quand on squatte le navigateur
Le malware en question s’appelle Remus Stealer. C’est un infostealer, un logiciel malveillant qui s’installe sur un ordinateur pour aspirer mots de passe, cookies de session et portefeuilles de cryptomonnaies. Repéré au début de l’année 2026 par les chercheurs de Gen Digital, il peut être loué par abonnement. Sa version 1.3.9 ajoute une option réservée à la formule « Enterprise », facturée 1 000 $ par mois : la lecture des boîtes Gmail des victimes, directement depuis le panneau de contrôle du malware.
Le cœur de l’argument commercial est terrifiant : le malware « interagit avec la mémoire du navigateur, s’exécute, puis se ferme ». Une différence de taille : depuis des années, les infostealers volent surtout des cookies de session, ces petits fichiers qui évitent de retaper son mot de passe à chaque visite. Copiés sur une autre machine, ils ouvrent le compte sans identifiants ni double authentification.
Remus affirme justement ne pas toucher aux fichiers de cookies. Un malware qui opère à l’intérieur du navigateur pendant que la session est active profite de la session légitime, clé matérielle comprise. Depuis 2016, Google révoque pourtant automatiquement les jetons OAuth donnant accès à Gmail dès que l’utilisateur change son mot de passe. Pour lire une boîte Gmail, Remus doit d’abord tourner sur l’ordinateur de la victime. Ce type de malware arrive le plus souvent par des publicités piégées, des logiciels crackés ou de faux téléchargements. Attention donc aux liens que vous ouvrez, et aux pièces jointes que vous ouvrez. Votre boîte mail sert généralement d’adresse de récupération pour la banque, les réseaux sociaux, parfois le gestionnaire de mots de passe. Un pirate capable d’y accéder s’offre l’intégralité de votre vie numérique sur un plateau.
Comment se protéger ?
Le simple changement de mot de passe ne suffit pas face à ce type d’intrusion. Il faut isoler la machine infectée, la nettoyer, puis tout modifier depuis un appareil sain. Depuis votre compte Google, prenez soin de vous déconnecter des appareils inconnus et de retirer l’accès aux applications tierces suspectes. Vérifiez aussi vos règles de transfert Gmail, ainsi que les filtres et les délégations. Un pirate qui a eu la main quelques minutes peut y installer une redirection automatique qui survivra à tout le reste.
