À la suite de la cyberattaque ayant visé Binance, Assaf Morag, chercheur en cybersécurité chez Flare, spécialiste du renseignement sur les cybermenaces, s’est penché sur cinq années de données dérobées par des logiciels malveillants de type infostealer. Son analyse a permis de retrouver 219 journaux de vol de données contenant 74 noms d’utilisateur distincts associés au domaine professionnel @binance.com.
Tribune Flare – Parmi les données identifiées figurent des identifiants liés à plusieurs outils utilisés dans les infrastructures informatiques des entreprises, notamment Okta, Git, Kibana et JetBrains. Leur présence dans ces journaux soulève la question de l’étendue des accès susceptibles d’être exposés lorsqu’un poste de travail est infecté
Toutefois, aucun élément ne permet de relier ces données historiques à la récente cyberattaque de Binance. Leur analyse révèle néanmoins comment le vol d’informations sur un seul ordinateur peut exposer plusieurs environnements techniques d’une même organisation.
Des identifiants volés qui ouvrent potentiellement la voie aux infrastructures critiques
En examinant les données collectées entre février 2022 et octobre 2026, Assaf Morag a identifié 168 enregistrements d’identifiants associés à 35 noms d’utilisateur @binance.com distincts.
Les résultats font notamment apparaître :
- 49 enregistrements liés à Okta, une solution de gestion des identités et des accès, associés à 15 identifiants distincts.
- 51 enregistrements liés à Kibana, outil de visualisation et d’analyse des données, également associés à 15 identifiants distincts.
- 22 enregistrements concernant LastPass, un gestionnaire de mots de passe, mais correspondant à une seule combinaison identifiant-hôte.
Un cas illustre particulièrement les risques liés à la dispersion des accès professionnels : une même identité apparaît dans des enregistrements associés à Okta, Kibana, Git et JetBrains. Autrement dit, les informations dérobées sur un terminal peuvent concerner simultanément des outils d’authentification, de supervision et de développement logiciel.
Cette exposition ne signifie pas que les cybercriminels disposent effectivement d’un accès à ces systèmes. Les données analysées ne permettent de confirmer ni la validité actuelle des identifiants ni leur exploitation.
Le vol de mots de passe n’est que la partie visible de la menace
Les infostealers ne se contentent pas de dérober des mots de passe. Ils peuvent récupérer des cookies de session, des jetons d’authentification et d’autres informations permettant de réutiliser des sessions déjà ouvertes.
Un simple changement de mot de passe ne suffit donc pas toujours à neutraliser une compromission. Dans certains cas, un cybercriminel peut exploiter une session authentifiée sans avoir à saisir de nouveau les identifiants ni à franchir une nouvelle étape d’authentification multifacteur.
Pour les entreprises, les conséquences potentielles dépassent largement le piratage d’un compte utilisateur : accès à des environnements de développement, déploiement de code malveillant, extraction de données clients ou modification de systèmes sensibles.
Au-delà du cas Binance, cette recherche illustre une évolution du risque cyber : un poste de travail compromis ne représente plus seulement une menace pour son utilisateur, mais peut devenir un point d’entrée vers plusieurs composants critiques de l’entreprise.
L’étude complète est disponible ICI.