Une base de données de 96 Go a exposé 149 404 754 identifiants uniques, dont près de 900 000 liés à des utilisateurs d’iCloud. Le danger ne vient pas d’un serveur Apple forcé à la hache, mais de logiciels malveillants qui dérobent les mots de passe directement sur les appareils.
La divulgation a été signalée le 23 janvier 2026. La base a été analysée avant son retrait. Elle était accessible depuis un simple navigateur, sans chiffrement ni mot de passe. Autrement dit, la serrure était absente, la porte grande ouverte, et le paillasson indiquait presque « servez-vous ».
Les données concernaient des services très variés : messageries, réseaux sociaux, plateformes de streaming, banques, cryptomonnaies, sites de rencontres et administrations. La présence d’identifiants iCloud ne constitue pas une preuve d’une intrusion dans l’infrastructure d’Apple.
Le jardin clos n’avait pas verrouillé la remise
La base regroupait environ 149,4 millions de comptes et de mots de passe, avec les adresses de connexion nécessaires pour retrouver les services concernés. Sa structure, organisée par chemins de sites et identifiants uniques, ressemblait à un index automatisé plutôt qu’à un simple fichier abandonné dans un coin du web.
Le volume continuait d’augmenter pendant la période de retrait. Ce détail compte : il suggère une collecte active de nouvelles données, pas seulement la mise en ligne d’une vieille archive. Des identifiants associés à OutlookYahooNetflixTikTokBinanceRoblox et à des domaines gouvernementaux figuraient dans l’ensemble.
Les comptes liés à des administrations ne donnent pas tous accès à des systèmes sensibles. Ils peuvent toutefois alimenter l’usurpation d’identité, l’hameçonnage ciblé ou une progression vers d’autres comptes lorsque les droits de l’utilisateur sont élevés. Le problème n’est donc pas le chiffre seul, mais la capacité à relier chaque identifiant au bon service.
Le malware vole la clé avant la serrure
Un infostealer peut enregistrer les frappes au clavier, lire les identifiants enregistrés dans un navigateur, récupérer le contenu du presse-papiers et dérober certains jetons de session. Il vise donc l’endroit où l’utilisateur saisit ou conserve ses accès, avant même que ces données atteignent les serveurs d’Apple, de Google ou d’une banque.
Ces logiciels sont appréciés des criminels parce qu’ils sont peu coûteux, automatisables et parfois difficiles à repérer. Une extension douteuse, une application piratée ou un installateur déguisé peut suffire. Un écosystème bien protégé ne peut pas annuler un mot de passe déjà copié sur la machine de l’utilisateur.
iCloud ne peut pas recoller une clé copiée
Photo de RDNE Stock project sur Pexels.
La protection avancée des données d’iCloud renforce le chiffrement de certaines données et réduit l’accès possible en cas de compromission du compte. Elle ne rend pas inutile un compte Apple et son mot de passe valides qui circulent déjà dans une base criminelle. Un mot de passe volé peut servir à tenter une prise de contrôle, une réinitialisation ou une campagne d’hameçonnage personnalisée.
La double authentification complique fortement ces tentatives, surtout lorsque l’attaquant ne possède pas le second facteur. Elle ne justifie pas pour autant de conserver un mot de passe réutilisé depuis 2018, époque où le bouton principal de l’iPhone semblait encore éternel. À ce stade, la priorité consiste à réduire la valeur des identifiants déjà volés.
Le plan de secours, sans jeter son Mac par la fenêtre
Photo de Antoni Shkraba sur Pexels.
Il n’existe pas de méthode publique fiable pour confirmer qu’un compte précis figurait dans cette base. La bonne réaction n’est pas de paniquer, mais de traiter une exposition possible comme un prétexte pour remettre à plat les accès les plus sensibles.
Commencez par un appareil propre. Installez les mises à jour de macOSd’iOSdu navigateur et des extensions. Retirez les logiciels que vous ne reconnaissez pas.
Changez le mot de passe de l’Apple Account. Choisissez une combinaison unique, longue et jamais réutilisée sur une messagerie, un service bancaire ou un réseau social.
Vérifiez les appareils associés. Dans les réglages du compte Apple, retirez les appareils, numéros ou sessions que vous ne reconnaissez pas.
Activez la double authentification. Elle doit couvrir l’Apple Accountl’adresse e-mail principale, les services financiers et les plateformes sociales.
Changez les mots de passe réutilisés. Commencez par l’adresse e-mail, car elle sert souvent à réinitialiser les autres comptes.
Adoptez les passkeys lorsque le service les propose. Ces identifiants cryptographiques ne reposent pas sur un secret à recopier et résistent mieux à l’hameçonnage classique.
Un gestionnaire de mots de passe permet ensuite de générer un accès différent pour chaque service. Le trousseau n’a rien de glamour, mais il évite de transformer une seule fuite en tournée générale des comptes. La passkey n’est pas une cape d’invisibilité contre un appareil entièrement compromis, mais elle retire aux voleurs une cible particulièrement rentable : le mot de passe réutilisable.
Le trousseau, pas le mot partout
Le risque principal apparaît lorsqu’un même mot de passe protège l’Apple Accountla boîte mail et plusieurs boutiques en ligne. Dans ce scénario, un identifiant volé devient une clé passe-partout. Avec des mots de passe uniques, la fuite reste pénible, sans offrir automatiquement un accès en chaîne à toute la vie numérique.
Le jardin clos garde une porte d’entrée
Apple peut renforcer ses serveurs, son chiffrement et ses mécanismes de détection. La défense reste pourtant incomplète si un infostealer s’installe sur le Mac ou l’iPhone et récupère les accès avant leur sécurisation. La fuite de janvier 2026 rappelle surtout que le vol d’identifiants fonctionne désormais à grande échelle, avec des bases qui grossissent en continu et des copies susceptibles de circuler longtemps.
Le bon réflexe consiste donc à changer les accès depuis un appareil sain, activer la double authentification, abandonner les mots de passe réutilisés et surveiller les appareils liés au compte. Le jardin clos peut avoir de hauts murs. Laisser la clé sur un Mac infecté reste tout de même une idée de génie façon keynote ratée.
Sources et références scientifiques
Andrew Orr. Infostealer malware database exposes millions of iCloud and email passwords. 2026.
Andrew Orr. Infostealer malware database exposes millions of iCloud and email passwords – NewsBreak. 2026.
Data Leak Exposes 149M Logins, Including Gmail, Facebook.
124M Passwords Exposed as Infostealer Malware Hits Millions of Devices.
Bonjour ! Je suis Yves, un passionné de technologie et du web, âgé de 35 ans. J'adore explorer les innovations numérique et partager mes connaissances avec autrui. Mon objectif est d'aider chacun à naviguer dans l'univers digital avec aisance. Bienvenue sur mon site !
Nous utilisons des cookies pour vous garantir la meilleure expérience sur notre site web. Si vous continuez à utiliser ce site, nous supposerons que vous en êtes satisfait.
