Encore un journal de voleur SunCloudNew refait surface avec 5 829 enregistrements

Un nouveau journal de voleur lié au jeu de données SunCloudNew a exposé 5 829 enregistrements contenant des mots de passe en clair, des adresses e-mail et les URL de connexion associées, selon la société de renseignement sur les menaces HEROIC. L’équipe de surveillance des violations DarkHive de l’entreprise a identifié cette exposition et propose un outil d’analyse gratuit qui vérifie les données personnelles par rapport à plus de 400 milliards d’enregistrements compromis, issus de violations et de journaux de logiciels malveillants.

Ce n’est pas la première exposition liée à SunCloudNew à refaire surface ces derniers mois. Des journaux de voleur similaires, utilisant la même convention de nommage, sont apparus à plusieurs reprises tout au long de l’année 2026, avec un nombre d’enregistrements oscillant entre un peu plus de 3 000 et plus de 17 000 dans des incidents antérieurs. La récurrence de ce schéma de nommage suggère une opération malveillante active ou un groupe d’acteurs de la menace qui collecte et redistribue en continu des identifiants volés, plutôt qu’une fuite isolée.

Ce qu’est réellement un journal de voleur

Contrairement à une violation de données traditionnelle, où les attaquants infiltrent les serveurs d’une entreprise et extraient une base de données, un journal de voleur provient de quelque chose de plus personnel : un logiciel malveillant installé directement sur l’appareil de la victime. Les logiciels malveillants de type voleur d’informations, souvent appelés infostealers, récoltent discrètement les mots de passe enregistrés, les données de remplissage automatique du navigateur, les cookies de session, et même les identifiants de portefeuilles de cryptomonnaie depuis un ordinateur infecté, puis envoient ces informations à l’attaquant.

Le fichier résultant, appelé journal de voleur, est généralement organisé par URL du site auquel un mot de passe est associé, accompagné de l’adresse e-mail correspondante et du mot de passe en clair. Ces journaux sont fréquemment mis en ligne sur des places de marché clandestines ou, de plus en plus, partagés gratuitement sur des canaux Telegram où les cybercriminels échangent des données volées. Le journal SunCloudNew correspond étroitement à ce modèle : des rapports le décrivent comme un fichier mis en ligne par un utilisateur Telegram, contenant des points d’accès, des adresses e-mail, des informations d’hôte d’API et des mots de passe, le tout en clair.

Ce qui rend les journaux de voleur particulièrement dangereux par rapport aux violations de données plus anciennes, c’est que les identifiants sont à jour et non chiffrés au moment du vol. Il n’y a pas d’algorithme de hachage à casser ni de sel à contourner. Si vos identifiants apparaissent dans l’un de ces journaux, un attaquant possède déjà exactement ce dont il a besoin pour se connecter.

Pourquoi les mots de passe en clair sont un problème plus grave qu’ils n’en ont l’air

Avec 5 829 enregistrements, cette exposition particulière est moins volumineuse que certains des journaux liés à SunCloudNew identifiés plus tôt dans l’année, mais l’échelle n’est pas le seul facteur qui compte ici. Étant donné que le logiciel malveillant capture tout ce que le navigateur avait enregistré au moment de l’infection, un seul appareil infecté peut produire des identifiants pour des dizaines de services sans rapport : portails bancaires, messageries professionnelles, réseaux sociaux et sites d’achat, tout cela regroupé dans le même fichier.

Cet effet de regroupement est précisément la raison pour laquelle la réutilisation des mots de passe reste un risque si persistant. Si l’un des comptes exposés partage un mot de passe avec un compte e-mail, un service financier ou un identifiant professionnel, les attaquants peuvent pivoter d’un seul identifiant volé vers une compromission bien plus large par simple essai et erreur, une technique connue sous le nom de credential stuffing.

Ce que cela signifie pour vous

Si votre adresse e-mail apparaît dans un journal de voleur comme celui-ci, cela signifie généralement qu’un logiciel malveillant était présent sur un appareil que vous avez utilisé à un moment donné, et non pas nécessairement qu’une entreprise de confiance a été piratée. Cette distinction est importante car la correction est différente : changer un mot de passe après une violation d’entreprise ne concerne qu’un seul compte, tandis que nettoyer un appareil infecté et renouveler chaque mot de passe qui y était stocké s’attaque à la source réelle de la fuite.

La réponse pratique est la même, quel que soit le journal de voleur dans lequel vos données apparaissent. Testez votre adresse e-mail avec un outil de vérification de violation réputé, tel que le scanner gratuit mis à disposition par HEROIC pour cette exposition, afin de voir si vos informations figurent parmi les 5 829 enregistrements ou parmi les milliards d’autres en circulation. Si vous obtenez un résultat positif, considérez que tous les mots de passe enregistrés dans votre navigateur à cette époque sont compromis, et pas seulement celui qui a été signalé.

Mesures à prendre

  • Vérifiez votre adresse e-mail à l’aide du scanner gratuit d’HEROIC ou d’une autre base de données de violations réputée pour savoir si vous faites partie de cette exposition.
  • Si vous êtes concerné, changez immédiatement le mot de passe, non seulement pour le compte signalé, mais aussi pour tout autre service où vous l’avez réutilisé.
  • Exécutez une analyse antivirus et anti-malware complète sur tout appareil où vous enregistrez vos mots de passe dans le navigateur, car les journaux de voleur proviennent de machines infectées, et non de sites web piratés.
  • Adoptez un gestionnaire de mots de passe dédié plutôt que de vous fier aux mots de passe enregistrés dans le navigateur, qui sont une cible privilégiée des infostealers.
  • Activez l’authentification à deux facteurs partout où elle est proposée, en particulier sur les comptes de messagerie, les services bancaires et les comptes professionnels, afin qu’un mot de passe volé seul ne suffise pas à obtenir l’accès.

Les journaux de voleur comme l’exposition SunCloudNew rappellent que le vol d’identifiants commence de plus en plus sur les appareils personnels plutôt que sur les serveurs d’entreprise. Pour garder une longueur d’avance, il faut considérer l’hygiène des mots de passe et la sécurité des appareils comme des habitudes permanentes, et non comme des corrections ponctuelles après un gros titre.