Des navigateurs « antidetect », couplés à l’intelligence artificielle, aident des pirates à détourner des comptes avec des cookies de session volés, selon un rapport de Check Point Research relayé le 22 octobre 2026. Un enjeu pour la fraude en ligne en Suisse, où l’Office fédéral de la cybersécurité signale des comptes TWINT et d’e-banking visés.

Le rapport de Check Point Research (CPR), résumé par TechRadar Pro, décrit des outils commerciaux détournés par des escrocs. Ils servent à masquer un appareil, à reprendre des comptes et à créer des milliers de faux profils. Les chercheurs signalent notamment des activités venues de Russie, d’Iran et de Chine.

Qu’est-ce qu’un navigateur « antidetect » ?

Un navigateur classique laisse une empreinte numérique à chaque connexion. Elle comprend la résolution de l’écran, le système d’exploitation ou les polices installées. Ces détails suffisent souvent à reconnaître un appareil d’une session à l’autre.

Un navigateur « antidetect » crée au contraire des profils isolés, chacun avec sa propre empreinte. Plusieurs comptes semblent ainsi venir d’appareils totalement différents. Sans cet outil, une agence qui gère plusieurs comptes depuis un seul navigateur peut déclencher une alerte de sécurité.

Ces logiciels ne sont pas malveillants par nature. Les agences de marketing numérique et les spécialistes de l’affiliation les utilisent pour gérer des réseaux sociaux, des campagnes publicitaires ou des boutiques en ligne. Les plus connus s’appellent Kameleo, AdsPower, Multilogin, GoLogin et Dolphin Anty.

Le piratage de compte est l’usage principal relevé par CPR sur les forums clandestins. Les discussions observées viennent d’acteurs russophones, iraniens et chinois. Elles portent surtout sur Kameleo, AdsPower et Multilogin.

Le procédé repose sur le cookie de session, ce petit fichier qui garde un utilisateur connecté. Le pirate injecte le cookie volé dans un nouveau profil de navigateur. Il prend alors le contrôle du compte correspondant, sans attirer l’attention. Les comptes bancaires et les portefeuilles de cryptomonnaies figurent parmi les cibles privilégiées.

Les chercheurs décrivent d’autres usages frauduleux de ces navigateurs :

  • tester des identifiants de paiement sur des sites marchands sans déclencher d’alerte ;
  • demander des prêts sous de fausses identités ;
  • passer les contrôles de connaissance du client (KYC, pour « know your customer ») ;
  • créer en masse des comptes fictifs, ensuite exploités pour générer des revenus publicitaires frauduleux.

Ce contournement vise directement les contrôles d’identification en ligne que pratiquent les banques et les plateformes de cryptomonnaies.

Ce que l’IA change dans la cybercriminalité

L’intelligence artificielle (IA) fait passer ces fraudes à une autre échelle, selon CPR. AdsPower propose par exemple une intégration avec les grands modèles de langage (LLM) par un serveur Model Context Protocol (MCP). Des processus automatisés pilotés par l’IA peuvent ainsi agir sur différents profils de navigateur.

Le logiciel offre aussi des modèles prêts à l’emploi pour publier des commentaires, distribuer des « J’aime » ou envoyer des messages depuis plusieurs comptes. Avec des contenus générés par IA, une campagne coordonnée demande alors très peu d’intervention humaine. Les escrocs peuvent aussi créer de faux comptes puis les faire vivre progressivement, pour qu’ils paraissent légitimes au moment de l’arnaque.

Les chercheurs résument leur constat dans une déclaration sans détour : « L’écosystème des navigateurs antidetect représente une infrastructure sophistiquée, commercialement mature et de plus en plus pilotée par l’IA, qui a considérablement abaissé les obstacles à la mise en place d’escroqueries ». Selon eux, ces outils disposent d’équipes d’assistance, existent dans des dizaines de langues et sont désormais branchés sur des LLM, « qui permettent de retirer l’opérateur humain de la phase d’exécution ».

Fraude en ligne en Suisse : ce que signale l’OFCS

En Suisse, l’Office fédéral de la cybersécurité (OFCS) observe aussi des prises de contrôle de comptes. Le 20 octobre 2026, il a décrit une nouvelle variante d’hameçonnage liée aux réservations d’hôtels. Ces arnaques visaient surtout les cartes de crédit. Dans les cas récents, les escrocs tentent aussi de reprendre des comptes TWINT et d’e-banking.

Les entreprises s’attendent à une hausse de la cybercriminalité liée à l’IA. Selon l’étude « PME Cybersécurité 2026 » de la Mobilière, publiée par l’OFCS le 22 octobre 2026, quatre petites et moyennes entreprises (PME) suisses sur cinq le prévoient. L’étude note que beaucoup sont bien protégées sur le plan technique, mais doivent progresser sur le plan organisationnel.

Le risque n’est pas théorique pour ces entreprises. Selon le magazine PME, cité dans notre article sur la cyberattaque contre des caisses de pension, un tiers des PME helvétiques ont déjà subi une cyberattaque.

L’OFCS reçoit les signalements volontaires de la population, des entreprises et des autorités. Les exploitants d’infrastructures critiques sont, eux, tenus de lui annoncer leurs cyberincidents depuis le 1er avril 2025. La même semaine, l’office a aussi lancé une alerte sur la faille PHP PHP2Shell, qui touche les serveurs web.

Notre analyse : l’hameçonnage décrit par l’OFCS et les cookies volés décrits par CPR passent par des chemins différents. Ils visent pourtant le même résultat : un compte déjà ouvert, utilisé à l’insu de son titulaire.

Comment protéger ses comptes : sessions, double authentification, alertes

L’OFCS publie une marche à suivre en cas de compte piraté. Elle part d’un constat : on découvre souvent le vol quand il est déjà trop tard. Plusieurs gestes aident à repérer une intrusion plus tôt et à la stopper :

  • vérifier les tentatives de connexion faites depuis des lieux ou à des heures inhabituels ; Apple, Google ou Microsoft envoient une notification dans ces cas ;
  • se méfier des fausses alertes d’accès : ne jamais cliquer sur le lien d’un tel courriel, mais taper soi-même l’adresse du service ;
  • activer l’authentification à deux facteurs partout où c’est possible ;
  • mettre à jour le système et les applications, puis lancer une analyse antivirus, car les pirates volent aussi des données avec des logiciels malveillants ;
  • pour un compte bancaire ou un service financier, contacter immédiatement le prestataire, faire bloquer les cartes et vérifier ses relevés ;
  • pour une messagerie, supprimer toute règle qui redirige des courriels, puis changer les mots de passe des services liés ;
  • déposer plainte auprès de la police cantonale en cas de préjudice financier.

Toutes les méthodes de connexion ne se valent pas. Le 19 octobre 2026, l’OFCS a publié une classification en cinq niveaux, de « faible » à « élevé ». Elle s’appuie sur les niveaux d’assurance du National Institute of Standards and Technology (NIST) américain. L’office l’a adaptée pour intégrer la protection contre l’hameçonnage en temps réel. Ce n’est pas une certification, mais une référence pour choisir une solution.

Notre analyse : un cookie de session correspond à une connexion déjà établie. Fermer ses sessions après usage et surveiller les connexions actives réduit donc la durée pendant laquelle un cookie volé reste utilisable.

Ce que ça change pour une PME

CPR conseille aux équipes de sécurité de ne plus surveiller seulement le comportement des comptes. Les chercheurs recommandent d’examiner aussi les infrastructures techniques :

  • les proxys résidentiels ;
  • les incohérences dans les empreintes numériques des navigateurs ;
  • les comportements inhabituels liés aux cookies de session.

Les entreprises devraient aussi vérifier que leurs systèmes détectent les détournements de comptes fondés sur ces cookies. Notre analyse : pour une PME qui exploite une boutique en ligne, le test d’identifiants de paiement décrit par CPR la concerne directement, puisque ce sont des sites marchands qui servent de terrain d’essai aux fraudeurs.

Ce qu’on ne sait pas encore

Le résumé du rapport publié par TechRadar Pro ne chiffre pas le nombre de comptes détournés, ni les pertes. Il ne donne aucune donnée propre à la Suisse. Les pages de l’OFCS consultées ne disent pas non plus quelle part des comptes piratés en Suisse l’a été par un cookie de session volé. Enfin, le résumé n’indique pas comment les éditeurs de ces navigateurs réagissent aux usages frauduleux de leurs outils.

Sources