Le 12 novembre 2026, Europol, l'agence de coopération policière de l'Union européenne, a annoncé le démantèlement de l'infrastructure de trois logiciels malveillants : le chargeur Gootloader, le cheval de Troie CastleRAT et l'infostealer Stealc. Cette nouvelle phase d'Operation Endgame a touché 235 serveurs et 257 domaines. Les enquêteurs y ont trouvé plus de 6 millions d'identifiants volés, que les criminels comptaient revendre. Pour les victimes, c'est le moment de vérifier et de sécuriser ses comptes.
Gootloader, CastleRAT, Stealc : trois outils, trois rôles
Les trois logiciels ne font pas le même travail, selon le communiqué d'Europol. Ensemble, ils couvrent la chaîne d'une attaque : entrer dans un ordinateur, le contrôler, puis en extraire les données.
| Logiciel | Type | Fonctionnement décrit par Europol | Bilan de l'action |
|---|---|---|---|
| Gootloader | Chargeur (« dropper » ou « loader ») | Faux documents juridiques diffusés par des sites piratés, souvent sous WordPress | 14 serveurs et 218 domaines coupés, 681 sites infectés nettoyés |
| CastleRAT | Cheval de Troie d'accès à distance (RAT) | Prise de contrôle d'un ordinateur à distance, détection difficile | 120 serveurs et 39 domaines saisis |
| Stealc | Voleur de données avec fonction de chargeur | Extraction des mots de passe, des accès enregistrés et des identités numériques | 102 serveurs démantelés |
Gootloader sert de porte d'entrée. La victime télécharge un faux document juridique sur un site compromis et infecte ainsi son ordinateur. Selon le Département américain de la Justice (DOJ), l'appareil rejoint alors un réseau de machines piratées, un botnet. Ses exploitants vendaient ensuite l'accès à ces ordinateurs à des groupes de rançongiciels.
Le DOJ donne l'ampleur du phénomène dans son communiqué du 12 novembre 2026. Depuis 2018, Gootloader a infecté au moins 25'000 ordinateurs dans le monde. Il a servi à des attaques par rançongiciel contre au moins 44 victimes aux États-Unis, pour quelque 28,8 millions de dollars de pertes. Le DOJ affirme avoir retiré le logiciel de plus de 100 serveurs, dont des sites WordPress compromis. Ce chiffre diffère des 14 serveurs comptés par Europol, sans que les deux communiqués expliquent l'écart.
CastleRAT est connu depuis 2025, précise Europol. Son usage a conduit au chiffrement de nombreuses données et à la paralysie de systèmes entiers. Des entreprises et des organisations ont dû payer une rançon. Quant à Stealc, l'action de novembre prolonge celle de juin 2026, selon Europol.
Pourquoi un infostealer vise vos identifiants
Un infostealer est un logiciel conçu pour voler les données de connexion d'un ordinateur infecté. Europol décrit l'usage qu'en faisaient les suspects : ils revendaient les identifiants volés, qui servaient ensuite à d'autres attaques, comme des rançongiciels. L'agence parle d'un modèle de « cybercrime-as-a-service », où ces outils se louent pour commettre d'autres délits.
Le chiffre exact varie selon la formulation. Le titre du communiqué d'Europol annonce 6,4 millions de jeux de données de victimes. Son texte parle de plus de 6 millions d'identifiants, trouvés sur l'infrastructure saisie pendant la semaine de l'action. Le média suisse Inside IT a repris, le 13 novembre 2026, le chiffre de 6,4 millions.
Notre analyse : un identifiant volé ouvre un compte sans forcer de serrure. 2clics l'a vu en Suisse en octobre 2026 : un intrus a consulté le portail de la fédération de hockey avec les identifiants d'un seul utilisateur, lors de la fuite de données de Swiss Ice Hockey. Les cookies de session volés posent le même problème, comme le montrait notre article sur les navigateurs antidetect dopés à l'IA.
La Suisse a-t-elle participé à l'opération ?
Rien ne l'indique dans les communiqués officiels. Europol cite neuf pays participants : la Bulgarie, le Canada, le Danemark, l'Allemagne, la Moldavie, les Pays-Bas, la Pologne, le Royaume-Uni et les États-Unis. Eurojust, l'agence européenne de coopération judiciaire, a aidé les autorités judiciaires à échanger des informations et à synchroniser leurs actions.
Le communiqué du DOJ sur Gootloader ajoute deux partenaires : la Brigade de lutte contre la cybercriminalité de Paris et la police fédérale australienne. La Suisse ne figure dans aucune des deux listes. Aucun de ces communiqués ne chiffre non plus le nombre de victimes en Suisse.
Comment vérifier si ses identifiants ont fuité
Les victimes seront prévenues par des services spécialisés, annonce Europol. Les données des victimes doivent être mises à disposition par Have I Been Pwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, la Shadowserver Foundation et le centre national de cybersécurité néerlandais (NL-NCSC). Selon Europol, ces alertes concernent les identifiants volés par CastleRAT. Le DOJ précise que la Shadowserver Foundation travaille avec les fournisseurs d'accès à internet pour repérer les systèmes infectés.
En Suisse, l'Office fédéral de la cybersécurité (OFCS) renvoie à l'outil de vérification des fuites de données d'iBarry. Il permet de savoir si des mots de passe de services liés à son adresse électronique ont été divulgués. L'office donne aussi plusieurs gestes en cas de compte piraté :
- changer immédiatement le mot de passe, s'il est encore possible de se connecter ;
- activer l'authentification à deux facteurs partout où c'est possible ;
- mettre à jour le système et les applications, puis lancer une analyse antivirus ;
- pour une messagerie, supprimer toute règle qui redirige des courriels, puis changer les mots de passe des services liés ;
- pour un compte bancaire ou financier, contacter tout de suite le prestataire ;
- déposer plainte auprès de la police cantonale en cas de préjudice financier.
L'OFCS met aussi en garde contre les fausses alertes d'accès, qui mènent à des pages d'hameçonnage. Il conseille de ne jamais cliquer sur le lien d'un tel courriel. Il faut taper soi-même l'adresse du service et vérifier son compte depuis cette page. Notre page sur la façon de sécuriser ses comptes détaille les mots de passe et la double authentification.
Notre analyse : un infostealer agit depuis l'appareil infecté. Changer un mot de passe sur un ordinateur encore infecté expose le nouveau au même vol. Le nettoyage de l'appareil, que l'OFCS recommande aussi, compte donc autant que le nouveau mot de passe.
Ce que ça change pour une PME
Gootloader s'appuyait sur des sites WordPress piratés. Europol appelle les utilisateurs de WordPress à renouveler leurs identifiants, à activer l'authentification à plusieurs facteurs et à corriger les failles connues. Pour une petite ou moyenne entreprise (PME), le risque est double : son site peut servir de relais à l'insu de l'entreprise, et ses postes peuvent être infectés.
Notre analyse : le site vitrine d'une PME, souvent confié à un prestataire, mérite la même vigilance que ses ordinateurs. D'autres conseils figurent dans notre rubrique pour protéger son entreprise, dont les règles d'accès détaillées dans notre page sur la sécurité informatique en télétravail.
Ce qu'on ne sait pas encore
- Combien d'identifiants concernent des personnes ou des entreprises en Suisse : Europol et le DOJ ne donnent pas de répartition par pays.
- Si l'action a mené à des arrestations : le communiqué d'Europol n'en mentionne aucune.
- Quand les données seront consultables sur Have I Been Pwned et les autres services cités.
Sources
- Europol, 12 novembre 2026 : « 6.4 million victim datasets secured in international operation against malware networks »
- Département américain de la Justice, 12 novembre 2026 : « Gootloader Malware Disrupted in International Cyber Operation »
- Inside IT, 13 novembre 2026 : « Europol legt drei Malware-Netzwerke lahm »
- Office fédéral de la cybersécurité : « Que faire en cas de compte piraté ou de fuite de données ? »
