Identifiants

La section Identifiants vous offre une vue dédiée de tout ce que Stoïk a trouvé concernant des identifiants divulgués et des appareils compromis pour votre organisation.

Comment ça marche

Stoïk Protect est connecté à trois fournisseurs externes de renseignement :

• LeakCheck surveille les fuites de données publiques — des incidents au cours desquels la base de données d’utilisateurs d’une entreprise a été piratée et diffusée en ligne.

• Hudson Rock et Flare collectent des journaux d’infostealer — des données exfiltrées silencieusement depuis des appareils d’employés infectés par des logiciels malveillants.

À partir des actifs que vous avez déclarés dans le Scan Externe (noms de domaine, adresses IP), Stoïk interroge en continu ces fournisseurs pour tout ce qui est lié à votre organisation. Les résultats remontent dans deux onglets : Données exposées et Alertes.

Données exposées

Données exposées est le flux de renseignement complet — chaque élément de données que Stoïk a trouvé divulgué en ligne à propos de votre organisation.

Il est organisé en trois sous-onglets :

Sous-onglet	Ce qu’il contient
Journaux bruts	Chaque enregistrement de fuite, tous les types de données (identifiants, cookies, e-mails, numéros de téléphone, adresses IP, …)
Identifiants	Fuites de type identifiants uniquement : URL + identifiant + mot de passe
Cookies	Cookies de session exfiltrés depuis des appareils infectés

Pour chaque entrée, le panneau latéral indique le fournisseur de renseignement qui l’a trouvée, la date estimée de la fuite, le type de données et toute alerte liée.

Que faire : Examinez les nouvelles entrées et accusez réception une fois qu’elles ont été analysées. Les entrées accusées réception restent visibles mais ne comptent plus comme nouvelles.

Une entrée dans Données exposées ne signifie pas nécessairement que l’identifiant fonctionne encore aujourd’hui. Si nous avons confirmé que c’est le cas, elle apparaîtra comme une alerte Identifiants valides dans l’onglet Alertes.

Alertes

Les alertes sont ce que Stoïk a confirmé comme nécessitant une action immédiate. Il en existe deux types :

Identifiants valides

Une alerte Identifiants valides signifie que Stoïk a trouvé dans Données exposées une URL + identifiant + mot de passe divulgués et a confirmé qu’ils donnaient toujours accès à l’un de vos services aujourd’hui (Microsoft 365, VPN Fortinet, Citrix, panneaux web exposés et autres).

Il ne s’agit pas d’une fuite historique. C’est un identifiant fonctionnel qu’un attaquant pourrait utiliser dès maintenant.

Que faire :

1. Réinitialisez immédiatement le mot de passe du compte concerné.

2. Activez l’authentification multifacteur (MFA) sur ce compte si ce n’est pas déjà le cas.

3. Vérifiez si le même mot de passe est réutilisé sur d’autres services — modifiez-les aussi.

4. Marquez l’alerte comme résolue une fois terminé. Stoïk vérifiera la remédiation.

Appareil infecté

Une alerte Appareil infecté signifie que l’un des appareils de vos employés a été identifié comme compromis par un logiciel malveillant de type infostealer, par Hudson Rock ou Flare. L’appareil exfiltre activement des données — mots de passe, cookies, saisie automatique du navigateur, identifiants enregistrés — jusqu’à son effacement complet.

Que faire :

1. Isolez immédiatement l’appareil du réseau (déconnectez-le du Wi-Fi et du LAN).

2. Effacez et réinstallez l’appareil à partir de zéro. Une simple analyse antivirus ne suffit pas.

3. Forcez la réinitialisation du mot de passe pour tous les comptes utilisés sur cet appareil.

4. Invalidez les sessions actives sur ces comptes (déconnexion partout) afin de neutraliser les cookies de session volés.

5. Activez la MFA sur les comptes concernés.

Appareils personnels Stoïk détecte les appareils infectés sur la base de l’activité des comptes professionnels — il ne peut pas déterminer si l’appareil lui-même est une machine fournie par l’entreprise ou un appareil personnel. Il est donc possible qu’un appareil personnel (un téléphone ou un ordinateur portable sur lequel un employé s’est connecté à un compte professionnel) apparaisse comme une alerte Appareil infecté. Si vous identifiez une alerte comme liée à un appareil personnel, vous pouvez mettre à jour le type d’appareil directement depuis le panneau latéral de l’alerte :

1. Ouvrez l’alerte.

2. Modifiez le Type d’appareil de Professionnel à Personnel.

L’alerte passe au statut Ignoré . Elle reste visible dans la liste mais est filtrée par défaut et ne compte plus comme une alerte active.

Même sur un appareil personnel, les comptes professionnels utilisés dessus restent exposés à un risque. Avant d’ignorer l’alerte, assurez-vous que l’employé a réinitialisé ses mots de passe et invalidé les sessions actives pour tout compte professionnel auquel il a accédé sur cet appareil.

Si vous pensez qu’une alerte est un faux positif, vous pouvez demander sa suppression directement depuis le panneau latéral. Stoïk examinera la demande avant de la clôturer.

Comment les alertes et Données exposées sont liées

Les alertes Identifiants valides sont construites à partir de Données exposées : Stoïk extrait des identifiants divulgués du flux puis les teste sur vos services. Ceux qui fonctionnent encore sont promus au statut d’Alerte.

Les alertes Appareil infecté fonctionnent dans l’autre sens : chaque appareil compromis produit généralement une charge utile de données volées (mots de passe, cookies, données du navigateur) qui alimente Données exposées. Ouvrir une alerte Appareil infecté vous montre les entrées associées dans Données exposées.

Fréquence d’actualisation des données

Stoïk interroge chaque fournisseur selon un calendrier régulier :

• Flare : toutes les 24 heures

• Hudson Rock : toutes les 72 heures

• LeakCheck : tous les 7 jours

Les alertes Données exposées et Appareil infecté suivent le même calendrier que leur fournisseur respectif.

Les alertes Identifiants valides sont testées dès que de nouveaux identifiants exposés sont détectés. Stoïk les reteste ensuite tous les 3 jours jusqu’à ce que l’identifiant ne fonctionne plus, de sorte que l’alerte se résout automatiquement une fois le mot de passe changé.

Articles connexes

• Comment configurer le Scan Externe Stoïk