Gmail : des pirates vendent l'accès à vos emails pour 930€ par mois, même après un changement de mot de passe

Un logiciel espion vendu 1 000 dollars par mois, capable de lire vos emails Gmail même après un changement de mot de passe : c’est la promesse que des pirates mettent aujourd’hui en avant autour de Remus Stealer. Cet infostealer, déjà connu pour le vol d’identifiants, propose désormais une offre « Enterprise » présentée comme un accès persistant à des boîtes aux lettres compromises.

Au centre de leur argumentaire, une allégation lourde : l’exploitation d’une prétendue faille zero-day de Gmail qui permettrait de conserver l’accès aux messages malgré la révocation des sessions. Des chercheurs en cybersécurité, dont l’équipe d’Hudson Rock, ont commencé à décortiquer ces affirmations. Une question domine en toile de fond : s’agit-il vraiment d’une vulnérabilité Gmail, ou d’un scénario classique de sessions volées sur un appareil infecté ?

Remus Stealer : un accès persistant à Gmail vendu 1 000 dollars par mois

Remus Stealer appartient à la famille des infostealers, ces malwares spécialisés dans le vol de données personnelles et d’identifiants. D’après l’enquête menée par Hudson Rock, ses développeurs commercialisent une option haut de gamme à 1 000 dollars, soit environ 930 €, par mois. Cette formule « Enterprise » promet un accès persistant Gmail à des boîtes compromises via une interface en ligne qui permet de parcourir les messages, de lancer des recherches et même de partager l’accès avec d’autres attaquants, le tout sans récupérer les fichiers de cookies du navigateur.

Face à ces promesses, Hudson Rock a contacté directement les auteurs de l’outil. « Nous avons directement échangé avec le développeur et une personne qui recommande publiquement le service », explique Alon Gal, cofondateur et directeur technique de Hudson Rock, cité par le site spécialisé Cryptoast. Selon Alon Gal, le développeur assure que son programme interagit avec la mémoire du navigateur, puis quitte le système une fois son travail terminé. Une approche qui complique la détection, puisque le malware ne reste pas actif sur l’ordinateur une fois l’accès configuré côté pirate.

Zero-day Gmail ou sessions volées : ce que l’on sait vraiment

Les créateurs de Remus Stealer présentent cette technique comme une faille « zero-day » affectant Gmail. Un zero-day désigne, en théorie, une vulnérabilité inconnue de l’éditeur, exploitable avant tout correctif. « Le développeur parle d’une zero-day Gmail. Nous ne l’avons pas établi », précise Alon Gal dans une publication Linkedin. Jusqu’ici, aucune preuve indépendante ne démontre la capacité de Remus Stealer à conserver l’accès aux nouveaux emails après une récupération complète du compte, incluant changement de mot de passe et révocation de toutes les sessions. Les chercheurs privilégient un scénario plus classique : le malware récupérerait ou établirait une autorisation réutilisable à partir d’un navigateur déjà compromis, autorisation ensuite exploitée à distance tant qu’elle n’est pas effectivement invalidée.

Au-delà du débat technique, les conséquences restent sensibles pour les internautes et les entreprises. Un accès discret à une boîte Gmail permet de surveiller les liens de réinitialisation de mot de passe, les codes de vérification à usage unique ou les notifications de connexion. « Un seul ordinateur infecté peut mettre en danger le canal de récupération de plusieurs comptes. » Un attaquant qui garde cet accès peut compremettre en cascade des comptes bancaires, des portefeuilles de cryptomonnaies ou des services professionnels rattachés à la même adresse. Face à ce risque, Alon Gal rappelle que « l’enquête doit également porter sur les sessions, les accès des applications et les paramètres de messagerie ».

Pour les utilisateurs, les spécialistes recommandent d’abord de nettoyer l’appareil suspecté d’infection, puis de modifier les identifiants depuis un équipement sain, en révoquant toutes les sessions actives et les applications tierces associées au compte Google. Les paramètres Gmail, comme les transferts automatiques ou les filtres, méritent aussi une vérification minutieuse, tout comme les méthodes de récupération et la sécurité des autres comptes liés à cette adresse. Google a, de son côté, corrigé récemment neuf failles dans Chrome, dont une vulnérabilité zero-day de gestion mémoire référencée CVE-2026-125350, présentée comme la huitième zero-day exploitée et corrigée depuis le début de l’année, un rappel que la bataille se joue autant côté navigateurs que sur les appareils des utilisateurs.