YouTube est un outil social incontournable aujourd’hui pour les créateurs de contenus vidéo et une plateforme très populaire de diffusion. Rien qu’en France en 2025, YouTube totalise plus 46 millions d'utilisateurs uniques chaque mois, confirmant sa popularité auprès du public. Les Français passent en moyenne 37 minutes par jour sur la plateforme, soit environ 11 heures et 42 minutes par mois.
Alors forcément, les cybermalfaiteurs y voient une cible parfaite pour créer et perpétrer des arnaques et diffuser des logiciels malveillants.
Les menaces sont très variées, mais il s'agit souvent de vidéos se faisant passer pour des tutoriels sur des logiciels populaires ou des publicités pour des prétendus cadeaux en matière de cryptomonnaie. Dans d'autres cas, les fraudeurs intègrent des liens vers des sites web malveillants dans les descriptions ou les commentaires des vidéos, en les faisant passer pour des ressources authentiques liées au contenu de cette dernière.
Le piratage de chaînes YouTube célèbres renforce encore davantage ce phénomène. En étendant la portée des campagnes frauduleuses à un nombre considérable d'utilisateurs réguliers de YouTube, les cybercriminels s'assurent d'optimiser leur “retour sur investissement”. On sait depuis longtemps que ces malfaiteurs réutilisent ces chaînes pour diffuser des cryptomonnaies entre autres escroqueries, ainsi que divers logiciels malveillants destinés à voler des informations, souvent par le biais de liens vers des logiciels piratés et chargés de logiciels malveillants, des films et des "cheats" de jeux vidéo.
Pendant ce temps, les YouTubers et créateurs de contenus dont les comptes ont été piratés vivent une expérience compliquée, dont les conséquences vont de la perte de revenus à une atteinte durable à leur réputation.
Comment les cybercriminels peuvent-ils prendre le contrôle de chaînes YouTube ?
Le plus souvent, tout commence par une bonne vieille attaque de phishing. Les pirates créent de faux sites web et envoient des e-mails qui semblent provenir de YouTube ou de Google, puis tentent de piéger leurs cibles pour qu'elles leur livrent les « clés du royaume ». Dans de nombreux cas, ils proposent également des contrats de sponsoring ou de collaboration comme appât : le message comprend une pièce jointe ou un lien vers un fichier où les conditions générales seraient détaillées.
Cependant, la menace devient encore plus grave lorsque les comptes ne sont pas protégés par une authentification à deux facteurs (2FA) ou lorsque les attaquants contournent cette protection supplémentaire. (Depuis fin 2021, les créateurs de contenu doivent activer la 2FA sur le compte Google associé à leur chaîne YouTube).
Dans certains cas (comme dans le cas de la violation de Linus Tech Tips, une chaîne qui comptait alors 15 millions d'abonnés), les pirates n'ont eu besoin ni de mots de passe ni de codes 2FA pour pirater les chaînes. Ils ont plutôt volé les cookies de session des navigateurs des victimes, ce qui leur a finalement permis de contourner les contrôles de sécurité supplémentaires liés au processus d'authentification.
Dans une autre technique éprouvée, les pirates exploitent des listes de noms d'utilisateur et de mots de passe provenant de violations de données antérieures pour pirater des comptes existants, en misant sur le fait que de nombreuses personnes réutilisent les mêmes mots de passe sur différents sites. Dans les tentatives par force brute, les pirates utilisent des outils automatisés pour essayer de nombreuses combinaisons de mots de passe jusqu'à ce qu'ils trouvent le bon. Cette méthode est particulièrement efficace lorsque les utilisateurs emploient des mots de passe faibles ou courants et négligent la 2FA.
Il y a quelques semaines à peine, l'AhnLab Security Intelligence Center (ASEC) a publié un article sur le nombre croissant de cas où des cybercriminels détournent des chaînes YouTube populaires, dont une comptant 800 000 abonnés, et les exploitent pour diffuser des logiciels malveillants tels que RedLine Stealer, Vidar et Lumma Stealer. Comme le décrit le rapport ESET Threat Report H2 2023, Lumma Stealer a fait beaucoup de bruit, en particulier au cours du second semestre de l'année dernière.
Ce logiciel malveillant de type « infostealer » est connu pour cibler les portefeuilles de crypto-monnaie, les identifiants de connexion et les extensions de navigateur 2FA, ainsi que pour exfiltrer des informations à partir de machines compromises. Comme le montre le rapport ESET Threat Report H1 2024, RedLine Stealer et Lumma Stealer restent une menace majeure, se faisant souvent passer pour des logiciels de triche ou des cracks de jeux vidéo, notamment via YouTube.
Dans certains cas, les criminels piratent des comptes Google existants et, en quelques minutes, créent et publient des milliers de vidéos qui diffusent des logiciels malveillants destinés à voler des informations. Les personnes victimes de ces attaques peuvent se retrouver avec des appareils compromis par des logiciels malveillants qui volent également leurs comptes sur d'autres plateformes majeures telles qu'Instagram, Facebook, X, Twitch et Steam..
Comment vous protéger efficacement sur YouTube ?
Ces conseils vous seront utiles pour continuer d’utiliser YouTube en toute sécurité, et surtout si vous êtes créateur de contenus sur la plateforme.
1. Utilisez des identifiants de connexion forts et uniques
Créez des mots de passe ou des phrases de passe forts et évitez de les réutiliser sur d'autres sites. Découvrez les clés d'accès, une autre forme d'authentification proposée par Google.
2. Utilisez une forme forte d'authentification à deux facteurs (2FA/MFA)
Pour renforcer votre sécurité, utilisez l'authentification à deux facteurs (2FA) non seulement sur votre compte Google, mais aussi sur tous vos autres comptes, dès que cela vous est proposé. Dans la mesure du possible, choisissez une authentification à deux facteurs avec applications d'authentification ou via des clés de sécurité matérielles plutôt que des méthodes basées sur les SMS (plus facilement contournables).
3. Restez vigilant face aux e-mails et liens qu’ils contiennent
Méfiez-vous des e-mails ou des messages prétendant provenir de YouTube ou de Google, surtout s'ils vous demandent vos informations personnelles ou vos identifiants de compte. Vérifiez l'adresse e-mail de l'expéditeur et recherchez des signes de phishing. Tout aussi important : évitez de cliquer sur des liens suspects ou de télécharger des pièces jointes provenant de sources inconnues. Il en va de même pour les applications ou autres logiciels présentés sur YouTube, à moins qu'ils ne proviennent de sources fiables et vérifiées.
4. Maintenez votre système d'exploitation et vos autres logiciels à jour
Assurez-vous que votre système d'exploitation, votre navigateur et vos autres logiciels soient à jour afin de vous protéger contre les vulnérabilités connues.
5. Surveillez l'activité de votre compte
Vérifiez régulièrement l'activité de votre compte afin de détecter toute action suspecte ou tentative de connexion. Si vous pensez que votre chaîne a été victime d'une attaque, consultez ces conseils de Google.
6. Informez-vous
Restez informé des dernières cybermenaces et arnaques qui sévissent en ligne, y compris sur YouTube. En vous éduquant à ces dangers, vous pourrez plus facilement éviter d'être victime de ces arnaques.
7. Signalez et bloquez les contenus suspects
Signalez tout contenu, commentaire, lien ou utilisateur suspect ou préjudiciable à la plateforme. Le blocage de ces utilisateurs peut les empêcher de vous contacter ou de contacter d'autres personnes.
8. Sécurisez vos appareils
Utilisez une suite de sécurité multicouche sur tous vos appareils pour vous protéger contre toutes formes de menaces en ligne.
