Vous avez activé la double authentification partout, et pourtant un pirate se connecte à votre messagerie sans connaître votre mot de passe ni recevoir de code. Comment est-ce possible ? En volant non pas vos identifiants, mais votre session : le petit fichier, appelé cookie ou jeton, qui prouve au service que vous êtes déjà connecté. C’est aujourd’hui l’une des techniques préférées des attaquants pour contourner la MFA. Explications et parades.
L’essentiel en 30 secondes
- Après la connexion, le site vous remet un cookie de session : celui qui le possède est considéré comme vous, sans redemander de code.
- Deux grandes méthodes pour le voler : le phishing « de l’homme du milieu » (AiTM) et les logiciels espions « infostealers ».
- Les clés de sécurité et passkeys bloquent le premier scénario, pas le second.
- Les parades : authentification résistante au phishing, liaison des sessions à l’appareil, sessions courtes, postes maîtrisés et révocation rapide en cas de doute.
Comment fonctionne une session
Quand vous vous connectez à Microsoft 365, Google Workspace ou votre banque, vous prouvez votre identité une fois : mot de passe, puis code ou notification. Le service vous remet alors un jeton de session, stocké par le navigateur, valable plusieurs heures, voire plusieurs semaines si vous avez coché « rester connecté ». Toutes vos actions suivantes sont authentifiées par ce jeton. Si un attaquant le copie, il hérite de votre session, double authentification comprise.
Méthode 1 : le phishing de l’homme du milieu (AiTM)
La victime reçoit un lien vers une fausse page de connexion, parfaitement imitée. Mais cette page est en réalité un relais : elle transmet en direct le mot de passe et le code au vrai service, qui ouvre la session et renvoie le cookie… que le pirate intercepte au passage. Des kits prêts à l’emploi industrialisent cette technique et sont loués à la semaine. La victime voit simplement sa messagerie s’ouvrir normalement.
Ce qui bloque cette méthode : les clés de sécurité FIDO2 et les passkeys, liées au vrai nom de domaine, qui refusent de s’authentifier sur un site imité. Voir notre guide sur les passkeys et FIDO2.
Méthode 2 : les logiciels voleurs d’informations
Un « infostealer » est un petit programme qui, une fois installé (faux logiciel gratuit, extension de navigateur, pièce jointe, faux CAPTCHA), copie en quelques secondes les mots de passe enregistrés et les cookies de tous les navigateurs du poste. Ces « logs » sont ensuite revendus en masse sur des places de marché criminelles. En mai 2025, une opération menée par Microsoft et Europol a démantelé l’infrastructure de Lumma, l’un des plus répandus, mais d’autres ont pris le relais.
Ici, même une passkey ne suffit pas : l’authentification a eu lieu normalement, c’est la session ouverte qui est volée. Selon le Verizon DBIR 2026, l’abus d’identifiants reste à l’origine de 13 % des intrusions, et les jetons de session en sont une part croissante.
Les nouvelles protections
La liaison des sessions à l’appareil
Google a généralisé en avril 2026, dans Chrome 146 pour Windows, la fonction Device Bound Session Credentials (DBSC). Le navigateur crée une clé cryptographique stockée dans la puce de sécurité (TPM) de l’ordinateur ; la session ne peut être renouvelée que si le navigateur prouve qu’il détient cette clé, impossible à exporter. Un cookie copié sur une autre machine devient alors inutilisable. La prise en charge par macOS est annoncée, et les sites doivent l’implémenter de leur côté. Microsoft propose un mécanisme comparable, la protection des jetons, dans l’accès conditionnel d’Entra ID.
Les sessions courtes et la réévaluation continue
Réduire la durée de vie des sessions, exiger une nouvelle authentification pour les actions sensibles et activer la réévaluation continue de l’accès limitent la fenêtre d’exploitation d’un cookie volé.
Le plan de protection
| Mesure | Contre quoi | Priorité |
|---|---|---|
| Passkeys ou clés FIDO2 pour les comptes sensibles | Phishing AiTM | Haute |
| Interdire l’installation de logiciels non approuvés et des extensions inconnues | Infostealers | Haute |
| Accès réservé aux appareils gérés et conformes (accès conditionnel) | Réutilisation de cookies volés | Haute |
| Navigateur à jour, DBSC et protection des jetons activés | Rejeu de sessions | Moyenne |
| Ne pas enregistrer les mots de passe dans le navigateur, utiliser un gestionnaire | Infostealers | Moyenne |
| Alertes sur connexions inhabituelles (pays, appareil, horaires) | Détection | Moyenne |
| Durées de session limitées pour les comptes d’administration | Fenêtre d’exploitation | Moyenne |
Que faire en cas de doute ?
- Révoquer toutes les sessions du compte (dans Microsoft 365 : « révoquer les sessions » ; dans Google : « se déconnecter de tous les appareils »). Changer le mot de passe ne suffit pas toujours à invalider les cookies déjà émis.
- Changer le mot de passe et vérifier les méthodes de double authentification enregistrées : l’attaquant a pu ajouter la sienne.
- Contrôler les règles de messagerie (transferts, suppressions automatiques) et les applications autorisées sur le compte.
- Analyser le poste de la victime : si un infostealer est en cause, tous les comptes enregistrés sur ce poste sont compromis.
- Prévenir vos contacts si des e-mails frauduleux ont pu partir de votre adresse.
Ces réflexes complètent notre guide sur la sécurisation de Microsoft 365 et notre méthode de déploiement de la double authentification.
Questions fréquentes
La double authentification ne sert donc à rien ?
Au contraire : elle bloque l’immense majorité des piratages par simple mot de passe. Le vol de session est une technique de contournement, qui justifie de passer à une authentification résistante au phishing et de maîtriser les postes.
Faut-il éviter de cocher « rester connecté » ?
Sur un poste personnel ou partagé, oui. Sur un poste professionnel géré et protégé, c’est acceptable si les sessions sont liées à l’appareil et si l’accès conditionnel est en place.
Comment savoir si mes cookies ont été volés ?
Les signes typiques sont des connexions depuis un pays inhabituel, de nouvelles règles de messagerie ou des e-mails envoyés à votre insu. Les journaux de connexion de Microsoft 365 ou Google Workspace permettent de le vérifier.
Un antivirus détecte-t-il les infostealers ?
Souvent, mais pas toujours : leurs variantes changent constamment. La meilleure protection reste d’empêcher l’installation de logiciels non approuvés.
Sources
- The Hacker News, « Google rolls out DBSC in Chrome 146 » (avril 2026).
- Verizon, Data Breach Investigations Report 2026.
- Microsoft, action contre l’infostealer Lumma (mai 2025).
- Microsoft Learn, protection des jetons dans l’accès conditionnel.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Besoin de vérifier la configuration de vos comptes ? Pensez à notre audit de cybersécurité. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
