Détournement de session : pourquoi un cookie volé vaut mieux qu'un mot de passe
Un mot de passe volé doit encore franchir le formulaire de connexion : si le compte est protégé par une authentification multifacteur, la porte tient généralement. Un cookie de session volé est une autre affaire : il est émis après que la connexion a déjà réussi, et tout ce que fait le compte ensuite est authentifié par le seul cookie. Cette asymétrie explique pourquoi le vol de sessions est devenu, sans tapage, la voie privilégiée vers les comptes protégés.
La mécanique est simple : à la connexion, le serveur remet au navigateur un cookie de session, et à partir de ce moment chaque requête suivante est authentifiée par le seul cookie. La fiche MITRE de la technique T1539, Steal Web Session Cookie, note que ces cookies peuvent se trouver « sur le disque, dans la mémoire du processus du navigateur et dans le trafic réseau », et que qui en détient un peut utiliser l'application « comme un utilisateur authentifié sans avoir besoin d'identifiants ». La technique complémentaire pour la réutilisation, T1550.004, relève qu'une session rejouée « contourne certains protocoles d'authentification multifacteur puisque la session est déjà authentifiée » et que les cookies « restent souvent valides pendant une longue période ».Pourquoi un cookie bat un mot de passe
Trois propriétés rendent le cookie plus précieux que l'identifiant qu'il a remplacé. Il est déjà passé le mur de la MFA, car l'utilisateur légitime a présenté le second facteur au moment de la création de la session. Son usage ne produit aucun bruit de connexion échouée : l'attaquant arrive comme un navigateur normal, authentifié. Et changer le mot de passe ne met pas nécessairement fin à la session. La détection s'appuie sur le comportement plutôt que sur la requête elle-même : MITRE signale la réutilisation de cookies « depuis des user agents ou des emplacements inhabituels » et des « scénarios de voyage impossible et un comportement anormal ». Les acteurs étatiques travaillent la même faille. MITRE rapporte qu'APT29 a volé des cookies Chrome en copiant des répertoires de profils du navigateur lors de la compromission de SolarWinds, puis utilisé un cookie duo-sid falsifié pour contourner la MFA, tandis que Star Blizzard a employé des cookies de session collectés via un proxy de type Evilginx pour atteindre des boîtes mail de victimes. Rien de tout cela n'a exigé de casser un chiffrement ni de vaincre un facteur — seulement une copie de quelque chose que le navigateur possède déjà.Les kits AiTM font proxy du mur de connexion
La version industrielle, c'est le kit adversary-in-the-middle. Une fausse page de connexion qui se contente de récolter des mots de passe meurt au second facteur. Un site AiTM fait au contraire proxy de la vraie connexion : la victime s'authentifie normalement via le relais de l'attaquant, le code est saisi, et le kit récupère le cookie de session émis à la fin du flux. Microsoft a documenté une telle campagne en juillet 2022, bâtie autour d'appâts de documents Office et de messages vocaux, qui aurait touché environ 10 000 organisations depuis septembre 2021 — une campagne conçue, selon les mots de Microsoft, pour « voler des mots de passe, détourner des sessions connectées (voler des cookies de session) et contourner la MFA ». Le modèle tourne aujourd'hui sur abonnement. En septembre 2026, BleepingComputer a rendu compte de BigBear 2.0, un framework de phishing-as-a-service bâti sur Evilginx2 qui aurait contourné la MFA dans 258 organisations. Un rapport CloudSEK cité là chiffrait le panneau de l'opérateur à 5 137 enregistrements d'identifiants — dont 474 authentifications complètes avec MFA contournée, 1 032 mots de passe en clair et 4 148 cookies de session — liés à 3 331 adresses IP de victimes uniques dans plus de 40 pays. Les rejeux passent par des proxys résidentiels correspondant au pays de chaque victime, et le JavaScript injecté par le kit interfère avec les invites FIDO2/WebAuthn pour pousser les victimes vers des facteurs plus faibles.Les stealer logs sont des inventaires de cookies
Le pipeline le plus silencieux, ce sont les infostealers, et leur marché a visiblement pivoté. Le rapport d'avril 2026 de BleepingComputer sur un stealer commercialisé sous le nom de Storm décrit un panneau en location — 300 dollars pour une démo de sept jours, jusqu'à 1 800 dollars par mois pour une offre en équipe — dont la pièce maîtresse n'est pas un dump de mots de passe mais un tableau de restauration de cookies qui reconstruit des sessions authentifiées côté serveur :Donnez au panneau un refresh token Google et un proxy SOCKS5 géographiquement adapté, et il restaure silencieusement la session authentifiée de la victime.Les chercheurs à l'origine du rapport ont observé que le vol de cookies de session remplace le vol de mots de passe comme objectif principal du développement des stealers. Cela change ce qu'est un stealer log : moins une liste d'identifiants à tester qu'un inventaire de portes déjà ouvertes, chacune valable jusqu'à l'expiration de la session.
Ce qui réduit vraiment le risque
Les contre-mesures sont ingrats — c'est en partie pourquoi ils sont si souvent escamotés. Ils recoupent ce que Microsoft et MITRE recommandent depuis les premières vagues AiTM :- Raccourcir la durée de vie des sessions et supprimer régulièrement les cookies persistants — la mitigation MITRE dit exactement cela. Les longues sessions « rester connecté » sont la matière première de ce commerce.
- Lier les sessions au contexte de l'appareil ou du réseau : des règles d'accès conditionnel exigeant un appareil géré font échouer le rejeu d'un cookie brut même quand le cookie est authentique.
- Détecter le rejeu : les contrôles de voyage impossible et les alertes sur anomalies de session attrapent la plupart des réutilisations de cookies.
- Passer les comptes sensibles à l'authentification résistante au phishing. Les passkeys liées au matériel (FIDO2/WebAuthn) sont rattachées au domaine sur lequel on se connecte, si bien qu'un proxy AiTM ne peut pas les relayer — c'est précisément pourquoi des kits comme BigBear tentent de supprimer ces invites.
- Se déconnecter. Terminer une session côté serveur invalide le cookie ; fermer l'onglet, non.