Comment les pirates contournent votre mot de passe pour prendre le contrôle de vos comptes
Votre mot de passe peut rester parfaitement secret sans empêcher un pirate d’accéder à l’un de vos comptes. En récupérant certains cookies stockés par le navigateur, il peut reprendre une session déjà authentifiée et éviter le contrôle qui aurait normalement dû lui barrer la route.
Quand un compte est piraté, le premier réflexe consiste à soupçonner un mot de passe trop simple ou réutilisé. Mais les cybercriminels disposent d’un autre point d’entrée : les cookies que votre navigateur conserve pour vous maintenir connecté.
Une étude de NordVPN donne une idée de l’ampleur du phénomène. Ses chercheurs ont recensé 52,4 milliards d’enregistrements de cookies volés dans des archives issues de logiciels malveillants conçus pour fouiller un appareil infecté et en extraire des informations personnelles. Les spécialistes appellent ces programmes des infostealers.
Ces cookies étaient 4,6 fois plus nombreux que tous les autres types de données volées répertoriés dans la même étude, toutes catégories réunies. Cela ne signifie pas que 52,4 milliards de personnes ont été touchées : un seul ordinateur peut stocker un grand nombre de cookies. L’étude montre surtout la place prise par ces petits fichiers dans les collectes massives de données.
Une fois connecté, le cookie prend le relais de votre mot de passe
Lorsque vous ouvrez une session, le site vérifie votre identifiant, votre mot de passe et, si vous l’avez activée, la double authentification. Il crée ensuite un jeton de session, généralement conservé par le navigateur sous la forme d’un cookie. À chaque nouvelle page, ce jeton confirme que vous êtes déjà authentifié.
Sans ce système, Netflix, Gmail ou YouTube devraient vous redemander votre mot de passe à chaque ouverture. Le problème apparaît si quelqu’un parvient à le copier. Tant qu’il reste valide, un pirate peut tenter de le présenter depuis son propre appareil. Le serveur reçoit alors une preuve d’authentification correcte, mais utilisée par la mauvaise personne.
Cette technique porte un nom : le détournement de session. Le pirate ne franchit pas l’écran de connexion, il usurpe une session que le service considère comme déjà authentifiée. La double authentification n’a pas été cassée à proprement parler : elle a déjà été validée lorsque l’utilisateur légitime s’est connecté. Le service ne réclame donc pas forcément de nouveau code au pirate.
Cet accès frauduleux reste toutefois limité par la durée de validité du cookie. Il peut également être interrompu si le service détecte une anomalie ou si la session est révoquée.
Comment les cookies de votre navigateur peuvent être dérobés
Un infostealer, une fois installé sur votre appareil, recherche les mots de passe enregistrés, les données de remplissage automatique, les fichiers et cookies. Le butin peut ensuite être exploité ou revendu à d’autres criminels.
Une fausse mise à jour, une pièce jointe vérolée, une publicité malveillante ou l’installation d’un logiciel piraté peut suffire à infecter votre appareil. Les programmes de triche pour les jeux vidéo constituent également un appât courant, selon NordVPN.
Un antivirus à jour réduit le risque, mais aucune protection ne peut bloquer toutes les infections. La prudence au moment de télécharger un fichier reste donc essentielle.
Comment limiter le risque de vol de vos cookies de session
Les cookies de session étant généralement dérobés après l’infection de l’appareil par un infostealer, la prévention est votre première ligne de défense.
- Appliquez les mises à jour système dès qu’elles sont disponibles ;
- Téléchargez vos applications depuis les boutiques officielles ou le site de leur éditeur ;
- Évitez les logiciels piratés, les programmes de triche et les pièces jointes venant de sources douteuses ;
- Soyez plus vigilant avec les fenêtres qui vous demandent d’installer une prétendue mise à jour ;
- Maintenez votre antivirus et ses protections à jour
- Consultez régulièrement la liste des appareils connectés à vos comptes et fermez les sessions inconnues ;
- Utilisez un mot de passe unique et activez la double authentification.
Un mot de passe unique et la double authentification restent indispensables contre de nombreuses attaques, même s’ils ne suffisent pas toujours à bloquer la réutilisation d’un cookie de session actif.
NordVPN vous alerte lorsque vos cookies de session sont exposés
NordVPN a intégré un antivirus nouvelle génération à son application VPN. Parmi ses fonctions figure une alerte de session détournée, qui vous prévient si l’un de vos cookies de session apparaît dans un ensemble de données volées connu. Vous pouvez alors sécuriser rapidement le compte concerné.
Une alerte ne signifie pas forcément qu’un pirate a déjà utilisé votre compte, mais elle doit être prise au sérieux. L’OWASP, une fondation internationale à but non lucratif spécialisée dans la sécurité des sites et applications web, recommande de fermer la session suspecte afin d’invalider le cookie volé.
Si vous recevez une alerte :
- Évitez de vous reconnecter à vos comptes depuis l’appareil potentiellement infecté ;
- Utilisez si possible un appareil sain pour fermer toutes les sessions du compte concerné ;
- Remplacez le mot de passe par un code long et unique ;
- Activez la double authentification si ce n’est pas déjà fait ;
- Vérifiez les connexions récentes et les appareils reconnus ;
- Contrôlez les options de récupération et les moyens de paiement enregistrés ;
- Analysez et nettoyez l’appareil suspect avant toute nouvelle connexion.
Supprimer les cookies de votre propre navigateur ne suffit pas. Cette opération n’invalide pas forcément la copie détenue par le pirate et ne retire pas l’infostealer de l’appareil. La session doit être révoquée depuis les paramètres de sécurité du service concerné.
