Détournement de session

Définition

Le détournement de session est la réutilisation, par un tiers, du jeton d'authentification remis à un utilisateur après sa connexion, ce qui donne accès au compte sans franchir à nouveau l'authentification.

Comment ça fonctionne

L'authentification n'a lieu qu'une fois : ensuite, le navigateur présente un cookie de session à chaque requête, et c'est lui qui fait foi. Ce jeton est donc l'équivalent d'un badge déjà validé. Il peut être récupéré de trois façons : par un logiciel installé sur la machine qui lit ce que stocke le navigateur, sur un réseau où le trafic n'est pas chiffré, ou par une page malveillante qui parvient à le faire fuir. Le fait notable est que le vol contourne l'authentification au lieu de l'affronter : ni le mot de passe ni le second facteur n'entrent en jeu, puisque tous deux ont déjà été présentés. C'est ce qui rend la révocation des sessions — et non le changement de mot de passe — la mesure qui met réellement fin à l'accès.

Pourquoi ça marche

On pense que le mot de passe et le code protègent le compte à chaque instant, alors qu'ils ne servent qu'à l'entrée. Rester connecté est pratique, et personne ne relit la liste de ses sessions.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Session active depuis un appareil ou un lieu que vous ne reconnaissez pas
• Actions effectuées sur votre compte sans nouvelle demande de connexion
• Déconnexion inattendue suivie d'une activité anormale
• Aucun code de double authentification reçu, alors qu'une connexion a bien eu lieu
• Paramètres du compte modifiés sans qu'aucun mot de passe n'ait changé

Comment vérifier

Ouvrez la liste des sessions ou des appareils connectés dans les paramètres du compte : c'est là que le détournement est visible, et nulle part ailleurs. Une entrée inconnue s'y affiche avec sa date et sa localisation approximative, alors même que l'historique de connexion ne montre rien d'anormal — puisqu'aucune connexion nouvelle n'a eu lieu.

Les questions à se poser, dans l'ordre

1. 1

   La liste des sessions contient-elle un appareil ou un lieu que vous ne reconnaissez pas ?

   Si oui : Déconnectez toutes les sessions, sur tous les appareils, avant toute autre chose.

2. 2

   Une action a-t-elle été faite en votre nom sans nouvelle connexion visible ?

   Si oui : Après la déconnexion, changez le mot de passe et vérifiez les adresses de récupération.

3. 3

   Des extensions de navigateur ou des applications tierces ont-elles accès au compte ?

   Si oui : Retirez celles que vous ne reconnaissez pas.

Que faire

Fermez vos sessions sur les appareils partagés au lieu de fermer simplement l'onglet. Évitez de rester connecté indéfiniment aux services sensibles, et méfiez-vous des extensions de navigateur, qui peuvent lire ce que le navigateur stocke.

Si c'est déjà arrivé

Révoquez toutes les sessions actives, sur tous les appareils, avant toute autre chose — c'est la seule action qui invalide le jeton volé. Changez ensuite le mot de passe, ce qui, dans la plupart des services, force également une réauthentification. Vérifiez enfin les règles de transfert, les adresses de récupération et les applications tierces autorisées.

• Checklist d'urgence : « Vous n'avez plus accès à un compte, ou il envoie des messages sans vous »
• L'assistant « J'ai cliqué » : les gestes après un site piégé, dans l'ordre

Pour que ça ne se reproduise pas

• Fermez vos sessions sur les appareils partagés, au lieu de fermer seulement l'onglet.
• Évitez de rester connecté indéfiniment aux services sensibles.
• Installez peu d'extensions de navigateur.

Questions fréquentes

La double authentification ne devait-elle pas empêcher cela ?

Elle protège le moment de la connexion, et le jeton est délivré après ce moment. Un attaquant qui rejoue une session n'a pas à se connecter : il présente une authentification déjà accomplie. C'est pourquoi la parade est la révocation, pas un facteur supplémentaire.

Le cadenas du navigateur ne protège-t-il pas mes cookies ?

Le chiffrement de la connexion empêche la lecture du trafic entre votre appareil et le site, ce qui écarte l'interception sur un réseau. Il ne protège pas contre un logiciel installé sur votre machine, qui lit le cookie là où il est stocké, après déchiffrement.

Attaques liées

• Infostealer (logiciel voleur d'identifiants)
• Contournement de la double authentification
• Piratage de messagerie
• Faux site web
• Extension de navigateur malveillante
• Clickjacking (clic détourné)
• Abus d'autorisation « Se connecter avec »
• Attaque de l'homme du milieu
• Faux point d'accès Wi-Fi
• Interception de trafic

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement