Vol de session
Technique qui consiste à dérober le jeton de session d'un utilisateur déjà authentifié, pour accéder à ses comptes sans mot de passe ni second facteur ; elle a rendu insuffisante une authentification multifacteur classique.
Une fois qu'un utilisateur s'est authentifié sur un service en ligne, le serveur lui remet un jeton de session, souvent stocké dans un cookie, qui lui évite de ressaisir ses identifiants à chaque action. Qui détient ce jeton est traité comme l'utilisateur lui-même, second facteur compris. Le vol de session exploite ce mécanisme. Il passe par deux voies principales. Les logiciels voleurs d'informations, installés sur le poste de la victime, aspirent les cookies de son navigateur et les revendent sur des marchés spécialisés. Les kits d'hameçonnage de type adversaire au milieu, eux, s'interposent en temps réel entre la victime et le vrai site : la victime saisit mot de passe et code, le kit les transmet, et récupère le jeton de session émis en retour. Dans les deux cas, l'authentification multifacteur a fonctionné, et l'attaquant entre quand même. Cette technique est devenue l'une des principales voies de compromission des messageries d'entreprise et des consoles d'administration en ligne. Les parades sont l'authentification résistante à l'hameçonnage, liée au domaine légitime, la liaison du jeton à l'appareil, la durée de vie courte des sessions et la détection des connexions anormales. Pour l'assurance, elle explique la multiplication des fraudes au virement malgré des contrôles apparemment robustes.
Cas d'école : une directrice financière clique sur un lien vers une fausse page de connexion identique à celle de sa messagerie. Elle saisit son mot de passe et son code ; le kit récupère sa session. L'attaquant lit ses échanges pendant deux semaines, puis envoie à un fournisseur une demande de changement de coordonnées bancaires.
session hijacking, vol de cookies, cookie theft, adversary-in-the-middle
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.