On parle beaucoup du vol de mots de passe, moins de ce qui arrive après. Une fois connecté, le navigateur reçoit généralement un cookie de session. Il évite de refaire toute l’authentification à chaque page. C’est pratique, et cette commodité crée une autre chose à protéger.
- Fausse adressela cible ouvre le site relais
- Vraie connexionle relais transmet les échanges
- MFA validéela personne termine le parcours
- Session copiéele cookie est réutilisé
Ce que change l’intermédiaire
Une page de phishing classique collecte ce qui est saisi. Un site AiTM, pour adversary in the middle, relaie en temps réel les échanges avec le vrai service. La personne voit une fausse adresse, mais les identifiants et le second facteur servent à une vraie authentification en arrière-plan. Une fois celle-ci terminée, l’intermédiaire peut récupérer le cookie de session renvoyé par le service.
Microsoft a décrit ce chemin en juillet 2022 dans une campagne qui menait ensuite à l’accès aux messageries et à la préparation de fraudes dans des échanges professionnels. Le chiffre des organisations visées ne dit pas combien ont été compromises. Le rapport décrit une campagne, pas le journal complet d’une entreprise donnée.
La MFA peut fonctionner et la session être volée
Dire que « la MFA a été cassée » simplifie trop le problème. Le vrai service a pu vérifier correctement le mot de passe et le second facteur. Le résultat de cette vérification a ensuite été exposé sous la forme d’une session réutilisable.
Tous les facteurs ne réagissent pas de la même manière. Un code à usage unique limite le temps de réemploi, mais il peut être relayé pendant sa courte période de validité. Une clé WebAuthn vérifie l’origine du service et ne livre pas simplement un secret que la fausse page pourrait rejouer ailleurs. Cette propriété protège bien contre la copie d’un écran de connexion. Elle ne protège pas un navigateur déjà compromis ni toutes les actions réalisées après la connexion.
Le cookie est déjà un droit d’agir
Une session permet de lire des messages, ouvrir des fichiers ou effectuer des opérations sans représenter le mot de passe à chaque fois. Sa durée, son stockage et sa révocation méritent donc le même sérieux que l’authentification initiale.
Une autre campagne publiée par Microsoft en juin 2023 montre ce qui peut suivre. Après avoir rejoué une session volée, les attaquants ont profité de politiques trop faibles pour modifier des méthodes MFA, créé des règles de messagerie et envoyé plus de 16 000 messages de phishing à partir de comptes compromis. Il s’agit d’une campagne distincte de celle de 2022, mais elle illustre bien la portée possible d’une première session.
La gestion des facteurs est elle-même une opération sensible. Ajouter une méthode de connexion ou de récupération change les conditions des prochains accès. Une session ordinaire ne devrait pas suffire à valider silencieusement ce changement.
Changer le mot de passe ne suffit pas toujours
Après un incident, la première question devrait être : qu’est-ce qui a été exposé ? Selon la réponse, il faudra traiter le mot de passe, les sessions, les facteurs ajoutés, les consentements accordés, les règles de messagerie ou le terminal.
Réinitialiser le mot de passe reste utile, mais cela ne prouve pas que toutes les sessions et tous les jetons ont disparu. La révocation doit être vérifiée sur les applications concernées. Autrement, l’équipe de réponse a exécuté une commande sans savoir si la capacité de l’attaquant a réellement pris fin.
Ce que je regarderais dans les journaux
- une session utilisée depuis un contexte inhabituel après une authentification récente ;
- l’ajout d’un facteur ou d’une méthode de récupération ;
- des règles de boîte mail, consentements ou exports qui n’existaient pas auparavant ;
- le délai entre le signalement, la première mesure de confinement et la fin vérifiée de l’accès.
L’adresse IP ou la localisation ne suffisent pas à elles seules. Une activité légitime peut changer de réseau, et un attaquant peut choisir une infrastructure proche. La séquence des événements donne souvent plus d’information qu’un indicateur isolé.