La connexion était légitime. L’utilisateur avait présenté sa clé de sécurité, son téléphone avait confirmé son identité, et pourtant un intrus accède à ses applications. Ce scénario révèle un angle mort : après l’authentification, un cookie ou un jeton peut devenir le véritable sésame. À l’horizon de septembre 2026, les tendances documentées dessinent un déplacement de la menace. Les cybercriminels ne cherchent plus seulement à franchir la porte : ils tentent de récupérer le badge délivré à l’intérieur.
Le mot de passe n’est qu’un premier obstacle
Ouvrir une messagerie professionnelle ne signifie pas retaper ses identifiants à chaque clic. Après la connexion, le service remet généralement au navigateur un cookie associé à une session. Dans d’autres architectures, une application utilise un jeton d’accès pour interroger une interface de programmation. Ces mécanismes permettent au service de reconnaître une connexion autorisée sans recommencer toute l’authentification.
Leur faiblesse apparaît lorsqu’ils fonctionnent comme des titres au porteur : celui qui les présente peut, sous certaines conditions, bénéficier des droits correspondants. Un attaquant qui récupère un artefact encore valide peut alors se faire passer pour l’utilisateur sans connaître son mot de passe. Il ne contourne pas nécessairement la vérification initiale : il exploite la confiance accordée après celle-ci.
Tous les cookies ne donnent pas accès à un compte, et tous les jetons ne sont pas réutilisables ailleurs. Leur portée, leur durée de validité et leur éventuelle liaison à un appareil changent beaucoup la situation. Mais lorsqu’un service accepte leur présentation depuis un autre environnement, le vol peut suffire à ouvrir une fenêtre d’intrusion.
Deux chemins vers une session volée
Le piège interposé pendant la connexion
Première famille d’attaques : l’hameçonnage avec relais, souvent appelé « adversary-in-the-middle ». La victime arrive sur un faux point d’entrée qui transmet les échanges au véritable service. Certaines formes de MFA, notamment les codes temporaires, peuvent être relayées pendant cette connexion. L’attaquant cherche alors à récupérer la session obtenue après validation.
Les passkeys apportent ici une rupture importante. Fondées sur les standards FIDO, elles lient l’authentification au service attendu : un domaine frauduleux ne peut pas simplement réclamer la même preuve. Elles résistent donc à ce phishing classique par relais, à condition que le parcours ne propose pas une solution de repli plus faible. Présenter toutes les méthodes multifacteurs comme équivalentes serait une erreur.
Le terminal compromis après la connexion
Deuxième chemin : attendre que l’utilisateur soit authentifié, puis attaquer son environnement. Les logiciels voleurs d’informations, ou infostealers, recherchent notamment des données de navigateur, des identifiants et des artefacts de session. Ils se diffusent à travers de faux logiciels, des téléchargements piégés ou des campagnes d’ingénierie sociale. Des extensions malveillantes peuvent également exposer des données sensibles, selon leurs permissions.
Les protections du système et le chiffrement local compliquent cette collecte, sans garantir qu’un logiciel exécuté avec les droits de l’utilisateur restera impuissant. Même lorsque l’exportation d’un secret est bloquée, un attaquant peut chercher à agir directement dans le navigateur compromis. La passkey protège l’authentification ; elle ne transforme pas un poste infecté en environnement fiable.
Un risque déjà sorti du laboratoire
L’incident touchant le système d’assistance d’Okta en 2023 a illustré le danger des sessions exposées hors du parcours de connexion. Des fichiers de diagnostic transmis au support, notamment des archives HAR enregistrant des échanges web, pouvaient contenir des cookies ou des jetons sensibles. Leur récupération a permis des détournements de sessions concernant certains clients. Le problème ne se limitait donc pas au choix du mot de passe.
La leçon dépasse ce cas : une donnée utile au dépannage peut devenir un secret d’accès. Captures réseau, journaux trop bavards ou tickets contenant des informations non expurgées élargissent la surface d’exposition. La sécurité des sessions concerne ainsi les équipes informatiques, les fournisseurs et les procédures de support, pas uniquement l’écran de connexion.
Ces faits documentés ne permettent pas de chiffrer honnêtement la place exacte du vol de sessions en septembre 2026. Ils soutiennent néanmoins une hypothèse solide : à mesure que l’authentification résiste mieux aux attaques, les adversaires ont davantage intérêt à viser ce qui se passe après. Ce déplacement complète les attaques par mot de passe ; il ne les remplace pas.
Le terminal redevient une frontière de confiance
Pour une entreprise, généraliser les passkeys reste donc une bonne décision. Mais le projet doit rejoindre celui de la sécurité des postes. Un ordinateur personnel non suivi, un navigateur obsolète ou une extension installée sans contrôle peuvent exposer une session professionnelle, même lorsque la connexion initiale respecte les meilleures pratiques.
Le socle est concret : mises à jour rapides, limitation des privilèges, contrôle des logiciels et des extensions, protection des terminaux et séparation des usages sensibles. Les comptes d’administration méritent des environnements dédiés. L’accès conditionnel peut imposer un appareil géré et conforme, mais sa portée doit être vérifiée : un contrôle effectué uniquement au début ne garantit pas que chaque utilisation ultérieure du jeton sera réévaluée.
Il faut aussi comprendre les limites des réglages web. Les attributs Secure, HttpOnly et SameSite des cookies réduisent plusieurs risques importants, notamment leur exposition à certains scripts ou leur envoi dans des contextes inappropriés. Ils ne constituent toutefois pas une protection générale contre un logiciel malveillant installé sur le poste.
Détecter l’usage abusif, pas seulement la connexion
La surveillance doit suivre la session dans le temps. Apparition d’un nouvel environnement, changement inhabituel de réseau, consultation massive de documents ou modification des moyens de récupération : ces signaux prennent leur sens lorsqu’ils sont corrélés. Une adresse IP différente ne prouve rien à elle seule, entre déplacements, réseaux mobiles et VPN.
Les équipes peuvent organiser leur réponse autour de trois priorités :
- Limiter l’exposition : ajuster la durée des sessions et les droits des jetons à la sensibilité des applications.
- Renforcer les actions critiques : demander une authentification supplémentaire pour un paiement, un export massif ou un changement de sécurité.
- Préparer la révocation : savoir invalider les sessions et les autorisations compromises sans dépendre du seul changement de mot de passe.
En cas d’incident, cette dernière distinction devient décisive. Réinitialiser un mot de passe ne ferme pas automatiquement toutes les sessions dans tous les services. Il faut isoler le terminal suspect, révoquer les accès concernés, examiner les jetons de renouvellement et rechercher d’éventuelles persistances, comme des règles de transfert de messagerie. Reconnecter l’utilisateur sur le même poste infecté peut relancer le problème.
Et maintenant ?
Et maintenant ? La trajectoire plausible, à l’horizon de septembre 2026, est celle de sessions davantage liées à un appareil et de contrôles réévalués pendant leur utilisation. Ces approches peuvent réduire la réutilisation de secrets volés, mais leur disponibilité et leur efficacité dépendent des services ; elles n’arrêtent pas nécessairement un attaquant actif sur le terminal autorisé. Pour les entreprises, la priorité reste claire : déployer une authentification résistante au phishing, puis protéger toute la vie de la session. La connexion n’est pas la fin du contrôle de sécurité. C’est son commencement.
