Compte piraté malgré l'authentification à deux facteurs : un cookie volé suffit

L'antivirus signale que l'opération a réussi. Malware détecté, supprimé, tout est propre. Deux jours plus tard, votre compte Google envoie des spams, et la liste des appareils affiche un ordinateur qui ne vous appartient pas. L'authentification à deux facteurs était activée depuis le début.

Ce qui se passe ici s’appelle un détournement de session, c’est-à-dire la prise de contrôle d’une session déjà en cours. L’attaquant n’a besoin ni de votre mot de passe ni de votre deuxième facteur d’authentification. Il lui suffit du petit fichier que votre navigateur stocke après votre connexion, afin que vous n’ayez plus à saisir quoi que ce soit lors de votre prochaine visite. Ce fichier est le cookie de session.

Google le décrit ouvertement sur son propre blog Chromium : le vol se produit après la connexion et contourne donc l’authentification à deux facteurs. Et il est difficile d’y remédier avec un logiciel antivirus, car les cookies continuent de fonctionner même après la suppression du logiciel malveillant.

Comment fonctionne le vol

Au départ, on trouve presque toujours un « infostealer », un programme conçu pour collecter des identifiants. Il s’introduit dans l’ordinateur via un logiciel piraté, un programme d’installation altéré ou une pièce jointe. Une fois en place, il lit les fichiers dans lesquels le navigateur stocke ses cookies. L’attaquant importe ensuite le cookie dans son propre navigateur et accède au site. Le service détecte une session valide et connectée et ne demande rien de plus.

L’ampleur de ce marché est illustrée dans le Global Threat Intelligence Report publié le 11 mars 2026 par la société de sécurité Flashpoint. Pour l’année 2025, Flashpoint recense plus de 11,1 millions d’ordinateurs infectés par des logiciels de vol d’informations et 3,3 milliards d’identifiants et de jetons cloud qui y ont été dérobés. Les cookies de session ne sont même pas pris en compte dans ce décompte.

L’opération Endgame a montré à quel point cela nous touche de près. Le 24 juin 2026, Europol a fait état d’une opération menée contre les groupes de vol d’informations StealC et Amadey, ainsi que contre le réseau de distribution SocGholish, avec la participation de l’Allemagne. 326 serveurs et 142 domaines ont été mis hors service, et 27 millions de jeux d’identifiants ont été récupérés. Les victimes ont été informées notamment via Have I Been Pwned.

Le deuxième facteur n’est pas placé au bon endroit. Un code SMS, une invite d’application et une clé de sécurité permettent tous de vérifier l’identité de la personne qui se connecte. Le cookie n’est créé qu’après coup, comme preuve que cette vérification a été réussie. Quiconque détient cette preuve n’a pas à se soumettre à nouveau à la vérification. Même le Programme de protection avancée de Google n’y change rien. Selon Google, toute personne restant connectée pourrait ne plus être invitée à saisir à nouveau sa clé de sécurité. Pour savoir comment sécuriser correctement vos comptes, consultez l’article « Un mot de passe seul ne suffit pas ».

Ce que font les navigateurs à ce sujet

Sous Windows, Chrome crypte les cookies à l’aide de la technologie « App-Bound Encryption » depuis la version 127 de juillet 2024 et lie la clé à l’application. Google reconnaît lui-même les limites de ce système : un logiciel malveillant s’exécutant avec des privilèges élevés peut contourner cette protection. Cela rend le vol plus coûteux, mais ne l’empêche pas.

La véritable avancée s’appelle « Device Bound Session Credentials », ou DBSC en abrégé. Le navigateur génère une paire de clés dont la partie privée ne quitte jamais l’appareil. Sous Windows, elle est stockée dans le TPM, la puce de sécurité de la carte mère. Le service vérifie régulièrement si le navigateur détient toujours cette clé. Un cookie présent sur l’ordinateur d’une autre personne échoue à cette vérification.

Pour les sites web, cette technologie est disponible depuis Chrome 145. Google l’a activée pour ses propres services le 9 avril 2026 avec Chrome 146 sous Windows et la déploie depuis le 25 mai 2026 pour les comptes Workspace et les comptes Google personnels, sans que les utilisateurs aient quoi que ce soit à activer. Deux limites subsistent. Selon la spécification du W3C, le DBSC n’empêche pas l’accès tant que l’attaquant se trouve encore sur l’appareil. De plus, chaque site web doit participer activement au processus, ce qui explique pourquoi cette protection est d’abord mise en place pour les services Google.

Firefox s’en sort moins bien que beaucoup ne le pensent. Sa base de données de cookies se trouve en clair sur le disque dur. La fiche correspondante dans le système de suivi des bogues de Mozilla, le bogue 56788, a été créée il y a 25 ans, classée comme « WONTFIX » en 2000, puis rouverte il y a deux ans. Elle est classée en priorité P3 et n’est attribuée à personne. La fonctionnalité « Protection totale contre les cookies » n’y change rien ; il s’agit d’une protection contre le suivi.

Ce que vous pouvez faire dès maintenant

C’est l’ordre des opérations qui fait la différence. En cas d’infection par un logiciel malveillant, l’Office fédéral allemand de la sécurité de l’information (BSI) recommande de procéder dans l’ordre suivant : réinstallez d’abord le système, puis modifiez les mots de passe. Quiconque procède dans l’ordre inverse et saisit le nouveau mot de passe sur la machine infectée la livre directement à l’attaquant.

Vient ensuite l’étape que la plupart des gens négligent. Un nouveau mot de passe n’élimine pas nécessairement un pirate disposant d’un cookie valide. Vous devez mettre fin séparément à chaque session ouverte.

Google : myaccount.google.com, rubrique « Sécurité », « Gérer tous les appareils ». Chaque session est répertoriée individuellement ; appuyez sur l’appareil et déconnectez-vous. Google ne propose pas de bouton unique pour toutes les sessions.

Microsoft : account.microsoft.com, options de sécurité avancées, « Se déconnecter de tous les appareils ». Selon Microsoft, la déconnexion peut prendre jusqu’à 24 heures, et la Xbox est exclue.

Apple : account.apple.com, rubrique « Appareils », sélectionnez l’appareil, puis « Supprimer du compte ». L’appareil réapparaît si quelqu’un y est toujours connecté.

Ce que font les clés d’accès et ce qu’elles ne font pas

Les clés d’accès sont considérées comme les successeurs des mots de passe, et le BSI les qualifie de moyen d’authentification très sécurisé. C’est vrai, mais là encore, cela ne concerne que l’acte de connexion. Une clé d’accès empêche quelqu’un de se connecter à votre place. Elle n’empêche pas quelqu’un de prendre le contrôle de la session que vous avez déjà ouverte. Le fait que la connexion elle-même reste vulnérable est démontré par l’attaque « Pass-the-Passkey ».

La réalité est dérangeante. Dans son blog consacré à la sécurité du 9 avril 2026, Google écrit qu’aucun système d’exploitation ne dispose d’un moyen fiable d’empêcher le vol de cookies à l’aide d’un simple logiciel une fois qu’un logiciel malveillant s’est installé sur l’appareil. Ce que change le DBSC, c’est la durée de vie du butin. Le cookie volé n’est alors utilisable que sur la machine où il a été créé.

Tant que cela ne s’appliquera pas partout, le problème persistera. Pas de logiciels piratés, des téléchargements uniquement depuis la source d’origine, et en cas de moindre suspicion, réinstallez d’abord le système, puis mettez fin aux sessions. Dans cet ordre.