--- id: CP-048 slug: vol-cookies-session-jetons-porteurs lang: fr title: Vol de cookies de session et jetons porteurs description: Un cookie de session volé permet de se faire passer pour un salarié sans mot de passe ni second facteur. Mécanisme, cas réel et réflexes. canonical_url: https://startbrain.io/cyberpedia/fr/articles/vol-cookies-session-jetons-porteurs/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/vol-cookies-session-jetons-porteurs.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Vol de cookies de session et jetons porteurs », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/vol-cookies-session-jetons-porteurs/ (CC BY 4.0) wing: 1 theme: master_passwords reflex: cr-023 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/vol-cookies-session-jetons-porteurs/ en: https://startbrain.io/cyberpedia/en/articles/session-hijacking-cookie-theft-bearer-tokens/ de: https://startbrain.io/cyberpedia/de/articles/diebstahl-sitzungscookies-bearer-token/ es: https://startbrain.io/cyberpedia/es/articles/robo-cookies-sesion-tokens-portador/ sources: - "n": 1 title: Steal Web Session Cookie publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1539/ accessed: "2026-11-03" - "n": 2 title: "Use Alternate Authentication Material: Web Session Cookie" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1550/004/ accessed: "2026-11-03" - "n": 3 title: Session hijacking attack publisher: OWASP url: https://community.owasp.org/attacks/Session_hijacking_attack accessed: "2026-11-03" - "n": 4 title: Steal Application Access Token publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1528/ accessed: "2026-11-03" - "n": 5 title: NIST Special Publication 800-63B publisher: NIST url: https://pages.nist.gov/800-63-3/sp800-63b.html accessed: "2026-11-03" - "n": 6 title: "From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud" publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/ published: "2022-07-12" accessed: "2026-11-03" - "n": 7 title: Session Management - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html accessed: "2026-11-03" - "n": 8 title: Browser Session Hijacking publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1185/ accessed: "2026-11-03" --- # Vol de cookies de session et jetons porteurs Quand un salarié se connecte à sa messagerie ou à un outil en ligne, le service lui remet un petit élément d'identification, le plus souvent un cookie, qui prouve qu'il est déjà authentifié. Si un attaquant s'empare de cet élément, il peut entrer comme s'il était la victime, sans connaître son mot de passe [1]. Côté salarié, rien de visible en général : sa session continue, son travail aussi. Cette fiche explique d'où vient le vol, ce qu'un attaquant en fait et ce que chacun peut faire pour réduire le risque. ## En 30 secondes - Où ça arrive : sur le poste de travail (logiciel malveillant), sur un faux site qui relaie la vraie page de connexion [1], ou dans un navigateur compromis [8]. - Ce que veut l'attaquant : reprendre une session déjà ouverte, lire les messages et agir au nom de la victime, en contournant certains seconds facteurs [2]. - Le réflexe : se déconnecter des services quand on a fini, révoquer ses sessions en cas de doute, fermer régulièrement les sessions du navigateur. - Si c'est déjà fait : prévenir le support informatique sans attendre, car la session volée reste utilisable tant qu'elle est active [2]. ## Questions directes ### Qu'est-ce qu'un cookie de session ? Après une connexion réussie, de nombreuses applications web emploient un cookie de session comme preuve d'authentification [1]. Le protocole web ne retient pas, par lui-même, qui est qui d'une requête à l'autre : le serveur envoie donc au navigateur un jeton, que le navigateur présente ensuite à chaque échange [3]. ### Qu'est-ce qu'un jeton d'accès, et en quoi diffère-t-il du cookie ? Un jeton d'accès sert à faire des requêtes autorisées au nom d'un utilisateur ou d'un service. Il est courant dans les applications en ligne (SaaS) et les services cloud [4]. Les deux objets ont la même faiblesse : celui qui le présente est accepté comme la personne qui l'a obtenu. La SP 800-63B du NIST, version remplacée depuis le 1er août 2025 par la SP 800-63-4, précisait d'ailleurs que la présence d'un jeton d'accès OAuth ne doit pas être interprétée comme la présence de l'utilisateur en l'absence d'autres signaux, et qu'un tel jeton peut rester valable bien après la fin de la session d'authentification [5]. ### Mon second facteur ne me protège-t-il pas ? Il protège la connexion, pas la session qui suit. MITRE indique que cette technique contourne certains protocoles d'authentification multifacteur, puisque la session est déjà authentifiée [2]. Microsoft précise qu'il ne s'agit pas d'une faille de l'authentification multifacteur : le cookie volé authentifie l'attaquant quelle que soit la méthode de connexion de l'utilisateur [6]. ### Combien de temps un cookie volé reste-t-il utilisable ? Les cookies restent souvent valables longtemps, même si l'application n'est pas utilisée activement [1]. L'attaquant peut s'en servir tant que le cookie est actif [2]. L'OWASP note aussi qu'un délai d'inactivité ne limite pas un attaquant qui a pris la session : il peut générer de l'activité pour la maintenir ouverte [7]. ## Dans la peau de l'attaquant L'attaquant cherche un élément réutilisable plutôt qu'un secret à deviner. Les cookies se trouvent sur le disque, dans la mémoire du navigateur et dans le trafic réseau vers des systèmes distants. D'autres applications du poste peuvent aussi garder en mémoire des cookies d'authentification, par exemple celles qui se connectent à des services cloud [1]. Une fois le cookie obtenu, l'attaquant l'importe dans un navigateur qu'il contrôle. Il utilise alors le site comme l'utilisateur, tant que la session est active. Il peut consulter des informations sensibles, lire des courriels ou faire ce que le compte de la victime a le droit de faire [2]. Pour le jeton d'accès, une voie décrite est l'hameçonnage : l'attaquant enregistre une application piégée et envoie un lien pour inciter la victime à lui accorder l'accès. Une fois le jeton accordé, l'application peut obtenir un accès potentiellement durable au compte [4]. Les jetons d'accès ont parfois une durée de vie limitée, mais l'attaquant peut aussi voler un jeton de renouvellement, qui lui donne de nouveaux jetons d'accès sans rien demander à l'utilisateur [4]. ## Ce que vous voyez à l'écran Le salarié ne voit rien : des alertes peuvent exister côté administrateur (voir plus bas). Dans le cas d'un faux site relais (décrit plus bas), la page ressemble trait pour trait à la vraie : la seule différence visible est l'adresse [6]. Après la saisie du mot de passe, la victime est redirigée vers la page légitime, et l'attaque se poursuit en arrière-plan [6]. Voici une illustration neutralisée d'une adresse de faux site relais. Elle est inventée pour l'exemple. ```text Illustration (adresse fictive, neutralisée) : hxxps://login[.]exemple-connexion[.]invalid/ [page identique à la vraie page de connexion, seule l'adresse diffère] ``` Quelques signes indirects existent. Si l'attaquant se connecte pendant que la victime travaille, des alertes de « déplacement impossible » peuvent apparaître côté administrateur [6]. Des règles de boîte de réception inconnues sont un autre signe : dans le cas décrit plus bas, l'attaquant en a créé une pour que la victime ne voie pas les réponses de sa cible [6]. ## Sous le capot Trois voies de vol sont décrites par les sources citées ici. - Le logiciel voleur : des logiciels malveillants ciblent les cookies des navigateurs présents sur le poste [1]. Certains extraient le cookie de session et l'envoient au serveur de l'attaquant [1]. - Le faux site relais : dans l'attaque dite de l'intercepteur (adversary-in-the-middle), l'attaquant place un serveur mandataire entre l'utilisateur et le site visé. Il capte ainsi le mot de passe et le cookie de session [6]. Des outils libres comme Evilginx2, Modlishka et Muraena automatisent ce procédé [6]. - Le navigateur compromis : un attaquant peut injecter du logiciel dans un navigateur pour hériter des cookies, des sessions HTTP et des certificats clients de l'utilisateur, puis s'en servir pour entrer dans un intranet authentifié [8]. Cette technique peut aussi contourner l'authentification à deux facteurs [8]. Elle peut exiger des droits particuliers sur le poste [8]. Pourquoi le rejeu fonctionne-t-il ? Le cookie est la preuve de la connexion : le serveur ne revérifie pas le mot de passe à chaque page [6]. La SP 800-63B du NIST admet d'autres méthodes d'identification sûre de l'appareil, dont le TLS mutuel et la liaison de jeton (token binding) [5]. L'OWASP recommande de lier l'identifiant de session à d'autres propriétés du client, comme l'adresse IP ou le User-Agent. Il reconnaît cependant qu'un attaquant habile peut contourner ce contrôle, par exemple en partageant le même réseau que la victime ou en copiant le User-Agent [7]. Du côté des durées, l'OWASP cite des délais d'inactivité courants de 2 à 5 minutes pour les applications à forte valeur et de 15 à 30 minutes pour les applications à faible risque. Pour un employé de bureau qui utilise une application toute la journée, il cite un délai absolu de 4 à 8 heures [7]. La SP 800-63B du NIST, remplacée depuis le 1er août 2025 par la SP 800-63-4, demandait que les secrets de session soient effacés ou invalidés à la déconnexion [5]. ## Autopsies ### Campagne d'hameçonnage par faux site relais contre Microsoft 365 (documentée le 12 juillet 2022) Le 12 juillet 2022, Microsoft publie l'analyse d'une campagne de grande ampleur. Selon ses données, elle a tenté de viser plus de 10 000 organisations depuis septembre 2021 [6]. Les attaquants ont utilisé des sites relais pour voler des mots de passe et détourner la session de la victime, même si l'authentification multifacteur était activée [6]. Dans l'une des vagues observées, un courriel avec une pièce jointe HTML annonçait un message vocal. La pièce jointe affichait une fausse barre de téléchargement, puis redirigeait vers un site relais construit avec Evilginx2, qui reprenait la page de connexion de l'organisation [6]. La victime saisissait ses identifiants, était redirigée vers la page légitime office.com, et l'attaquant, lui, était authentifié en son nom [6]. La suite visait la fraude au paiement. Selon Microsoft, il a fallu parfois cinq minutes seulement entre le vol et le début de la fraude. L'attaquant utilisait le cookie volé pour entrer dans la messagerie en ligne, parfois avec un cookie qui portait déjà la mention d'authentification multifacteur [6]. Il cherchait ensuite des échanges liés aux paiements, supprimait le courriel d'hameçonnage initial et créait une règle de boîte de réception qui archivait et marquait comme lues les réponses de sa cible, afin que la victime ne remarque rien [6]. Il supprimait enfin ses propres réponses des dossiers d'éléments envoyés et supprimés [6]. Microsoft recommande des authentifications résistantes à l'hameçonnage (FIDO 2.0 ou certificats) et des politiques d'accès conditionnel, qui évaluent chaque tentative d'usage d'un cookie volé [6]. ## Ce que vous faites Ces gestes viennent des sources citées ici. Leur effet est de réduire la durée ou la portée d'une session volée, pas de garantir qu'elle ne le sera pas. - Se déconnecter explicitement des services quand on a fini. L'OWASP indique que la fermeture du navigateur ne force pas la déconnexion de façon fiable et préconise une déconnexion explicite, avec des délais côté serveur [7]. - Révoquer ses sessions si un doute apparaît (poste infecté, page de connexion suspecte). Les sources citées ici ne détaillent pas la marche à suivre : le support informatique de l'entreprise indique la procédure. - Fermer régulièrement les sessions ouvertes dans le navigateur. MITRE recommande de fermer régulièrement toutes les sessions du navigateur [8]. - Contrôler l'adresse avant de saisir son mot de passe : l'adresse est la seule différence visible entre un faux site relais et le vrai [6]. - Signaler tout doute au support informatique, sans attendre : tant que la session est active, l'attaquant peut s'en servir [2]. Côté entreprise, MITRE cite la configuration des navigateurs pour supprimer régulièrement les cookies persistants [2]. ## Sources 1. MITRE ATT&CK, « Steal Web Session Cookie ». https://attack.mitre.org/techniques/T1539/ (consulté le 3 novembre 2026) 2. MITRE ATT&CK, « Use Alternate Authentication Material: Web Session Cookie ». https://attack.mitre.org/techniques/T1550/004/ (consulté le 3 novembre 2026) 3. OWASP, « Session hijacking attack ». https://community.owasp.org/attacks/Session_hijacking_attack (consulté le 3 novembre 2026) 4. MITRE ATT&CK, « Steal Application Access Token ». https://attack.mitre.org/techniques/T1528/ (consulté le 3 novembre 2026) 5. NIST, « NIST Special Publication 800-63B ». https://pages.nist.gov/800-63-3/sp800-63b.html (consulté le 3 novembre 2026) 6. Microsoft, « From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud », 12 juillet 2022. https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/ (consulté le 3 novembre 2026) 7. OWASP, « Session Management - OWASP Cheat Sheet Series ». https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html (consulté le 3 novembre 2026) 8. MITRE ATT&CK, « Browser Session Hijacking ». https://attack.mitre.org/techniques/T1185/ (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/vol-cookies-session-jetons-porteurs/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.