Arnaques de Détournement de Session : Vol des Connexions Actives
Le détournement de session survient lorsqu’un escroc intercepte et prend le contrôle de votre session en ligne authentifiée, contournant ainsi la nécessité de voler votre mot de passe. Une fois connecté à un site web ou une application, votre navigateur reçoit un jeton de session ou un cookie qui vous maintient authentifié. Les attaquants utilisent diverses méthodes — notamment des attaques de type homme du milieu sur des réseaux WiFi publics, l’injection de logiciels malveillants ou des réseaux compromis — pour capturer ces jetons et usurper votre identité. Contrairement au vol traditionnel d’identifiants, le détournement de session peut se produire silencieusement ; vous restez connecté pendant que l’attaquant accède simultanément à votre compte depuis un autre endroit, rendant la détection difficile. Selon le Centre de plaintes pour crimes sur Internet du FBI, plus de 300 000 personnes ont été victimes d’attaques basées sur les sessions en 2023, avec des pertes moyennes de 5 000 $ par victime. Le danger s’intensifie lorsque les attaquants ciblent les services financiers, les comptes e-mail ou les réseaux sociaux — où ils peuvent transférer des fonds, réinitialiser des mots de passe ou lancer d’autres attaques avant que vous ne remarquiez quoi que ce soit.
Tactiques courantes
- •Déployer des logiciels malveillants ou des extensions de navigateur qui enregistrent silencieusement les cookies HTTP et les jetons de session depuis votre navigateur, les transmettant en temps réel à des serveurs contrôlés par l’attaquant sans que vous en soyez informé.
- •Réaliser des attaques de type homme du milieu (MITM) sur des réseaux WiFi publics non chiffrés, en utilisant des outils comme Wireshark ou Ettercap pour intercepter le trafic de session non chiffré entre votre appareil et le serveur du site web.
- •Injecter du code JavaScript malveillant dans des sites compromis ou des réseaux publicitaires qui récolte les cookies de session des navigateurs des visiteurs et les exfiltre vers l’infrastructure de l’attaquant.
- •Exploiter des vulnérabilités de type Cross-Site Request Forgery (CSRF) pour effectuer des actions non autorisées en utilisant votre session authentifiée, comme changer des adresses e-mail ou initier des réinitialisations de mot de passe depuis des sites contrôlés par l’attaquant.
- •Utiliser des attaques au niveau réseau contre les serveurs DNS ou l’infrastructure des fournisseurs d’accès pour vous rediriger vers de fausses pages de connexion, puis capturer votre jeton de session lorsque vous tentez de vous connecter sur le faux site.
- •Acheter ou obtenir des jetons de session divulgués lors de fuites de données, sur des places de marché du dark web ou via des menaces internes, puis les utiliser immédiatement pour accéder aux comptes avant que la session originale n’expire (généralement entre 15 minutes et 24 heures).
Comment l'identifier
- Recevoir des notifications de connexions simultanées à votre compte depuis différentes localisations géographiques ou appareils inconnus, indiquant que l’attaquant accède à votre session en même temps que vous.
- Observer une activité inhabituelle sur le compte, comme des e-mails envoyés que vous n’avez pas écrits, des paramètres modifiés ou des transactions initiées, alors que votre mot de passe n’a jamais été changé et que vous n’avez pas été déconnecté.
- Constater une déconnexion inattendue d’un compte alors que vous l’utilisez activement, ou que votre session semble dans un état incohérent avec des données en cache étranges.
- Détecter des extensions de navigateur ou barres d’outils suspectes apparues sans votre installation, en particulier celles demandant des permissions excessives liées à l’accès aux données ou à la gestion des cookies.
- Trouver des preuves que vos codes d’authentification à deux facteurs (2FA) ont été utilisés pour des tentatives d’accès au compte, alors que vous n’avez pas initié la connexion et que votre mot de passe reste inchangé, suggérant un contrôle de session plutôt qu’un vol d’identifiants.
- Recevoir des alertes de sites web ou applications concernant des connexions depuis un « nouvel appareil », des tentatives d’accès depuis une « localisation inhabituelle » ou des avertissements de sécurité liés à votre session, alors que vous n’avez pas initié de nouvelle connexion.
Comment se protéger
- Utilisez toujours des sites web en HTTPS uniquement (vérifiez l’icône de cadenas et le https:// dans l’URL) et évitez de saisir des informations sensibles sur des connexions non chiffrées, surtout sur des réseaux WiFi publics.
- Désactivez les connexions WiFi automatiques et n’utilisez jamais de WiFi public pour vos opérations bancaires, vos e-mails ou l’accès à des comptes sensibles ; utilisez plutôt un service VPN si vous devez accéder à des comptes sur des réseaux publics.
- Passez régulièrement en revue les sessions actives dans les paramètres de vos comptes (disponible sur Google, Microsoft, Apple, Facebook et la plupart des banques) et terminez immédiatement toute session non reconnue.
- Effacez vos cookies, le cache et l’historique de navigation chaque semaine, et envisagez d’utiliser le mode navigation privée/incognito pour les sites sensibles afin d’éviter le stockage persistant des jetons de session.
- Installez un logiciel antivirus et anti-malware réputé (comme Malwarebytes ou Windows Defender) et maintenez-le à jour pour détecter et supprimer les malwares de détournement de session basés sur le navigateur.
- Activez l’authentification à deux facteurs sur tous vos comptes critiques et surveillez attentivement les notifications de connexion ; changez immédiatement votre mot de passe et vérifiez l’activité du compte si vous constatez des tentatives de connexion inconnues.
Cas réels
Un professionnel se connecte à son e-mail professionnel sur un réseau WiFi public dans un café. Un attaquant utilisant un renifleur de paquets WiFi à proximité capture le cookie de session avant que la connexion HTTPS ne chiffre complètement le trafic. En quelques heures, l’attaquant accède au compte e-mail, se transfère des documents sensibles de l’entreprise et initie une réinitialisation de mot de passe. L’employé ne s’en aperçoit que le lendemain, lorsque le service informatique l’alerte d’une règle de transfert d’e-mails inhabituelle. L’attaquant a eu 18 heures d’accès avant d’être détecté.
Un travailleur indépendant installe une extension de navigateur apparemment utile pour la productivité, promettant de remplir automatiquement des formulaires et de gérer les mots de passe. À son insu, l’extension enregistre ses cookies de session chaque fois qu’il visite le site de sa banque ou les portails clients. L’attaquant surveille ces sessions et, lorsque le travailleur indépendant se connecte à son application bancaire, utilise immédiatement la session capturée pour transférer 8 000 € sur un compte avant que le système de détection de fraude de la banque ne le signale. Le travailleur indépendant découvre la transaction 3 jours plus tard en consultant son relevé.
Un propriétaire de petite entreprise reçoit un e-mail semblant provenir de son prestataire de paiement, lui demandant de « vérifier sa session » en cliquant sur un lien. Le lien mène à une fausse page de connexion contrôlée par des escrocs. Lorsque le propriétaire saisit ses identifiants, les escrocs capturent non seulement le mot de passe mais redirigent aussi le trafic pour générer un jeton de session valide. Ils accèdent ensuite au vrai compte du prestataire de paiement avec la session volée et initient des transactions non autorisées totalisant 12 000 € avant que l’entreprise ne s’en aperçoive une semaine plus tard.
Questions fréquentes
Comment puis-je savoir si quelqu'un a détourné ma session alors que je suis toujours connecté ?
Pourquoi le détournement de session est-il plus difficile à détecter que le vol de mot de passe ?
Que dois-je faire immédiatement si je suspecte que ma session a été détournée ?
Comment puis-je me protéger contre le détournement de session sur un WiFi public ?
Puis-je récupérer l'argent perdu à cause d'un détournement de session, et les dommages sont-ils permanents ?
Où signaler — France
Canaux officiels de votre région pour signaler cette escroquerie.
Cybermalveillance.gouv.fr
CybercriminalitéPlateforme officielle d'assistance aux victimes d'actes de cybermalveillance.
Pharos (signalement)
SignalementSignalement officiel des contenus et comportements illicites en ligne.
Info Escroqueries
Numéro vertNuméro vert national pour les victimes d'escroqueries (du lundi au vendredi).
DGCCRF SignalConso
Protection des consommateursSignalement des problèmes rencontrés avec une entreprise.
Vous pensez avoir rencontré cette arnaque ?
How to cite this guide
Use this when referencing ScamLens content in articles, research, AI responses, or social media.
According to ScamLens (scamlens.org), arnaques de détournement de session : vol des connexions actives is described at https://scamlens.org/fr/encyclopedia/session-hijacking.