Phishing AiTM : Pourquoi même un code 2FA saisi sur une fausse page est volé

Pendant des années, le déploiement du MFA (authentification multifacteur) a été présenté comme le bouclier ultime contre le vol d'identifiants. Pour les RSSI et les équipes sécurité, imposer un code temporaire par SMS ou une notification push permettait de neutraliser instantanément 99 % des attaques de phishing classiques. Malheureusement, cette certitude s'effondre face à l'essor spectaculaire des attaques dites AiTM (Adversary-in-the-Middle).

Aujourd'hui, un collaborateur peut renseigner scrupuleusement son mot de passe et valider son second facteur sur son smartphone, tout en livrant l'accès complet à sa boîte mail professionnelle ou à son environnement cloud. Les attaquants ne cherchent plus à casser vos mots de passe : ils contournent directement le contrôle d'accès. Comprendre ce mécanisme technique est devenu indispensable pour adapter votre stratégie défensive et votre sensibilisation interne.

Comment un kit de phishing AiTM intercepte-t-il le jeton de session malgré la double authentification ?#

En résumé : Un kit AiTM agit comme un proxy inverse malveillant qui relaie en temps réel les requêtes entre la victime et le vrai service cible. Lorsque l'utilisateur valide son code 2FA, le serveur légitime émet un cookie de session que l'attaquant intercepte pour usurper immédiatement l'identité connectée.

Contrairement à un site de phishing traditionnel qui se contente de copier l'apparence visuelle d'une page de connexion pour enregistrer des frappes de clavier, l'infrastructure AiTM repose sur un fonctionnement dynamique :

• Le relai en miroir : L'attaquant déploie un serveur mandataire (reverse proxy) sous un nom de domaine trompeur. Quand la victime clique sur le lien malveillant, le serveur de l'attaquant charge la véritable page d'authentification de l'éditeur (par exemple la mire d'un service collaboratif cloud) et la renvoie à la victime.
• L'interception du premier facteur : L'utilisateur saisit son identifiant et son mot de passe. Le proxy malveillant les transmet immédiatement au vrai service, qui demande alors le second facteur habituel.
• La validation du MFA : La victime reçoit sa demande d'approbation sur son application d'authentification ou son code à six chiffres, puis le valide en toute confiance. Pour elle, le comportement est identique à une connexion ordinaire.
• La capture du cookie de session : Une fois le MFA approuvé, le serveur légitime génère un jeton d'authentification (session cookie) pour maintenir la connexion ouverte. C'est ce jeton précieux que le proxy AiTM capture au vol avant de rediriger la victime vers une page anodine.

Muni de ce cookie de session, le pirate l'injecte dans son propre navigateur. Il contourne ainsi le mot de passe, l'application MFA et les éventuels changements d'identifiants, accédant directement à l'espace de travail sans déclencher d'alerte immédiate.

Pourquoi les méthodes 2FA classiques ne suffisent plus face au vol de session ?#

En résumé : Les méthodes MFA traditionnelles comme les SMS, les applications TOTP et les notifications push ne lient pas cryptographiquement la session au domaine web légitime. Elles prouvent uniquement l'identité de l'utilisateur à un instant T sans valider l'authenticité de l'URL consultée par le navigateur.

Les codes à usage unique générés sur une application ou envoyés par SMS partagent une faiblesse structurelle majeure : ils reposent sur la saisie humaine. Dès lors qu'un être humain peut lire une chaîne de caractères pour la recopier dans un champ de formulaire, il peut être manipulé pour la recopier sur un faux site.

La faille des notifications push et des codes TOTP

Même les notifications push avec mise en correspondance de nombres (number matching) restent vulnérables aux attaques AiTM. Le proxy inverse transmet le numéro affiché par le vrai serveur directement sur l'écran du collaborateur trompé, qui sélectionne sans hésiter le bon numéro sur son smartphone.

L'impératif de l'authentification FIDO2 et des Passkeys

Pour contrer définitivement cette vulnérabilité, l'industrie s'oriente vers des mécanismes d'authentification résistants au phishing (phishing-resistant MFA) basés sur le standard FIDO2 et WebAuthn :

• Liaison cryptographique au domaine : Lors d'une authentification FIDO2 (via une clé de sécurité physique ou une Passkey), le navigateur communique directement avec le composant matériel sécurisé. Il transmet l'adresse URL exacte du site visité.
• Échec automatique sur faux domaine : Si l'utilisateur se trouve sur un domaine malveillant (par exemple login-securise-domaine.com au lieu du domaine officiel), la clé cryptographique refuse de signer la requête car l'origine ne correspond pas. Le proxy AiTM ne reçoit rien et ne peut générer aucun cookie de session.

Comment protéger concrètement vos collaborateurs contre le phishing AiTM ?#

L'adoption de clés matérielles et de Passkeys nécessite du temps et des ajustements d'infrastructure. En parallèle de cette transition technique, plusieurs mesures opérationnelles permettent de réduire drastiquement votre surface de risque.

Durcir les politiques d'accès conditionnel

Limitez la validité des cookies de session volés en appliquant des règles d'accès strictes :

• Exigence d'appareils conformes : Bloquez l'utilisation des sessions web provenant d'appareils non enregistrés ou ne respectant pas les politiques de conformité de l'entreprise (gestion de flotte MDM).
• Restrictions géographiques et anomalies de déplacement : Détectez les connexions impossibles dans le temps, par exemple une validation de session depuis Paris suivie d'une requête API depuis un autre continent deux minutes plus tard.
• Réduction de la durée de vie des jetons : Raccourcissez la persistance des sessions web pour forcer des réauthentifications régulières sur les applications sensibles.

Entraîner les équipes à la vigilance sur l'URL

Le point faible d'une attaque AiTM reste son nom de domaine : l'attaquant ne peut pas utiliser le domaine exact de votre fournisseur. L'attention portée à la barre d'adresse du navigateur demeure une ligne de défense essentielle.

Pour ancrer ces réflexes auprès de l'ensemble de vos collaborateurs, la mise en situation réelle s'avère indispensable. Avec Super Phisher, notre simulateur de campagnes de phishing d'entraînement déployé avec nos experts, vous confrontez vos équipes à des scénarios modernes et réalistes pour mesurer leur capacité à identifier les anomalies d'URL avant de renseigner leurs accès.

INTERFACE & EXPÉRIENCE BRAIN SECURITY · Super Phisher

Vers une cyberdéfense moderne mêlant technique et facteur humain#

Le phishing par contournement de double authentification montre à quel point les tactiques des attaquants évoluent vite. Compter uniquement sur un outil technique sans adapter la formation des utilisateurs crée un faux sentiment de sécurité particulièrement dangereux.

La réponse la plus efficace conjugue la mise en place d'architectures FIDO2, le paramétrage fin des contrôles d'accès et un entraînement continu des équipes aux pièges d'ingénierie sociale de nouvelle génération. Vous souhaitez auditer la résilience de vos collaborateurs face aux cyberattaques actuelles et construire un programme d'entraînement adapté ? Parlez-nous de vos besoins pour échanger avec notre équipe et découvrir nos approches immersives.

Aller plus loin : articles liés et solutions Brain Security#

Articles complémentaires sur ce thème

• Ingénierie sociale sur les réseaux professionnels : Quand une fausse offre cache une intrusion (Phishing & Ingénierie sociale) : Découvrez comment les attaquants exploitent les réseaux sociaux professionnels pour piéger vos salariés via de fausses offres et dérober vos accès.
• Taux de signalement phishing : pourquoi le RSSI doit abandonner le taux de clic (Phishing & Ingénierie sociale) : Découvrez pourquoi le taux de signalement phishing surpasse le taux de clic pour réduire l exposition au risque et protéger l entreprise en quelques minutes.
• Baiting et clés USB piégées : Pourquoi la curiosité reste un vecteur d'intrusion redoutable (Phishing & Ingénierie sociale) : Découvrez comment une attaque clé USB baiting piège vos collaborateurs et les réflexes de sécurité physique indispensables pour protéger votre entreprise.
• PCI DSS v4.0 Exigence 12.6 : Renforcer la sensibilisation au phishing (Conformité (NIS 2, DORA, ISO)) : Découvrez les exigences PCI DSS v4.0 (12.6) pour la formation cyber, la lutte contre le phishing et l'ingénierie sociale avec nos conseils concrets.

Découvrir les solutions Brain Security sur le site

• Solution associée : Super Phisher : Le simulateur de phishing qui entraîne vos équipes aux attaques réelles, du faux e-mail au QR code piégé, dans un cadre maîtrisé qui ne capture jamais un mot de passe.
• Consulter les cas d’usage par besoin et secteur
• Comparer nos formats de sensibilisation cyber et IA
• Explorer tout le catalogue interactif Brain Security
• Parler de vos besoins avec notre équipe (démo et accompagnement)