L'AiTM (adversary-in-the-middle) est une attaque de phishing dans laquelle l'attaquant interpose un proxy inverse entre la victime et le service légitime. La page affichée est le site réel, servi à travers l'infrastructure de l'attaquant : identifiants, code à usage unique et approbation MFA transitent en temps réel, et le cookie de session émis à la fin du parcours est capté puis rejoué.
Pourquoi la MFA classique ne l'arrête pas
L'AiTM ne cherche pas à casser le second facteur : il le fait fournir par l'utilisateur lui-même, au bon moment, sur le bon domaine apparent. Un OTP à six chiffres, une notification push approuvée ou un code TOTP conservent leur validité le temps du relais. Une fois la session établie, l'attaquant n'a plus besoin d'aucun facteur : il détient un jeton déjà authentifié.
Les mécanismes qui résistent sont ceux qui lient la preuve à son contexte : le origin binding de FIDO2/WebAuthn, qui refuse de signer pour un domaine qui n'est pas celui enregistré, ou une validation portant sur l'action et non sur la seule ouverture de session.
À ne pas confondre avec le MITM
Le MITM classique désigne l'interception d'un flux réseau (Wi-Fi ouvert, ARP spoofing, TLS détourné). L'AiTM opère au niveau applicatif : il n'y a rien à casser dans TLS, puisque la victime établit volontairement une session chiffrée avec le serveur de l'attaquant, qui en ouvre une seconde vers le service authentique.
Aller plus loin : l'attaque qui vole la session, pas le mot de passe · MFA résistant au phishing · définition du vol de session · le 4ᵉ facteur cognitif