Le session hijacking (détournement de session) consiste à prendre le contrôle d'une session déjà authentifiée, en s'appropriant l'élément qui la matérialise : un cookie de session, un jeton d'accès ou un jeton de rafraîchissement. L'attaquant n'a alors aucun facteur à fournir : pour l'application, la session est légitime et déjà validée.
Comment le jeton est obtenu
- Vol sur le poste : un infostealer extrait les cookies du navigateur, y compris ceux d'une session en cours ;
- Relais par proxy inverse : dans une attaque AiTM, le cookie émis après une MFA réussie est capté au passage ;
- Injection de script dans l'application, lorsque le cookie n'est pas protégé par l'attribut
HttpOnly; - Fixation de session, si l'identifiant n'est pas régénéré au moment de l'authentification.
Ce qui limite réellement l'impact
Les mesures d'hygiène restent nécessaires : cookies Secure, HttpOnly et SameSite, régénération
de l'identifiant à la connexion, durées de vie courtes, révocation immédiate côté serveur.
Au-delà, les protections efficaces lient le jeton à un contexte — appareil ou clé —, de sorte
qu'un jeton copié ailleurs devienne inutilisable.
Reste une limite de principe : ces mesures protègent la session. Elles ne disent rien de la légitimité de chaque action menée à l'intérieur. C'est pourquoi les opérations sensibles gagnent à être validées individuellement, par une preuve d'intention distincte de l'ouverture de session.
Aller plus loin : vol de session : ce qui reste possible après une MFA réussie · le MTD contre le vol de session · définition de l'AiTM · l'authentification cognitive