Lorsque vous ouvrez une session, le site vérifie votre identifiant, votre mot de passe et, si vous l’avez activée, la double authentification. Il crée ensuite un jeton de session, généralement conservé par le navigateur sous la forme d’un cookie. À chaque nouvelle page, ce jeton confirme que vous êtes déjà authentifié.
Sans ce système, Netflix, Gmail ou YouTube devraient vous redemander votre mot de passe à chaque ouverture. Le problème apparaît si quelqu’un parvient à le copier. Tant qu’il reste valide, un pirate peut tenter de le présenter depuis son propre appareil. Le serveur reçoit alors une preuve d’authentification correcte, mais utilisée par la mauvaise personne.
Cet accès frauduleux reste toutefois limité par la durée de validité du cookie. Il peut également être interrompu si le service détecte une anomalie ou si la session est révoquée.
Un antivirus à jour réduit le risque, mais aucune protection ne peut bloquer toutes les infections. La prudence au moment de télécharger un fichier reste donc essentielle.
Un mot de passe unique et la double authentification restent indispensables contre de nombreuses attaques, même s’ils ne suffisent pas toujours à bloquer la réutilisation d’un cookie de session actif.
Une alerte ne signifie pas forcément qu’un pirate a déjà utilisé votre compte, mais elle doit être prise au sérieux. L’OWASP, une fondation internationale à but non lucratif spécialisée dans la sécurité des sites et applications web, recommande de fermer la session suspecte afin d’invalider le cookie volé.
