Dans un monde où les mots de passe ont depuis longtemps cessé d'être un bouclier fiable, ce sont les petits fichiers texte — les cookies — qui sont devenus le principal trophée des cybercriminels. Selon les experts, des milliards de cookies de navigateur volés circulent sur le marché noir, permettant aux attaquants de contourner les mots de passe et l'authentification à deux facteurs, en s'emparant directement des sessions actives des utilisateurs.
Traditionnellement, les cookies stockent des informations de connexion aux comptes : identifiant de session, préférences et jetons temporaires. Lorsqu'un attaquant s'empare d'un tel fichier, il peut imiter un utilisateur légitime sans avoir à saisir un mot de passe ou un code de confirmation. Cela est particulièrement dangereux pour les services d'entreprise et financiers, où la session peut rester active pendant des heures, voire des jours.
Des études montrent que les cookies sont devenus plus précieux que les mots de passe sur les marchés du darknet : ils sont vendus par lots, et le prix d'un seul cookie "vivant" provenant d'un service populaire peut atteindre plusieurs dollars. Les fuites se produisent vraisemblablement via des logiciels malveillants, des sites de phishing et des vulnérabilités dans les navigateurs ou leurs extensions. Les experts soulignent que même les mécanismes de protection modernes, tels que les drapeaux HttpOnly et Secure, ne sont pas toujours suffisants si le cookie a déjà été volé côté client.
La situation est aggravée par l'ampleur du phénomène : selon les estimations préliminaires, des milliards de fichiers compromis sont activement utilisés pour des attaques massives. Les utilisateurs ne remarquent souvent le problème qu'au moment où ils sont confrontés à des transactions non autorisées ou à des modifications de leur compte. Cela met en évidence le paradoxe de la sécurité numérique : plus l'accès en ligne devient pratique, plus nous sommes vulnérables aux vols silencieux et imperceptibles.
Les entreprises et les régulateurs tentent de réagir : les navigateurs mettent en œuvre des politiques SameSite plus strictes, et les services adoptent des jetons à courte durée de vie et une rotation régulière des sessions. Cependant, une partie de la responsabilité incombe aux utilisateurs — un nettoyage régulier des cookies, l'utilisation de gestionnaires de mots de passe prenant en charge les passkeys et la prudence lors de l'installation d'extensions peuvent réduire les risques. Comme le dit le vieil adage, « mieux vaut prévenir que guérir ».
En fin de compte, cette menace nous rappelle que l'identité numérique est aujourd'hui fragmentée en une multitude de petits morceaux de données, et que la perte de contrôle sur l'un d'eux peut coûter cher.
