La plupart d'entre nous imaginent une prise de contrôle de compte comme quelqu'un qui devine ou vole un mot de passe. Mais un schéma qui revient dans plusieurs incidents récents fonctionne différemment : l'attaquant ne touche jamais à votre mot de passe. Il vous amène plutôt à lui remettre quelque chose qui fait office de clé de secours pour un compte où vous êtes déjà connecté — un appareil lié, un jeton d'autorisation, une session — et il passe tout droit devant les verrous sur lesquels vous comptiez habituellement.

Deux exemples permettent de rendre ce mécanisme concret. Des chercheurs en sécurité ont récemment décrit une arnaque WhatsApp se propageant depuis des comptes déjà piratés, où un message vous demande de « voter » pour un ami dans un concours. Il vous redirige vers une page qui imite l'écran de configuration « appareil lié » de WhatsApp, ou vous demande de saisir un code dans votre propre menu des appareils liés. Terminer ce parcours ajoute le téléphone de l'attaquant comme second appareil, pleinement autorisé, sur votre compte — avec un accès complet en lecture et en envoi — sans qu'il ait jamais eu à entrer un mot de passe. Comme le mot de passe n'a jamais été touché, vous ne recevez ni e-mail de réinitialisation ni alerte de connexion échouée. La session frauduleuse se contente de figurer discrètement dans votre liste d'appareils, comme une entrée de plus.

Par ailleurs, Microsoft a mis en garde contre une campagne exploitant les portails captifs Wi-Fi des hôtels et des salons professionnels — cette page « accepter les conditions » que l'on voit en se connectant. Des attaquants positionnés sur le trajet réseau redirigent les victimes vers de fausses pages de connexion ou de fausses invites de « code d'appareil » qui, une fois complétées, livrent des jetons d'autorisation plutôt que des mots de passe. L'effet est le même : une session qui paraît légitime aux yeux du service, parce que techniquement elle l'est — sauf qu'elle appartient désormais à quelqu'un d'autre.

Pourquoi vos défenses habituelles passent à côté

Un gestionnaire de mots de passe protège le mot de passe. L'authentification à deux facteurs protège le moment où vous vous connectez. Aucun des deux ne surveille ce qui se passe après qu'une session ou un appareil est autorisé, ce qui est exactement la brèche pour laquelle ces attaques sont conçues. La seule façon fiable de repérer ce type de compromission est de vérifier périodiquement, à la main, quels appareils et applications disposent actuellement d'un accès permanent à vos comptes — plutôt que d'attendre une alerte que ces attaques sont précisément conçues pour ne pas déclencher.

L'audit de session de 15 minutes

Faites-le pour les comptes qui comptent le plus (e-mail, WhatsApp/Telegram, banque, et tout ce qui est lié à votre identité ou à votre argent), et programmez un rappel récurrent pour le refaire. Là où les noms de menus changent avec le temps, cherchez des termes comme « appareils », « sessions » ou « applications connectées » :

  • WhatsApp : Paramètres → Appareils liés. Pour tout ce que vous ne reconnaissez pas, appuyez dessus et déconnectez-le immédiatement.
  • Google : myaccount.google.com/security → « Vos appareils » et, séparément, « Applications et services tiers » (parfois intitulé « Se connecter avec Google »). Révoquez l'accès de tout ce que vous n'utilisez pas activement.
  • Compte Microsoft : account.microsoft.com/devices pour la liste des appareils ; account.microsoft.com/activity pour l'historique des connexions.
  • Apple ID : Réglages → [votre nom] sur un iPhone/iPad, ou Réglages Système sur un Mac, affiche chaque appareil connecté à votre identifiant Apple.
  • Facebook/Instagram (Meta) : Paramètres → Centre de comptes → Mot de passe et sécurité → Où vous êtes connecté.
  • Applications bancaires et financières : la plupart proposent un écran « gérer les appareils » ou « sessions actives » dans les paramètres de sécurité, même si la formulation varie selon l'établissement — vérifiez la vôtre dès maintenant pour savoir où la trouver avant d'en avoir besoin.

Pendant que vous êtes dans ces menus, jetez aussi un œil à la liste des « applications connectées » ou des autorisations OAuth : les vieilles applications et extensions de navigateur que vous avez autorisées il y a des années et oubliées sont exactement le genre d'accès permanent que ce type d'attaque tente de créer à neuf.

Si vous trouvez quelque chose que vous ne reconnaissez pas

Supprimez ou déconnectez d'abord l'appareil ou l'application inconnue — n'attendez pas. Ensuite, même si l'attaquant n'a peut-être pas eu besoin de votre mot de passe, changez-le tout de même par précaution supplémentaire, et réactivez l'authentification à deux facteurs si elle a été désactivée (certains piratages la désactivent pour faciliter un retour ultérieur). Vérifiez si l'attaquant n'a pas mis en place quelque chose pour s'assurer une persistance, comme de nouvelles règles de transfert dans votre messagerie, de nouveaux numéros ou adresses e-mail de récupération, ou de nouveaux appareils ajoutés ailleurs — une session piratée sert souvent à planter un second point d'ancrage avant que le premier ne soit découvert. Enfin, si le compte compromis est un compte auquel vos contacts font confiance (comme WhatsApp), prévenez-les que les messages envoyés de votre part dans le passé récent — en particulier tout ce qui demande de l'argent, des votes ou des codes — pourraient ne pas venir de vous.

Un piège spécifique aux voyages à signaler

Si vous vous connectez au Wi-Fi d'un hôtel, d'un aéroport ou d'un salon professionnel et que la page du portail captif vous demande de « vous connecter » à un compte Microsoft, Google ou similaire, ou vous affiche un code d'appareil à saisir, méfiez-vous par défaut — un Wi-Fi d'hôtel légitime n'a presque jamais besoin que vous authentifiiez un compte cloud personnel pour vous connecter à Internet. Fermez le navigateur, connectez-vous plutôt via le partage de connexion cellulaire de votre téléphone ou un VPN, et si vous devez absolument utiliser le Wi-Fi de l'hôtel, évitez d'y ouvrir la moindre session sensible.

Une dernière remarque, si vous écrivez ou publiez du code

La même logique « ce n'est pas votre mot de passe, c'est votre session/jeton » s'applique aux identifiants de développeur. Un récent incident de chaîne d'approvisionnement impliquant un paquet npm empoisonné surveillait spécifiquement la rotation des identifiants et pouvait se déclencher à ce moment-là — ce qui signifie que le réflexe instinctif (faire tourner ses jetons) était, dans ce cas précis, le mauvais premier geste. Si vous suspectez qu'un identifiant de build ou de CI a été exposé, vérifiez ce que le paquet compromis a réellement fait avant de faire tourner quoi que ce soit, plutôt que de supposer que la seule rotation suffit à fermer la porte.

Mettez-le au calendrier

Rien de tout cela n'est une solution ponctuelle — c'est une habitude, au même titre que consulter son relevé bancaire. Choisissez une date récurrente (le premier du mois fonctionne bien) et passez en revue les listes d'appareils et de sessions ci-dessus. C'est une vérification de quinze minutes qui permet de repérer exactement le genre de prise de contrôle silencieuse et sans mot de passe que tout le reste de votre dispositif de sécurité est conçu pour manquer.