Combien de chemins mènent jusqu'à vous ?

« The Attack Surface describes all of the different points where an attacker could get into a system, and where they could get data out. » La surface d'attaque, ce sont tous les points par lesquels un attaquant peut entrer dans un système, ou en sortir des données. Date de la page non affichée.

« Adversaries may breach or otherwise leverage organizations who have access to intended victims. » La référence mondiale des techniques d'attaque décrit exactement le mécanisme du post : l'accès par un tiers de confiance passe par une connexion existante, souvent moins surveillée que les accès ordinaires.

Le cas d'un site légitime compromis : « a legitimate website is compromised, allowing adversaries to inject malicious code ». Le contenu modifié d'un site de confiance devient l'arme contre ceux qui le visitent ou y publient.

« Adversaries may manipulate products or product delivery mechanisms prior to receipt by a final consumer. » Un outil ou une extension modifiés avant d'arriver chez l'utilisateur : c'est la chaîne d'approvisionnement logicielle.

Un attaquant peut voler les cookies de session d'un service web et s'en servir « as an authenticated user without needing credentials ». La page précise que ces cookies « can be used to bypass some multi-factor authentication protocols ».

Le cookie volé passe la double authentification parce que la session est déjà authentifiée. Exemple cité : pendant l'attaque SolarWinds, le groupe APT29 a forgé un cookie de session pour contourner l'authentification multifacteur d'une messagerie.

Une campagne qui a visé plus de 10 000 organisations depuis septembre 2021, par de fausses pages de connexion placées entre la victime et le vrai service : « Once the attacker obtains the session cookie, they can inject it into their browser to skip the authentication process, even if the target's MFA is enabled. »

Des créateurs de contenu recevaient une fausse proposition de collaboration avec un logiciel à installer (VPN, antivirus, retouche photo) qui volait leurs cookies de session. Google relie le retour de cette technique à l'adoption plus large de l'authentification multifacteur. 1,6 million de messages bloqués, plus de 4 000 comptes rétablis ou protégés.

Mesure 8 : « un compte d'administration nominatif, distinct du compte utilisateur, doit être attribué à chaque administrateur », dédié aux seules actions d'administration, avec la journalisation des connexions. La mesure 7 encadre l'accès des prestataires.

L'ANSSI recommande de privilégier l'authentification multifacteur, en particulier avec un facteur de possession, d'adapter la robustesse des mots de passe au contexte et d'utiliser un gestionnaire de mots de passe.

Mots de passe solides et double authentification, sauvegardes, mises à jour de sécurité sans attendre, séparation des usages personnels et professionnels. Page créée le 6 janvier 2021, mise à jour le 5 octobre 2026.

« The only widely available phishing-resistant authentication is FIDO/WebAuthn authentication » : les clés de sécurité et les clés d'accès. La CISA conseille de commencer par les comptes les plus exposés, la messagerie et l'authentification unique.

« Authenticators that involve the manual entry of an authenticator output (e.g., out-of-band and OTP authenticators) SHALL NOT be considered phishing-resistant. » Un code reçu par SMS ou lu dans une application est une double authentification, mais pas une authentification résistante à l'hameçonnage.

Le programme de Google pour les personnes « with high visibility and sensitive information » impose une clé d'accès ou une clé de sécurité pour se connecter. Ce sont les clés physiques que le post recommande pour les comptes critiques. Date de la page non affichée.

« Zero trust assumes there is no implicit trust granted to assets or user accounts based solely on their physical or network location [...] or based on asset ownership. » C'est le principe du post : ne pas accorder de confiance permanente à un outil parce qu'on l'utilise depuis longtemps.