Dans un service de messagerie cloud utilisant l'authentification multifacteur, un employé a été attiré vers un écran de connexion identique au vrai et y a saisi un mot de passe et un mot de passe à usage unique. L'attaquant a utilisé cet écran comme relais vers le vrai service, a volé le cookie de session émis après la connexion et s'est fait passer pour l'employé. Quelle description de cette attaque et des contre-mesures est la plus appropriée ?

Réponse : C. Un cookie volé représente un état où l'authentification multifacteur a déjà été effectuée ; il faut donc révoquer immédiatement la session et combiner une authentification de type clés d'accès, des sessions plus courtes et la détection des usages inhabituels

Quand l'authentification réussit, le service émet un jeton comme un cookie de session, et les requêtes suivantes sont traitées comme venant de l'utilisateur sur la seule foi de ce jeton. Si le jeton est volé par un hameçonnage à relais (AiTM) ou par un logiciel malveillant voleur d'informations sur le terminal, l'attaquant peut donc se faire passer pour l'utilisateur dans un état où l'authentification multifacteur a déjà été effectuée. Quand on s'aperçoit des dommages, il ne suffit pas de changer le mot de passe : il faut aussi révoquer les sessions déjà émises. La prévention combine une authentification résistante à l'hameçonnage liée au domaine contacté, comme les clés d'accès, des durées de session plus courtes, et une réauthentification ou des restrictions d'usage en cas de changement de lieu ou d'appareil.