Pourquoi 81% des attaques contournent votre gestionnaire

Le verrou de votre porte numerique possede un passe-partout

Vous avez consacre quinze minutes a generer un mot de passe aleatoire de 24 caracteres pour votre compte bancaire. Vous avez active l'authentification a deux facteurs. Votre gestionnaire de mots de passe fonctionne derriere un deverrouillage biometrique et un chiffrement a connaissance nulle. Selon le manuel des bonnes pratiques, vous avez tout fait correctement.

Rien de tout cela n'a compte lorsqu'un infostealer a extrait 1 861 cookies de session d'un seul appareil infecte.

Ce chiffre provient de l'analyse de SpyCloud sur les donnees exfiltrees par malware en 2025, qui a recupere plus de 20 milliards de cookies de session voles en une seule annee. L'implication est considerable : les attaquants n'ont plus besoin de votre mot de passe. Ils ont besoin d'un cookie de votre navigateur indiquant que cette personne s'est deja connectee, et ils traversent votre forteresse de 24 caracteres, votre verification MFA et meme vos nouvelles passkeys.

Votre gestionnaire de mots de passe a un probleme plus grave que vous ne le pensez

En fevrier 2026, des chercheurs de l'ETH Zurich et de l'Università della Svizzera italiana ont publie des resultats qui devraient interpeller tout utilisateur de gestionnaire de mots de passe. Ils ont identifie 25 attaques distinctes de recuperation de mots de passe sur les quatre gestionnaires cloud les plus populaires : Bitwarden confronte a 12 scenarios d'attaque, LastPass a sept, Dashlane a six. Ces plateformes protegent collectivement plus de 60 millions d'utilisateurs et 125 000 entreprises.

Les attaques vont de la fuite de metadonnees a la compromission totale du coffre-fort. Les chercheurs ont demontre que le "chiffrement a connaissance nulle", l'argument de vente phare de chaque gestionnaire, peut etre contourne par l'exploitation de la mise en sequestre des cles, un chiffrement defaillant au niveau des elements et des vulnerabilites dans les fonctions de partage.

Cela ne signifie pas qu'il faille supprimer votre gestionnaire demain. Cela signifie que l'outil constitue un socle necessaire, non le bouclier de securite que la plupart croient posseder.

Detournement de session : l'attaque qui rend l'authentification caduque

Voici le schema derangeant : 87 % des cyberattaques reussies en 2024 ont implique un detournement de session apres une connexion MFA valide. L'attaquant ne dechiffre pas votre mot de passe. Il n'intercepte pas votre code a usage unique. Il attend que vous ayez prouve votre identite, puis derobe le jeton de session que votre navigateur genere apres l'authentification reussie.

Representez-vous la chose ainsi : votre mot de passe est la cle, le MFA est la serrure renforcee. Mais le cookie de session est la porte laissee grande ouverte apres que vous l'avez franchie, et elle reste ouverte pendant des jours, parfois des semaines.

Les malwares de type infostealer comme RedLine et Raccoon operent desormais a l'echelle industrielle. Une seule campagne de malware peut recolter 548 millions de mots de passe et 17 milliards de cookies de session simultanement. Les criminels conditionnent ces sessions volees en produits commerciaux sur des marches clandestins comme le Genesis Store, accompagnees d'empreintes de navigateur et d'adresses IP pour usurper l'identite des victimes de maniere transparente.

Les attaques de phishing de type adversary-in-the-middle (AiTM) ont augmente de 146 % en 2025, avec pres de 40 000 incidents detectes quotidiennement. Elles s'interposent entre vous et la page de connexion legitime, capturant identifiants et jetons de session en temps reel. L'ANSSI (Agence nationale de la securite des systemes d'information) a d'ailleurs emis des alertes repetees sur la recrudescence de ces techniques d'interposition.

Les passkeys suppriment la surface d'attaque, mais presque personne ne peut les utiliser

Les passkeys representent une veritable rupture architecturale. Au lieu de transmettre un secret partage au serveur, une passkey utilise la cryptographie a cle publique liee a votre appareil specifique. Cote serveur, il n'y a rien a derober puisque la cle privee ne quitte jamais le materiel. La FIDO Alliance rapporte que les passkeys permettent desormais a plus de 15 milliards de comptes de s'authentifier sans mot de passe, avec un taux de reussite de 93 % contre 63 % pour les identifiants traditionnels.

Les services ayant adopte les passkeys rapportent des taux de prise de controle de comptes proches de zero.

L'ecart dont personne ne parle avec franchise : seulement 48 % environ des 100 plus grands sites web prennent en charge les passkeys. En dehors de cette elite, la compatibilite chute brutalement. Votre banque, votre portail de sante, le VPN de votre employeur fonctionnent tres probablement encore avec des mots de passe et une MFA par SMS.

Pendant ce temps, 16 milliards d'identifiants ont ete exposes mi-2025 a travers 30 jeux de donnees sur le dark web. Nombre de ces mots de passe avaient ete fraichement recoltes par des infostealers, ce qui signifie qu'ils etaient actifs et utilises au moment de leur exposition.

Ce qui vous protege reellement aujourd'hui

La verite contre-intuitive n'est pas que les gestionnaires de mots de passe soient inutiles. C'est qu'ils resolvent le probleme d'hier tandis que les attaques d'aujourd'hui se sont deplaces vers les jetons de session et les vecteurs post-authentification.

Une posture de securite adaptee a 2026 comprend : conserver votre gestionnaire de mots de passe sans le croire invulnerable ; activer les passkeys partout ou elles sont disponibles ; traiter l'hygiene de session avec le meme serieux que l'hygiene des mots de passe, en vous deconnectant des comptes sensibles et en isolant les sessions bancaires dans des profils de navigateur separes ; utiliser une protection des terminaux capable de detecter les infostealers ; et rester vigilant face au phishing AiTM, en fermant toute page de connexion qui parait legerement differente.

Votre gestionnaire de mots de passe n'est pas obsolete. Mais le modele de menace pour lequel il a ete concu l'est. Le mot de passe de 24 caracteres qui protege votre compte bancaire reste pertinent, simplement pas pour les raisons que vous imaginez. Le veritable combat se joue apres la connexion, et c'est une bataille que votre gestionnaire n'a jamais ete concu pour mener.