Vous avez validé le MFA.
Votre compte est compromis.
L'AiTM phishing place un proxy invisible entre vous et le vrai site. Vous faites tout correctement mais l'attaquant vole votre cookie de session au moment où il est émis. Le MFA a déjà été consommé.
Réunion lundi 14h — ordre du jour
Mise à jour planifiée ce soir
Fiche de paie mars disponible
La victime travaille normalement
Aucun signe d'alerte. La boîte mail est ouverte. Le compte est une cible — le piège n'est pas encore déclenché.
Un proxy AiTM déjà déployé
En coulisse, l'attaquant a configuré un reverse proxy (EvilGinx2) sur un domaine convaincant. Chaque requête sera relayée en temps réel vers le vrai Microsoft 365, rendant la page indiscernable de l'originale.
Chiffres clés
> 0
Organisations ciblées en une journée
par des campagnes AiTM (Microsoft, juin 2022)
< 0 s
Pour voler un cookie de session valide
après validation du MFA par la victime
0
Signal visible pour la victime
la connexion aboutit normalement, aucune alerte
Démo technique avancée
Simulation complète + comparaison + contre-mesures
Trois onglets : comparaison phishing classique vs AiTM, simulation côté victime et côté attaquant, et contre-mesures concrètes FIDO2 et accès conditionnel.
Démonstration interactive
Contournement du MFA par vol de session
Phishing classique
Vol de mot de passe
La victime reçoit un e-mail avec un lien vers un faux site statique
Elle saisit ses identifiants — le mot de passe est capturé
L'attaquant essaie de se connecter avec ce mot de passe
Microsoft demande le MFA → l'attaquant ne peut pas le valider
Le MFA bloque l'accès.
AiTM Phishing
Vol de cookie de session
La victime clique sur un lien vers un proxy en temps réel (invisible)
Elle saisit ses identifiants — relayés au vrai Microsoft via le proxy
Une vraie notification MFA arrive sur son téléphone — elle l'approuve
Le proxy intercepte le cookie de session émis par Microsoft
L'attaquant injecte le cookie : accès total sans MFA ni mot de passe
Le MFA est contourné.
La différence fondamentale
Le phishing classique vole :
→ Le mot de passe (secret statique). Le MFA vérifie ensuite que vous êtes bien vous → attaque bloquée.
L'AiTM vole :
→ Le cookie de session : preuve que vous avez déjà été authentifié avec MFA. L'attaquant hérite de votre session active.
À retenir : l'attaquant n'a jamais eu votre mot de passe ni accès à votre téléphone. Il possède juste la preuve que vous vous êtes connecté — ce qui suffit pour usurper votre identité.
Proxy AiTM (reverse proxy)
Serveur intermédiaire relayant les requêtes en temps réel entre la victime et le vrai site. Outils courants : EvilGinx2, Modlishka, Evilginx3. La page servie est identique à l'originale.
Cookie de session
Jeton émis par le serveur après authentification MFA réussie. Valide 1 à 30 jours. Son vol court-circuite toute obligation de se réauthentifier — le MFA a déjà été consommé.
MFA contourné
Le TOTP, SMS et notifications push ne protègent pas contre l'AiTM : le cookie est volé APRÈS la validation du MFA, pendant la session active. Seul FIDO2 (lié au domaine) résiste.
Exemple concret
Campagne 0ktapus — Août 2022
130 entreprises. Même technique.
En août 2022, des chercheurs de Group-IB ont documenté la campagne "0ktapus" : des attaquants ont ciblé plus de 130 entreprises (Twilio, DoorDash, Signal…) via de fausses pages Okta avec proxy AiTM. Les victimes recevaient un SMS : "Votre session a expiré, reconnectez-vous." Tout semblait légitime.
Le contraste Twilio / Cloudflare
Twilio — compromis
Authentification par notification push. 163 employés touchés, 9 931 comptes clients exposés.
Cloudflare — bloqué
Clés FIDO2 obligatoires pour tous les employés. Les clés ont refusé de s'activer sur le domaine proxy — attaque neutralisée automatiquement.
Chiffres de la campagne 0ktapus
Entreprises ciblées
130+
Employés Twilio touchés
163
Clients Twilio exposés
9 931
Contacts Signal compromis
1 900
Cloudflare (FIDO2 obligatoire)
0 compromis
La leçon Cloudflare
Cloudflare a reçu les mêmes SMS piégés. Certains employés ont même cliqué. Mais les clés FIDO2 ont automatiquement refusé de s'activer sur le faux domaine sans que l'employé ait à prendre la moindre décision.