Définition simple
Une attaque AiTM interpose un système contrôlé par l’attaquant entre une personne et un service légitime afin d’intercepter des échanges ou une session.
Objectif et usage
L’attaquant cherche notamment à récupérer des identifiants ou des cookies de session. Certaines méthodes MFA restent contournables par relais de l’authentification.
Comment ça fonctionne ?
Une fausse page peut transmettre les échanges vers le vrai fournisseur d’identité. Une connexion apparemment réussie ne garantit donc pas que le navigateur utilisait le bon domaine.
Points clés
- Exemple : après un lien reçu par courriel, une connexion Microsoft 365 réussit mais une session apparaît depuis un contexte inhabituel.
- Corréler l’URL visitée, les connexions, les appareils et les actions sur la boîte mail. Une alerte isolée ne suffit pas à établir la compromission.
Points d’attention
Privilégier une authentification résistante au phishing et traiter les sessions compromises. Changer uniquement le mot de passe ne clôt pas toujours les sessions déjà ouvertes.
En résumé
AiTM désigne une interception active de la relation de confiance, avec un risque de vol de session.