Le phishing et passkeys ne relèvent plus de la science-fiction : une analyse récente décrit une technique qui vise à maintenir l’accès à un compte après un reset de mot de passe. L’idée est simple à comprendre, mais dérangeante : même lorsque la victime fait ce qui est “habituellement” recommandé, l’attaquant pourrait conserver une voie d’authentification indépendante du mot de passe.
Dans cet article, nous expliquons le principe tel qu’il ressort d’une étude conduite sur la base d’informations publiées par les acteurs du projet. Nous discutons ensuite des implications concrètes pour les comptes exposés au phishing, notamment dans des environnements comme Gmail.
Pourquoi le phishing devient plus difficile à “couper”
Lorsqu’une compromission liée au phishing est détectée, la réponse la plus courante consiste à modifier le mot de passe et à révoquer les sessions actives. Cette approche fonctionne généralement lorsque l’attaquant ne dispose que d’éléments dérivés du mot de passe, comme des cookies de session capturés.
Le problème, c’est que certains scénarios d’attaque peuvent viser une persistance différente. Plutôt que d’exploiter uniquement des sessions interceptées, une variante décrite dans l’analyse chercherait à installer une capacité d’accès qui ne dépend pas du mot de passe réinitialisé.
Le principe d’une attaque fondée sur la redirection
Selon l’analyse disponible, l’attaque suit un chemin “classique” au départ : la victime est attirée vers une page de phishing contrôlée par l’attaquant et saisit des identifiants dans un navigateur. Jusqu’ici, le mécanisme ressemble à de nombreuses campagnes déjà observées.
La différence se situe derrière l’écran : l’attaquant utilise un environnement de navigation supplémentaire, hébergé sur son infrastructure, qui est distinct de celui de la victime. Les données d’authentification sont alors relayées vers ce second environnement, tandis que la victime pense interagir avec la procédure habituelle d’identification.
En parallèle, l’attaque applique une empreinte du périphérique au navigateur de la victime. L’objectif est de donner à la session une continuité technique et de permettre à l’attaquant de “rejouer” l’authentification avec un contexte cohérent.
Où entrent les passkeys dans le schéma
C’est le point central : l’analyse décrit l’ajout silencieux d’une passkey prête à l’emploi associée au compte ciblé. Une fois cette passkey enregistrée, elle devient une authentification utilisable sans connaître le mot de passe.
Autrement dit, la victime peut changer son mot de passe, mais l’attaquant conserverait une méthode alternative pour se connecter à l’avenir. Lorsqu’au login, l’interface propose plusieurs façons de s’authentifier, l’attaquant pourrait “tenter une autre voie” et utiliser directement la passkey contrôlée par lui.
L’élément clé est le contraste avec les mécanismes qui sont typiquement invalidés après un reset : un token ou des sessions révoquées ne suffisent plus à casser la nouvelle capacité d’accès si la passkey est devenue indépendante du mot de passe.
Réinitialiser le mot de passe : pourquoi ce n’est plus toujours suffisant
Dans l’approche traditionnelle, la réponse à une compromission de boîte aux lettres repose sur deux actions : changer le mot de passe et révoquer les sessions actives. L’idée est de couper l’accès que l’attaquant pourrait avoir via des cookies de session ou des éléments liés au contexte d’ouverture.
Les explications disponibles soulignent que des changements de mot de passe peuvent aussi entraîner des conséquences côté services, comme la révocation d’éléments associés à des méthodes d’accès (par exemple des jetons applicatifs ou OAuth, selon les configurations). Cependant, cela ne traiterait pas une passkey nouvellement enregistrée, car elle correspond à une créance d’authentification enregistrée sur le compte plutôt qu’à un simple artefact dépendant du mot de passe.
Résultat : une victime peut avoir l’impression d’avoir “tout coupé”, alors qu’une authentification persistante reste utilisable par l’attaquant.
Ce que l’analyse dit vraiment (et ses limites)
Un point important : l’étude mentionnée n’aurait pas exécuté le logiciel décrit. Elle s’appuie sur des informations publiées par le vendeur du kit et sur des démonstrations évoquées dans ces contenus. De ce fait, les conclusions doivent être considérées comme une analyse probable, pas comme une preuve directe issue d’une exécution en laboratoire.
Des éléments supplémentaires indiquent d’ailleurs que la description publique du produit, telle qu’elle apparaît dans des réponses automatisées ou des résumés, n’évoquerait pas explicitement l’usage de passkeys. Cette divergence renforce l’idée que les détails techniques pourraient rester incomplets ou imparfaitement décrits hors des publications originales.
Impacts pour Gmail et les comptes fortement ciblés
Le scénario d’analyse viserait un compte Gmail dans le cadre de la démonstration. Le chemin d’attaque décrirait l’interaction initiale avec la victime via la page de phishing, puis une demande d’authentification dans le second environnement, en faisant en sorte que la victime “valide” une authentification sans réaliser qu’elle inclut une passkey liée à l’attaquant.
Pour les utilisateurs et les équipes qui gèrent des comptes à enjeux (messagerie, outils de travail, comptes administratifs), cela rappelle une réalité : le phishing n’essaie plus seulement d’obtenir un mot de passe, il cherche aussi à installer une capacité qui survit aux actions correctives de base.
Bonnes pratiques de réponse en cas de suspicion de phishing
Si vous pensez qu’un phishing a conduit à une compromission, voici des actions à envisager en priorité. Elles ne constituent pas une garantie absolue contre toutes les techniques, mais elles réduisent fortement la surface d’attaque.
- Changez immédiatement le mot de passe depuis un appareil de confiance.
- Révoquez les sessions actives et vérifiez la liste des appareils ou connexions reconnues.
- Contrôlez les méthodes d’authentification enregistrées (et supprimez ce qui vous paraît inconnu), notamment les passkeys et dispositifs de confiance.
- Vérifiez les réglages de récupération (adresses de secours, numéros, e-mails associés) pour éviter une réutilisation ultérieure.
- Activez une vigilance accrue sur les tentatives de connexion inhabituelles, même après la réinitialisation.
Le message à retenir pour le phishing et passkeys est clair : une procédure “standard” peut devoir être complétée par un examen des identifiants de type passkey, puisque le mot de passe n’est pas l’unique clé en jeu.
Vers une sécurité plus robuste : au-delà du changement de mot de passe
Le phénomène décrit illustre l’évolution des techniques de social engineering. Au lieu de viser uniquement le moment du mot de passe saisi, l’attaque cherche à tirer profit de l’étape d’authentification elle-même, en ajoutant une “porte de retour” persistante.
Dans cette logique, la sécurité se joue autant dans l’hygiène de compte (revocation, révision des méthodes d’authentification) que dans la prévention (formation, filtrage, signaux d’alertes). Même une bonne réponse après coup peut être insuffisante si l’attaquant a déjà modifié la configuration d’accès du compte.
Conclusion
Le cas décrit dans l’analyse met en lumière un risque que l’on sous-estime souvent : avec le phishing et passkeys, la compromission peut survivre au simple reset de mot de passe. Tant que l’attaquant contrôle une méthode d’authentification enregistrée sur le compte, il peut tenter de se reconnecter via une alternative.
La meilleure défense consiste à combiner un changement de mot de passe, la révocation des sessions, et surtout la vérification des passkeys ou dispositifs de confiance. En cas de doute, traitez la situation comme une compromission complète du compte, pas uniquement comme une fuite de mot de passe.
