Les session tokens deviennent le point faible de la sécurité SaaS

Dans de nombreux environnements SaaS, la voie de compromission la plus rapide n'est plus la devinette de mots de passe, mais le vol d'un session token valide depuis un navigateur déjà authentifié. Une fois ce token obtenu, l'attaquant n'a parfois même plus besoin de se connecter. Il récupère la confiance déjà accordée à l'utilisateur et peut accéder directement à la messagerie, aux outils collaboratifs, aux consoles d'administration, au CRM, aux outils de développement et aux processus financiers.

C'est pourquoi les session tokens deviennent le point faible de la sécurité SaaS. Ils se situent entre une authentification réussie et un accès de confiance. Si l'on renforce l'étape de login mais que l'on laisse les tokens faciles à voler, à replay ou valides trop longtemps, l'attaquant contournera la porte d'entrée et passera par la session active.

Pourquoi ils comptent autant aujourd'hui

Le SaaS a déplacé une part énorme du travail dans le navigateur. Une seule session peut donner accès à la paie, aux données clients, au code source, aux échanges de support, à l'infrastructure cloud et aux outils d'AI. Cela change l'économie de l'attaque. Voler un token peut rapporter davantage que voler un mot de passe, surtout s'il appartient à un administrateur, un dirigeant, un utilisateur finance ou un développeur fortement privilégié.

Le problème général est le session hijacking. Si un attaquant parvient à prendre le contrôle d'une session déjà authentifiée, il peut usurper l'identité de l'utilisateur sans redéclencher de nombreux contrôles pensés pour bloquer l'account takeover. Le cookie theft reste très courant, car beaucoup d'applications web conservent l'état de session dans le navigateur. Les infostealers sont conçus précisément pour collecter cookies, credentials et autres artefacts de session.

Les extensions malveillantes constituent une autre voie importante. Elles demandent souvent des permissions larges sur le contenu des pages, les onglets, les cookies ou l'activité de navigation. Dans un environnement dominé par le SaaS, cela peut signifier une visibilité directe sur des sessions déjà authentifiées. L'extension n'a pas besoin de casser MFA si elle peut exploiter la session après la réussite de MFA.

Comment les attaquants récupèrent les tokens

Cookie theft et token replay

Dans le scénario le plus simple, un malware ou une device compromise locale vole des session cookies ou des bearer tokens depuis l'endpoint. L'attaquant réalise ensuite un token replay depuis une autre machine. Si l'application ne lie pas fortement la session à l'appareil, au contexte réseau ou à une preuve cryptographique de possession, le service peut accepter le token volé comme légitime.

Phishing adversary-in-the-middle

Les kits de phishing modernes ne se limitent plus à de fausses pages de login. Ils proxifient le vrai flux d'authentification, capturent les credentials et les défis MFA en temps réel, puis récupèrent les session cookies générés. La victime pense s'être connectée normalement, ce qui est en partie vrai, mais l'attaquant a lui aussi obtenu la session post-authentification.

Device compromise et infostealers

Les infostealers restent redoutables parce qu'ils passent à l'échelle. Un seul endpoint infecté peut exposer des sessions pour plusieurs services SaaS à la fois. Et l'infection n'a pas besoin d'être sophistiquée. Une application piratée, une mise à jour piégée ou un document malveillant peut suffire à ouvrir l'accès au contexte navigateur où vivent les tokens les plus précieux.

Abus d'extensions

La extension governance est souvent trop faible. Une extension capable de lire le contenu des pages ou d'intercepter les requêtes peut obtenir des informations sensibles sur les sessions et les workflows. Même sans exfiltrer directement des cookies, elle peut faciliter l'usurpation ou la fuite de données.

À quoi ressemble une défense pratique

Il n'existe pas de remède unique, mais un modèle défensif clair existe: réduire les session lifetimes, exiger une réauthentification ou un step-up MFA pour les actions sensibles, appliquer des device posture checks, adopter une authentification hardware-backed et phishing-resistant comme les passkeys ou FIDO2, utiliser token binding lorsque c'est disponible, déployer browser isolation pour les usages à haut risque et traiter la extension governance comme une vraie discipline de sécurité.

La conclusion stratégique est simple: il ne suffit plus de penser uniquement à la sécurité du login. Dans un environnement SaaS centré sur le navigateur, la session authentifiée devient elle-même un actif de grande valeur. Si un attaquant peut la voler, la replay ou la prolonger, il contournera une grande partie des contrôles placés à l'entrée.