Au-delà du MITM : le danger croissant des attaques de l’adversaire au milieu

Vous avez certainement déjà entendu parler des attaques de l’homme du milieu (« man-in-the-middle » ou MITM). Cependant, un nouveau type d’attaque similaire, plus avancé et plus dangereux, a récemment fait son apparition : l’attaque de l’adversaire du milieu (« adversary-in-the-middle » ou AITM).

Ces deux types d’attaques sont semblables sur le plan structurel. Cependant, leur mécanisme, leur sophistication et leurs capacités diffèrent considérablement. Pour les administrateurs informatiques, il est essentiel de comprendre cette distinction et le fonctionnement de chaque type d’attaque afin de garantir la sécurité de vos systèmes et de vos données.

Qu’est-ce qu’une attaque de l’homme du milieu ?

Les attaques MITM sont une technique de longue date permettant d’intercepter des informations précieuses en transit. Dans ce scénario, un acteur malicieux relaie secrètement et modifie éventuellement la communication entre deux parties qui pensent communiquer directement entre elles. C’est comme si quelqu’un écoutait une conversation privée et intervenait de temps en temps pour donner des informations trompeuses.

Les attaques MITM exploitent généralement des réseaux non sécurisés ou mal sécurisés, tels que les réseaux Wi-Fi publics. Elles peuvent également s’appuyer sur le spoofing DNS, l’empoisonnement ARP ou le SSL stripping pour intercepter le trafic. Le pirate peut obtenir des identifiants de connexion, des cookies de session ou des données sensibles en transit. Cependant, la plupart des services Web modernes emploient le protocole HTTPS et d’autres protocoles de chiffrement qui rendent les attaques MITM traditionnelles de plus en plus complexes à exécuter avec succès.

Qu’est-ce qu’une attaque de l’adversaire du milieu ?

Les attaques AITM sont la nouvelle génération des tactiques MITM : plus sophistiquées, plus ciblées et plus dangereuses. Lors d’une attaque AITM, l’adversaire ne se contente pas d’intercepter passivement le trafic. Il manipule activement le processus d’authentification, ce qui lui permet de contourner les systèmes d’authentification multifacteur (MFA).

Les attaques AITM impliquent généralement des campagnes d’hameçonnage qui dirigent les utilisateurs vers un serveur proxy contrôlé par le pirate. Ce proxy se situe entre l’utilisateur et le service légitime (par exemple, Microsoft 365 ou Google Workspace) et collecte les identifiants et les jetons de session en temps réel. Comme le pirate relaie la session en direct, il peut contourner la MFA en récupérant le jeton après que l’utilisateur a effectué la deuxième étape d’authentification.

Principales différences entre MITM et AITM

Pourquoi l'AITM est-il plus dangereux

Les attaques AITM sont particulièrement dangereuses car elles exploitent la confiance au niveau de la couche applicative. Même si votre organisation impose la MFA, l’AITM peut la rendre inefficace. Une fois qu’un pirate dispose d’un jeton de session valide, il peut usurper l’identité de l’utilisateur sans avoir à s’authentifier à nouveau.

Les attaques AITM sont également plus dures à détecter. Comme le pirate relaie du trafic légitime, les outils traditionnels de surveillance du réseau peuvent ne pas signaler cette activité comme suspecte. L’utilisateur voit une page de connexion familière, effectue l’authentification multifacteur et continue ses activités, sans se rendre compte que sa session a été piratée.

Exemples concrets

Les attaques AITM ne sont pas théoriques, elles existent bel et bien.

• En 2024, Microsoft 365 a été la cible de pirates exploitant une boîte à outils d’hameçonnage en tant que service (PhaaS) appelée Rockstar 2FA. Un employé de Microsoft a été incité à s’authentifier sur un site frauduleux, divulguant ainsi son jeton de session.
• Storm-0485, un acteur malveillant connu, a utilisé des techniques AITM pour collecter des identifiants à grande échelle. Leurs campagnes font souvent appel à de faux e-mails de vérification LinkedIn et à des URL obscurcies pour inciter les utilisateurs à divulguer leurs identifiants.

La fréquence des attaques AITM augmente rapidement en raison de leur capacité à contourner les contrôles d’accès traditionnels tels que l’authentification multifacteur (MFA) et les protocoles de chiffrement tels que HTTPS.

Comment se défendre contre l'AITM

Une plateforme de cybersécurité moderne et multicouche comme BarracudaONE offre la meilleure défense contre les attaques AITM et autres attaques sophistiquées. Grâce à une protection robuste des e-mails telle que Barracuda Email Protection, vous pouvez détecter et bloquer les premières tentatives d’hameçonnage, tandis qu’une sécurité réseau performante comme Barracuda Network Protection offre des contrôles d’accès réseau Zero Trust avancés qui vont au-delà de l’authentification multifacteur (MFA) pour identifier et bloquer les accès non autorisés aux ressources, même lorsque des identifiants légitimes sont présentés.