Vol de cookies, pixels espions : comment protéger votre entreprise
Vol de cookies, pixels espions : la MFA ne suffit plus, voici comment protéger votre entreprise
Chapeau : Vous avez activé la double authentification et vous vous croyez à l'abri ? Un attaquant n'a plus besoin de votre mot de passe : il lui suffit de votre cookie de session. Pendant ce temps, des pixels invisibles renseignent des tiers sur ce que vous lisez, ouvrez et achetez. Voici comment ces deux mécanismes fonctionnent, ce que dit le droit, et les mesures concrètes à prendre.
Cookie de session volé contournant la double authentification.
Pendant des années, le conseil de sécurité tenait en une phrase : un mot de passe robuste et la double authentification (MFA). Ce conseil reste juste, mais il protège le moment de la connexion, pas ce qui vient après. Une fois connecté, votre navigateur conserve un petit fichier qui prouve au service que vous êtes déjà authentifié : le cookie de session. Celui qui le détient est vous, aux yeux du serveur, sans mot de passe ni code à saisir.
Le cookie, expliqué en trois catégories
Un cookie est un petit fichier texte qu'un site dépose dans votre navigateur et relit à chaque visite. Tous ne présentent pas le même risque.
Type | À quoi il sert | Risque principal |
|---|---|---|
Cookie de session (authentification) | Vous maintenir connecté sans ressaisir vos identifiants | Vol et rejeu : l'attaquant prend votre place |
Cookie persistant (préférences, panier) | Mémoriser vos choix d'une visite à l'autre | Faible, sauf s'il porte un identifiant réutilisé ailleurs |
Cookie tiers et traceurs (publicité, mesure) | Vous suivre de site en site, construire un profil | Collecte massive, profilage, transfert à des tiers |
Le pixel, lui, n'est pas un fichier stocké chez vous : c'est une image invisible, souvent d'un pixel sur un pixel, ou un petit script. Son chargement envoie au serveur qui l'héberge votre adresse IP, l'heure, l'appareil utilisé et un identifiant propre au destinataire. Juridiquement, il est traité exactement comme un cookie.
Le vol de cookies : la porte dérobée qui contourne la MFA
Le vol de cookies de session est aujourd'hui l'une des techniques les plus rentables pour prendre le contrôle d'un compte professionnel. La MFA vérifie votre identité au moment de la connexion ; le cookie, lui, est émis après. L'attaquant qui le récupère arrive donc derrière la porte, déjà ouverte. On parle d'attaque « pass-the-cookie » ou de détournement de session.
Trois voies d'attaque
Les logiciels voleurs d'informations (infostealers). Lumma, Vidar, StealC : ces programmes s'installent via un logiciel piraté, une fausse mise à jour, une pièce jointe ou une publicité piégée. En quelques secondes, ils copient les mots de passe enregistrés, l'historique et les cookies du navigateur, puis les envoient à l'attaquant. Ces « journaux » se revendent ensuite sur des places de marché clandestines et des canaux Telegram.
L'hameçonnage avec relais (« adversary-in-the-middle », AiTM). Des kits comme Evilginx ou EvilProxy affichent la vraie page de connexion Microsoft ou Google, relayée en temps réel. Vous saisissez votre mot de passe, vous validez la MFA sur votre téléphone : tout est authentique. Le relais intercepte au passage le cookie de session renvoyé par le service.
Les extensions de navigateur malveillantes. Une extension qui s'exécute dans le navigateur peut lire les cookies et les jetons de session sans aucun logiciel supplémentaire.
Quelle que soit la voie, la MFA a déjà été validée quand le cookie part : le service ne voit ensuite qu'une session authentique.
Ce que disent les chiffres
Le rapport Verizon DBIR 2025 (plus de 22 000 incidents analysés) relève que 30 % des machines infectées par un infostealer étaient des postes d'entreprise, et que 46 % des machines contenant des identifiants professionnels étaient des appareils personnels non gérés.
Le même rapport établit que 54 % des victimes de rançongiciel avaient vu leurs identifiants apparaître auparavant dans des journaux d'infostealers.
Autrement dit : l'ordinateur personnel sur lequel un salarié consulte « juste ses mails pro » est la première porte d'entrée vers le rançongiciel.
Les parades techniques arrivent, mais ne règlent pas tout
Google a déployé en 2026 dans Chrome les « Device Bound Session Credentials » (DBSC) : la session est liée à une clé stockée dans la puce de sécurité de l'ordinateur (TPM sous Windows, Secure Enclave sous macOS). Un cookie copié sur une autre machine devient inutilisable, et Google indique une baisse nette des vols de session sur les comptes protégés. Côté Microsoft, la « protection des jetons » de l'accès conditionnel Entra lie les jetons à l'appareil, mais elle couvre les applications natives, pas les sessions ouvertes dans le navigateur.
Deux limites demeurent. Ces protections ne fonctionnent que si le site visité les a mises en œuvre. Et un logiciel malveillant actif sur l'appareil lui-même peut exploiter la session sur place, sans jamais exporter la clé. La protection de l'appareil reste donc le socle.
Les pixels espions : invisibles, mais très bavards
Le vol de cookies est l'affaire des criminels. Le pixel, lui, est un outil marketing parfaitement légal… à condition d'être maîtrisé. Le danger vient le plus souvent de l'entreprise elle-même, qui installe un pixel sans mesurer ce qu'il transmet.
Dans vos courriels
Quand vous ouvrez une lettre d'information, votre messagerie télécharge les images. Parmi elles, un pixel transparent dont l'adresse contient un identifiant qui vous est propre. Résultat : l'expéditeur sait que vous avez ouvert le message, quand, combien de fois, depuis quel type d'appareil et, souvent, depuis quelle zone géographique.
Sur les sites web
Le pixel Meta (Facebook, Instagram), la balise LinkedIn ou celle de Google Ads enregistrent les pages vues, les produits consultés et les achats, puis les renvoient à la plateforme pour mesurer et cibler les publicités. Activés sans réglage fin, ils peuvent transmettre bien plus que prévu.
Cas réel. En juillet 2025, l'autorité suédoise de protection des données (IMY) a infligé 37 millions de couronnes à la pharmacie en ligne Apoteket et 8 millions à Apohem. En activant une sous-fonction du pixel Meta, ces deux enseignes avaient transmis à Meta des données de santé sur leurs clients (achats de médicaments sans ordonnance, autotests), jusqu'à environ 930 000 personnes pour Apoteket. Aucune intention de nuire : un simple paramètre coché, et personne pour contrôler ce qui partait.
La leçon vaut pour toute TPE : un pixel installé par un prestataire, une agence ou une extension WordPress engage la responsabilité de l'éditeur du site, pas celle de l'outil.
Ce que dit le droit : consentement d'abord, sanctions ensuite
En France, cookies et pixels relèvent de l'article 82 de la loi Informatique et Libertés, transposition de la directive ePrivacy. Le principe est simple : tout traceur non indispensable au fonctionnement du service exige le consentement préalable de la personne. Refuser doit être aussi simple qu'accepter.
Les sanctions de septembre 2025
Le 1er septembre 2025, la CNIL a prononcé ses deux plus lourdes amendes en matière de traceurs :
Google : 325 millions d'euros, notamment pour des cookies déposés lors de la création d'un compte Google sans consentement valable et pour des publicités insérées entre les courriels de Gmail.
Shein : 150 millions d'euros, pour des cookies publicitaires déposés avant tout choix de l'internaute, et pour certains qui continuaient d'être déposés après un clic sur « Tout refuser ».
Ces montants visent de très grands acteurs, mais les manquements relevés sont ceux que l'on retrouve sur des milliers de sites de PME : cookies déposés dès l'arrivée, bouton « Refuser » inopérant, information incomplète.
Les pixels dans les courriels, encadrés depuis 2026
La CNIL a adopté le 12 mars 2026 et publié le 14 avril 2026 une recommandation dédiée aux pixels de suivi dans les courriels. Elle confirme que ces pixels sont des traceurs au sens de l'article 82. Ce qu'il faut retenir :
Usage du pixel | Consentement requis ? |
|---|---|
Mesure du taux d'ouverture pour optimiser les campagnes | Oui |
Profilage des centres d'intérêt, ciblage hors du courriel | Oui |
Détection de fraude (ouvertures massives ou inhabituelles) | Oui |
Mesure de sécurité participant à l'authentification | Non |
Délivrabilité limitée au strict nécessaire (réduire ou arrêter les envois aux inactifs), pour des courriels demandés par le destinataire | Non, sous conditions strictes |
Pour les adresses collectées avant la publication, la CNIL demandait d'informer clairement les destinataires dans un délai de trois mois, soit au plus tard le 14 juillet 2026. Ce délai est échu : si vous envoyez une lettre d'information avec un outil d'emailing, vérifiez dès maintenant comment il mesure les ouvertures. Les courriels envoyés à des adresses professionnelles, y compris à des salariés, ne sont pas exclus.
Enfin, l'expéditeur qui choisit l'outil d'envoi est responsable : il ne peut pas se décharger sur son prestataire d'emailing.
Se protéger au quotidien : huit réflexes
Déconnectez-vous des services sensibles (messagerie, banque, outils de gestion) au lieu de simplement fermer l'onglet : la déconnexion invalide le cookie côté serveur, un cookie volé devient inutile.
Ne téléchargez jamais de logiciel piraté, de « crack » ou d'extension inconnue : c'est le premier vecteur des infostealers.
Limitez les extensions du navigateur au strict nécessaire et supprimez celles que vous n'utilisez plus.
Séparez les usages : pas de session professionnelle sur l'ordinateur familial ou personnel non protégé.
Préférez une clé de sécurité ou une clé d'accès (passkey) à un code reçu par SMS ou à une notification : liées au vrai nom de domaine, elles mettent en échec les faux portails AiTM.
Bloquez le chargement automatique des images distantes dans votre messagerie : les pixels ne se déclenchent plus à l'ouverture.
Refusez les cookies non nécessaires et effacez régulièrement ceux qui restent ; activez la protection renforcée contre le pistage de votre navigateur.
Mettez à jour navigateur et système sans attendre : les protections récentes, comme la liaison de la session à l'appareil, n'existent que dans les versions à jour.