Cookies et HTTPS : le clic anodin qui ouvre la porte aux pirates

Le geste est devenu un réflexe: un bandeau apparaît, on clique sur « Accepter tous les cookies », on passe à autre chose. Pourtant, ce micro-consentement, répété des dizaines de fois par jour depuis les années 1990 ^[1], n’est plus un simple sujet de vie privée. Il est devenu l’un des points d’entrée privilégiés d’une économie cybercriminelle qui a appris à contourner les mots de passe et même la double authentification.

LES ENJEUX

Le cookie de session, nouveau Graal des pirates

Les cybercriminels pivotent du vol de mot de passe vers le vol de cookies de session, qui contourne la double authentification.

Une vague d'attaques dopée par l'IA

La part des attaques de phishing générées par IA est passée à 56 % en décembre 2025 selon Hoxhunt, soit une multiplication par 14.

60 % des Français exposés en un an

Selon une enquête Ipsos pour Cybermalveillance.gouv.fr, 60 % des Français ont été confrontés à du phishing en 12 mois.

La riposte technique de Google

Le DBSC, déployé le 9 avril 2026 dans Chrome sous Windows, lie cryptographiquement les cookies à l'appareil physique.

Le filtre anti-arnaque français en retard

Promesse de la loi SREN du 21 mai 2024, son entrée en vigueur effective n'est désormais espérée que pour septembre 2026.

Le Journal des Femmes rappelait récemment un détail que peu d’utilisateurs vérifient avant de cliquer: le petit « s » derrière « http » signifie que la connexion est chiffrée ^[2], ce qui empêche des tiers d’intercepter facilement les informations échangées avec le site ^[3]. Sans ce « s », les données circulent à découvert sur le réseau ^[4]. Steve Weisman, expert en cybersécurité cité par le Journal des Femmes ^[5], résume sèchement: « vos données ne sont pas protégées » ^[6], avec à la clé un risque accru d’usurpation bancaire et identitaire ^[7].

Ce que vous acceptez vraiment en cliquant

Tous les cookies ne se valent pas. Certains disparaissent à la fermeture du navigateur ^[8], d’autres restent plus longtemps pour analyser le comportement de l’utilisateur ^[9]. Et puis il y a les cookies tiers, qui viennent d’entreprises extérieures et servent souvent à pister la navigation d’un site à l’autre ^[10]. Cris Angulo, expert en informatique cité par le Journal des Femmes ^[11], rappelle que « les cookies ne sont ni bons ni mauvais, leur utilisation dépend surtout du choix de l’utilisateur et du site consulté » ^[12].

Roberto Yus, chercheur en informatique ^[13], est plus direct: « Lorsque vous cliquez sur « autoriser tous les cookies », vous donnez carte blanche au site Web pour installer des traqueurs tiers » ^[14]. Recherches, pages consultées, temps passé: autant de signaux recoupés pour dresser un profil très précis des habitudes ^[15]. La recommandation des experts tient en une phrase: vérifier que le site est bien sécurisé avant d’accepter quoi que ce soit ^[16].

Le vrai butin: le cookie de session

Au-delà du profilage publicitaire, les cybercriminels ont identifié un trésor plus rentable. Selon un rapport de HP relayé par SecurityBrief, à mesure que la double authentification se généralise, les attaquants pivotent vers le vol de cookies et de jetons d’authentification plutôt que de mots de passe ^[17]. Objectif: exploiter ces cookies avant leur expiration ^[18], insérer des portes dérobées et maintenir un accès continu aux systèmes ^[19]. Des marketplaces en ligne dédiées au commerce de cookies volés se structurent ^[20].

La mécanique est documentée par Numerama: les cookies de session permettent de rester connecté à un compte sans retaper son mot de passe ^[21]. Les infostealers, malwares spécialisés dans la collecte de données sur machines compromises ^[22], les aspirent systématiquement. La famille Lumma intègre par défaut un module dédié ^[23]. Les cookies sont ensuite revendus sur des marchés cybercriminels ^[24] où les acheteurs se connectent directement aux comptes ciblés, technique connue sous le nom de session hijacking ^[25].

Une menace qui explose, dopée par l’IA

Les chiffres convergent. Selon une enquête Ipsos.Digital 2025 pour Cybermalveillance.gouv.fr ^[26], 60 % des Français ont été confrontés à de l’hameçonnage au cours des 12 derniers mois ^[27]. La plateforme a enregistré 5,1 millions de visiteurs uniques en 2025 ^[28] et plus de 504 000 demandes d’assistance ^[29]. Le parquet de Paris constate une hausse de 2 700 % des infractions aux systèmes de traitement automatisé de données entre 2017 et 2025 ^[30].

Côté belge - périmètre distinct mais révélateur de la même dynamique européenne -, le Centre pour la cybersécurité (CCB) rapporté par la RTBF observe une hausse de près de 50 % des signalements en 2026 ^[31]. La moyenne quotidienne est passée d’environ 25 000 à 27 000 en 2025 ^[32] à 42 000 sur le premier trimestre 2026 ^[33]. Selon Febelfin, 49 millions d’euros ont été détournés par phishing en Belgique en 2024 ^[34]. Michele Rignanese, porte-parole du Centre pour la cybersécurité en Belgique ^[35], avance une explication: « On soupçonne que l’intelligence artificielle permet d’automatiser et de rendre cet ensemble de technologies plus accessibles à un plus grand nombre » ^[36].

Les mesures sur la part du phishing généré par IA varient fortement selon le périmètre et la méthodologie. Le rapport Hoxhunt sur les tendances du phishing en 2026 ^[37], qui mesure spécifiquement la part des courriels de phishing signalés au sein de son écosystème de quatre millions d’utilisateurs, indique qu’avant fin 2025 environ 4 % des attaques mensuelles signalées étaient générées par IA ^[38], avant une bascule à 56 % en décembre 2025 ^[39][40], soit une multiplication par 14 ^[41]. De son côté, le rapport Check Point pour 2026 propose un autre indicateur: 40 % des Model Context Protocols analysés présentent des vulnérabilités en 2025 ^[42], une métrique qui ne porte pas sur la même chose - elle mesure des failles techniques, pas la part des attaques générées par IA. Le coût moyen d’une violation de données liée au phishing atteint 4,88 millions de dollars selon IBM ^[43], et 80 à 95 % des violations débutent par un phishing selon le Comcast Business Cybersecurity Threat Report ^[44]. À titre de comparaison, les ransomwares représentent 16 % des incidents recensés en France ^[45].

Sur les chiffres qui circulent: prudence

Plusieurs statistiques anxiogènes tournent en boucle sur les réseaux - notamment l’idée que « 80 % des sites de phishing utilisent désormais HTTPS » ou que « les attaques de phishing ont bondi de 22 % ». Aucune de ces deux affirmations n’a pu être documentée dans les sources consultées pour cet article. Les chiffres précis et vérifiables restent ceux de Cybermalveillance.gouv.fr, du CCB belge, de Hoxhunt et IBM cités plus haut. À noter qu’une autre statistique circule: selon Bright Defense, 6,8 millions de comptes WhatsApp ont été supprimés au premier semestre 2025 pour liens avec des escroqueries ^[46] - un périmètre mondial centré sur une seule plateforme, à ne pas confondre avec les 5,1 millions de visiteurs uniques de Cybermalveillance.gouv.fr cités plus haut, qui mesurent l’audience d’un site français. Le « s » de https reste un indicateur de chiffrement, pas une garantie d’honnêteté du site - une nuance que les campagnes de sensibilisation peinent encore à faire passer.

L’angle mort: pendant qu’on traque les cookies tiers, les pirates volent les sessions

Le débat public sur les cookies s’est cristallisé autour du RGPD, des bandeaux de consentement et du tracking publicitaire. Pendant ce temps, la criminalité s’est déplacée d’un cran. Le danger immédiat n’est plus le cookie tiers de Google Ads qui suit l’utilisateur d’un site marchand à l’autre - c’est le cookie de session de la banque, de la messagerie professionnelle ou de l’ENT scolaire, aspiré par un infostealer puis revendu en quelques heures sur un marché parallèle ^[24]. La CNIL et le ministère de l’Éducation nationale l’ont constaté en grandeur réelle: lors de l’opération Cactus menée du 23 au 27 mars 2026 ^[47], 1 096 692 personnes ont cliqué sur le lien d’une simulation d’hameçonnage, soit 12 % du public ciblé ^[48][49]. Des fermetures temporaires d’ENT dans les Hauts-de-France fin 2025 ^[50] avaient préfiguré le risque.

La riposte technique: DBSC dans Chrome

Face à cette mécanique, Google a déployé le 9 avril 2026 ^[51], pour les utilisateurs Windows de Chrome ^[52], une technologie baptisée DBSC (Device Bound Session Credentials) ^[53]. Le principe: Chrome génère une paire de clés cryptographiques ^[54] et stocke la clé privée dans la puce de sécurité de l’appareil, le TPM sous Windows ^[55]. À chaque renouvellement de cookie de session, le navigateur doit prouver au serveur qu’il détient cette clé ^[56]. Un cookie volé devient inutilisable dès qu’il expire ^[57]. Une extension à macOS, qui s’appuiera sur la Secure Enclave ^[58], est prévue dans les prochains mois ^[59]. Le standard a été conçu en partenariat avec Microsoft ^[60] dans l’objectif d’en faire une norme web ouverte ^[61].

La riposte réglementaire: un filtre anti-arnaque qui se fait attendre

Côté français, la promesse de campagne d’Emmanuel Macron ^[62] sur le « filtre national de cybersécurité » s’est concrétisée avec la loi SREN du 21 mai 2024 ^[63]. Mais selon ZDNet, le gouvernement envisage désormais une entrée en vigueur des décrets pour septembre 2026 ^[64]. Le pilotage revient à l’Office anti-cybercriminalité (OFAC) ^[65]. Le dispositif prévoit un avertissement initial de sept jours et une durée maximale de blocage de 15 mois ^[66][67]. Le député Eric Bothorel ^[68] avait déploré ces délais répétés dans une tribune fin 2025 ^[69].

Ce que les sources ne disent pas

Plusieurs questions cruciales restent en suspens. Combien de comptes français sont compromis chaque mois par session hijacking? Aucune statistique nationale publique ne le mesure aujourd’hui. Les éditeurs de navigateurs autres que Chrome - Firefox, Safari, Edge - vont-ils adopter DBSC, et dans quels délais? Microsoft, partenaire du standard ^[60], n’a pas communiqué de calendrier pour Edge. Quelle proportion des sites bancaires et administratifs français supportera DBSC côté serveur? La technologie ne fonctionne que si serveur et client la prennent en charge. Tant que ces réponses manquent, la responsabilité reste sur l’utilisateur final: vérifier l’adresse, la présence du cadenas et les paramètres de cookies avant un achat sur un site inconnu ^[70].

► Lire aussi: l'opération Cactus 2026, mode d'emploi officiel