Account Takeover (ATO) : comprendre l'attaque par prise de contrôle de compte

L’account takeover (ATO), ou prise de contrôle de compte, est une attaque dans laquelle un cybercriminel obtient un accès non autorisé au compte d’un utilisateur légitime, le plus souvent après avoir volé ses identifiants. Selon le rapport Verizon DBIR 2025, les identifiants compromis sont impliqués dans 44 % des brèches de données, ce qui fait de l’ATO l’une des menaces les plus répandues pour les entreprises et les particuliers.

Comment fonctionne une attaque ATO ?

Une attaque ATO suit généralement une chaîne en quatre étapes. Tout commence par le vol d’identifiants : phishing, infostealer installé sur le poste de la victime, brèche de données ou achat de credentials sur un marché du dark web. Les logs d’infostealers, distribués massivement sur Telegram, sont aujourd’hui la source la plus active pour ce type de données.

Vient ensuite la phase de validation. L’attaquant teste les identifiants à grande échelle via du credential stuffing, ou les utilise directement quand le log d’infostealer indique précisément le service ciblé (Microsoft 365, Google Workspace, AWS, banque en ligne).

Une fois la connexion établie, l’attaquant prend possession du compte. Il modifie souvent les informations de récupération (email, numéro de téléphone), désactive la MFA quand il le peut, et installe une persistence (règle de transfert d’emails, jeton OAuth, application tierce autorisée).

La dernière étape est l’exploitation : exfiltration de données, fraude financière, fraude au président, mouvement latéral vers d’autres comptes internes, ou revente de l’accès à d’autres groupes criminels. Pour un compte SaaS B2B, le compte compromis devient souvent une porte d’entrée vers tout l’écosystème de l’entreprise.

Pourquoi l’ATO explose en 2026 ?

Trois tendances expliquent la croissance continue de l’ATO. D’abord, la prolifération des infostealers (RedLine, Lumma, Vidar, StealC) : ces malwares volent en quelques secondes l’ensemble des credentials, cookies de session et tokens stockés dans le navigateur. Selon ENISA Threat Landscape 2025, le vol de credentials est désormais le vecteur initial le plus fréquent dans les incidents observés en Europe.

Ensuite, le contournement de la MFA via le vol de cookies de session. Un cookie de session encore valide permet à l’attaquant de reprendre la session déjà authentifiée, sans avoir à passer par le second facteur. Les rapports Akamai SOTI et IBM X-Force documentent une explosion des attaques de type session hijacking sur les plateformes SaaS.

Enfin, la multiplication des comptes SaaS par utilisateur (SaaS sprawl) augmente mécaniquement la surface d’attaque. Un seul collaborateur cumule en moyenne plusieurs dizaines d’accès professionnels, dont beaucoup réutilisent le mot de passe principal ou un dérivé.

Quels secteurs sont les plus ciblés ?

L’ATO touche tous les secteurs, mais certains concentrent plus d’attaques en raison de leur rentabilité :

• Banque et services financiers : virements frauduleux, blanchiment, prise de contrôle de comptes crypto.
• E-commerce et marketplaces : fraude à la commande, revente de comptes avec historique d’achats, vol de cartes enregistrées.
• SaaS B2B : exfiltration de données clients, compromission d’accès administrateur, pivot vers d’autres systèmes internes.
• Messageries professionnelles (Microsoft 365, Google Workspace) : Business Email Compromise (BEC), fraude au président, campagnes de phishing internes.
• Streaming et gaming : revente de comptes premium, vol d’objets virtuels, accès partagé sur des marchés clandestins.

Comment se protéger contre l’ATO ?

Plusieurs contre-mesures, combinées, réduisent significativement le risque :

• MFA résistante au phishing : privilégier FIDO2 et les passkeys plutôt que les SMS ou TOTP, qui restent vulnérables au phishing en temps réel.
• Détection du vol de cookies de session : invalider les sessions actives dès qu’un changement de device, d’IP ou de localisation est détecté, et limiter la durée de vie des cookies.
• Surveillance des credentials exposés : monitorer en temps réel les fuites de mots de passe associées aux domaines de l’entreprise pour forcer une rotation avant exploitation. C’est la première ligne de défense, puisque la plupart des ATO démarrent par un identifiant déjà fuité.
• Détection comportementale : analyser les patterns de connexion (heure, géolocalisation, device fingerprint, vitesse de saisie) pour repérer les anomalies en temps réel.
• Architecture zero-trust : ne jamais considérer une session comme implicitement de confiance, vérifier en continu, et appliquer le moindre privilège sur chaque accès.

Comment Stealed vous protège

Stealed détecte les identifiants de vos collaborateurs dans les logs d’infostealers et les fuites diffusées sur Telegram, les forums cybercriminels et les marchés du dark web, avant qu’un attaquant ne s’en serve pour prendre le contrôle d’un compte. Cette détection précoce permet de forcer une rotation du mot de passe et l’invalidation des sessions actives, fermant la fenêtre d’exploitation avant qu’une attaque ATO n’aboutisse.

Pour aller plus loin : consultez nos guides sur le credential stuffing, les infostealers, comment détecter une fuite d’identifiants et la comparaison Stealed vs HaveIBeenPwned.

Créez un compte gratuitement pour surveiller votre exposition et stopper les attaques ATO avant qu’elles ne commencent.