La prise de contrôle d’un compte n’apparaît généralement pas comme une connexion échouée. L’attaquant a déjà une session valide (un cookie volé, un jeton divulgué ou des identifiants réutilisés depuis une autre fuite) : du point de vue de la plateforme, on dirait que le vrai client a simplement continué sa navigation.
Ce qui change vraiment
Ce qui ne se transpose pas proprement, c’est l’appareil et le comportement sous la session. Une empreinte d’appareil construite à partir du rendu canvas, de WebGL, du traitement audio, des polices et des signaux matériels est propre à la machine et au navigateur qui l’ont produite. Quand une session passe sur un autre appareil (un nouveau navigateur, un autre système, un matériel totalement différent), cette empreinte change, même si le jeton de session est toujours « valide ».
Le comportement change aussi. Le rythme de frappe, les mouvements de souris et le défilement sont difficiles à reproduire d’une personne à l’autre, même quand elles utilisent le même compte.
D’où vient le seuil
Skyfense suit en continu la similarité de l’empreinte pendant une session et signale une baisse sous environ 67 % de similarité comme un signe probable de détournement. Ce seuil n’est pas arbitraire. Les variations normales au sein d’une vraie session (mises à jour du navigateur, petits changements d’environnement, changements de réseau) restent bien au-dessus, alors qu’un vrai changement d’appareil tombe bien en dessous. Les sessions qui franchissent la limite sont réévaluées au lieu d’être crues sur la foi d’un cookie encore valide.
Le résultat : un contrôle qui ne dépend pas d’une erreur de l’attaquant à l’étape de connexion, puisqu’il n’y en a souvent pas.