Un homme se fait pirater son compte Instagram: «On ne m’a même pas demandé mon mot de passe ni l’authentification à deux facteurs.»

Attention : une nouvelle menace technologique vient de faire son apparition. Aftab Barkat (@aftab.barkat), un créateur de contenu spécialisé dans la technologie et la cybersécurité basé à Londres, affirme pouvoir pirater le compte Instagram de n'importe qui à l'aide d'un simple navigateur. Pas besoin de Kali Linux, ni de mot de passe, ni de code d'authentification à deux facteurs. Dans une vidéo qui a été visionnée plus de 430 000 fois, il explique la méthode étape par étape. Ce tutoriel TikTok fait également office de cours accéléré, expliqué en termes simples, sur les raisons pour lesquelles la page de connexion n'est pas la dernière ligne de défense.

« Je vais vous montrer comment les pirates peuvent accéder à votre compte Instagram sans connaître votre mot de passe ni votre code d'authentification à deux facteurs », explique-t-il. « Tout ce dont vous avez besoin pour cette démonstration, c'est de votre navigateur web. »

L'histoire

Barkat illustre ce concept à l'aide d'une analogie avec un parc d'attractions : vous présentez votre billet à l'entrée, on vous remet un bracelet, et pour chaque attraction suivante, on vérifie simplement ce bracelet. « Les sites web fonctionnent de la même manière », explique-t-il. « Une fois que vous avez saisi votre mot de passe, ils vous attribuent ce qu'on appelle un identifiant de session. »

@aftab.barkat Comment les pirates informatiques s'introduisent et accèdent à votre compte Instagram et à d'autres comptes si vous ne faites pas attention. À des fins éducatives uniquement !!! #techtok #cybersécurité #conseilsdecybersécurité #piratage #pentesting ♬ son original – Aftab Barkat | Cyber & IA

La démonstration de Barkat rend le tout encore plus effrayant et concret. À partir d'un compte connecté, il suffit de faire un clic droit, de sélectionner « Inspecter », d'ouvrir l'onglet « Applications », de jeter un œil aux cookies d'Instagram, puis de copier la valeur de l'identifiant de session. Il est ensuite possible d'ouvrir un deuxième profil dans le même navigateur, de remplacer son identifiant de session par la chaîne copiée, puis d'actualiser la page. La fenêtre se charge alors à l'intérieur du premier compte. Pourquoi cela fonctionne-t-il ? « Le site web n'a jamais demandé de mot de passe ni le code à deux facteurs », explique-t-il. « C'est parce qu'il a fait confiance à la session existante. »

Barkat qualifie cette démonstration de pédagogique ; il ne cherche pas à encourager les actes malveillants. Il précise également qu'elle se déroule dans « un environnement vulnérable contrôlé » — une précision qui mérite d'être soulignée. Il fournit également quelques conseils pour protéger vos données personnelles : ne restez jamais connecté sur des appareils partagés ou publics, déconnectez-vous lorsque vous avez terminé et vérifiez les sessions actives dans les paramètres de votre compte.

Les extensions de navigateur malveillantes et les sites de phishing, ajoute-t-il, comptent parmi les moyens les plus courants utilisés par les attaquants pour s'emparer de véritables cookies dans la nature.

Les sceptiques

Certaines personnes n'ont pas cru Barkat. « Ça ne marchera pas », a déclaré l'un d'entre eux. « Dès que vous actualiserez la page ou cliquerez sur quoi que ce soit, vous serez déconnecté. Ce qu'il vous faut, ce sont des jetons de session 2FA. »

Barkat a répondu : « Pas du tout, cher monsieur ! Essayez d'abord, et on en reparlera. Je pense que vous aurez une révélation si vous essayez ;). »

Le bracelet entre de mauvaises mains

La division d'Atlanta du FBI a publié son propre avertissement en octobre 2024, signalant que les « cookies “Remember-Me” » constituaient un moyen de plus en plus populaire pour les attaquants de contourner l'authentification multifactorielle. « Les cybercriminels accèdent à des comptes de messagerie en volant des cookies sur l'ordinateur d'une victime », a écrit le Bureau.

En juillet 2025, Google a lancé la version bêta ouverte de son protocole DBSC (Device Bound Session Credentials) dans Chrome sous Windows, liant les cookies de session à une clé privée stockée dans le matériel sécurisé de l'appareil.

Andy Wen, de Google Workspace, a déclaré que le protocole DBSC « permet de lier un cookie de session […] à l'appareil à partir duquel l'utilisateur s'est authentifié ». S'il est utilisé sur un autre appareil, le cookie est inactif.

Buzz News a contacté Barkat et Meta par e-mail pour obtenir plus d'informations.