Réponse courte
Quand vous vous connectez, le site enregistre un cookie de session dans votre navigateur pour vous éviter de vous reconnecter. Un logiciel voleur de cookies (infostealer) copie ces cookies et les envoie au pirate, qui peut alors ouvrir votre compte sans mot de passe ni code 2FA — Google rappelle que le vol de cookies a lieu après la connexion et contourne donc la double authentification. Tout est dans l’ordre : nettoyez d’abord l’appareil infecté, puis depuis un appareil sain changez les mots de passe, fermez toutes les sessions et vérifiez les informations de récupération, les règles de transfert et les applications connectées.
Comment se déroule l’attaque
- Vous lancez un fichier qui semble utile : un brief de « partenariat », une triche de jeu, un logiciel piraté, un faux lecteur PDF ou une extension de navigateur.
- Le logiciel lit les mots de passe enregistrés et les cookies de session du navigateur, puis les envoie en quelques secondes.
- Le pirate charge les cookies dans son propre navigateur et se retrouve déjà connecté : ni mot de passe, ni code.
- Il change l’e-mail, le téléphone et la 2FA, ou utilise le compte discrètement. Le Threat Analysis Group de Google a décrit des chaînes YouTube détournées ainsi, revendues ou utilisées pour diffuser des arnaques aux cryptomonnaies.
Les signes d’alerte
- Une alerte de connexion ou une session inconnue — mais souvent aucune alerte, car le pirate réutilise une session que vous aviez déjà ouverte.
- Des modifications que vous n’avez pas faites : nom de chaîne, e-mail de récupération, appareils associés, dépenses publicitaires, publications ou messages.
- Plusieurs comptes qui posent problème en même temps : signe que mots de passe et cookies viennent d’un même ordinateur infecté.
- Vous avez récemment installé un logiciel, un mod ou une extension hors d’une boutique officielle, ou ouvert une archive envoyée par une « marque ».
Nettoyez dans cet ordre
Changer les mots de passe sur l’ordinateur infecté ne sert à rien : le logiciel peut aussi capturer les nouveaux.
- Ne vous connectez plus sur l’appareil infecté. Analysez-le avec un logiciel de sécurité à jour, supprimez les extensions inconnues — ou réinitialisez-le si possible.
- Depuis un appareil sain, sécurisez d’abord le compte e-mail : nouveau mot de passe, déconnexion des autres sessions, vérification du téléphone et de l’e-mail de récupération.
- Changez les mots de passe des autres comptes touchés et déconnectez-vous partout : Compte Google → Sécurité → Vos appareils ; Microsoft → Se déconnecter partout ; Espace Comptes → Où vous êtes connecté.
- Supprimez ce que le pirate a pu laisser : règles de transfert et filtres, applications connectées, nouvelles méthodes 2FA et informations de récupération.
- Activez une clé d’accès (passkey) ou une 2FA par application et enregistrez de nouveaux codes de secours.
Pourquoi la double authentification n’a pas suffi
La 2FA vous contrôle au moment de la connexion. Un cookie volé prouve que la connexion a déjà eu lieu : le site n’a aucune raison de redemander. C’est pourquoi Google développe les Device Bound Session Credentials, qui lient une session à l’appareil qui l’a créée afin qu’un cookie copié ne serve presque plus ailleurs. En attendant que ces protections se généralisent, la meilleure défense reste simple : n’exécutez pas de fichiers que vous n’avez pas demandés et vérifiez régulièrement vos sessions — voir vérifier les appareils connectés.
Si vous ne pouvez plus vous connecter
Si le pirate a déjà changé l’e-mail et le numéro de téléphone, passez par la procédure officielle de la plateforme : liens officiels de récupération, chaîne YouTube piratée ou compte Google piraté. Notre service de récupération de compte piraté passe uniquement par ces canaux officiels.
Questions fréquentes
Peut-on entrer dans mon compte sans mot de passe ni code 2FA ?
Oui. Si un logiciel vole le cookie de session de votre navigateur, le pirate peut réutiliser une session déjà ouverte : aucun mot de passe ni code n’est demandé tant qu’elle n’est pas fermée.
Changer de mot de passe déconnecte-t-il le pirate ?
Sur la plupart des plateformes, cela ferme les autres sessions. Faites-le toutefois depuis un appareil sain et utilisez aussi « se déconnecter partout » : sur un ordinateur infecté, le nouveau mot de passe peut être volé à son tour.
Comment savoir si mon ordinateur a un voleur de cookies ?
Signe typique : plusieurs comptes piratés en même temps après l’installation d’un logiciel piraté, d’une triche ou d’une extension inconnue. Analysez avec un logiciel de sécurité à jour ; dans le doute, réinitialisez l’appareil.
Une clé d’accès empêche-t-elle le vol de cookies ?
Elle empêche l’hameçonnage de la connexion, mais un cookie volé après la connexion peut encore être exploité. Combinez clés d’accès, appareils sains et déconnexion des sessions inutilisées.
Sources: Google Threat Analysis Group — logiciels voleurs de cookies visant les créateurs YouTube, Google — lutter contre le vol de cookies avec des sessions liées à l’appareil, Aide Compte Google — appareils ayant accès à votre compte, Support Microsoft — se déconnecter partout de son compte Microsoft, Aide YouTube — nettoyer une chaîne piratée