Qu'est-ce qu'une attaque de type « homme du milieu » (MITM) ? Fonctionnement, types et prévention

Les attaques de type « man-in-the-middle » comptent parmi les astuces les plus anciennes en matière de sécurité réseau, et elles restent efficaces aujourd’hui car elles ne ciblent pas directement le chiffrement. Elles visent le chemin emprunté par les données, qu’il s’agisse d’un réseau local, d’une requête DNS ou des tables de routage qui acheminent le trafic sur Internet. Une fois qu’un attaquant s’est introduit dans ce chemin, il peut se glisser discrètement entre deux parties qui n’ont aucune raison de soupçonner quoi que ce soit, puisque les deux côtés continuent de recevoir ce qui ressemble à une réponse normale.

Ce guide explique en détail le fonctionnement concret de ces attaques, leurs différentes formes, comment les repérer avant qu'elles ne causent de réels dommages, ainsi que les mesures de protection spécifiques adaptées à chaque niveau, y compris l'aspect lié aux e-mails, que la plupart des guides sur ce sujet négligent complètement.

Qu'est-ce qu'une attaque de type « homme du milieu » ?

Une attaque de type « homme au milieu » (MITM) se produit lorsqu'un pirate s'interpose entre deux entités qui communiquent et intercepte, lit ou modifie les données qui transitent entre elles. Il peut s'agir d'une personne et d'un site web, de deux serveurs de messagerie ou d'un appareil et d'un routeur Wi-Fi. Aucune des deux entités ne se rend compte qu'il y a un problème, car le pirate relaie le trafic dans les deux sens et peut faire en sorte que la connexion semble tout à fait normale.

L'analogie classique est celle d'un postier qui ouvre vos lettres, les lit, les referme et les remet dans la boîte aux lettres. Vous recevez votre lettre. L'expéditeur pense qu'elle est arrivée intacte. Mais quelqu'un l'a lue en cours de route, et s'il l'avait voulu, il aurait pu modifier quelques mots avant de la réexpédier.

Les attaques MITM sont préoccupantes car elles ne reposent pas sur le craquage du chiffrement par force brute. Elles consistent à s'introduire dans le chemin emprunté par le trafic, qu'il s'agisse d'un réseau local, d'une requête DNS ou d'une table de routage, et à exploiter le fait que de nombreux systèmes font confiance à ce chemin par défaut.

Comment fonctionnent les attaques de type « man-in-the-middle » (MITM), étape par étape

La plupart des attaques de type « man-in-the-middle » (MITM) suivent un schéma similaire, quelle que soit la technique utilisée par l'attaquant pour se mettre en place :

1. L'attaquant se place entre la victime et la destination visée. Cela peut se traduire par la connexion au même réseau Wi-Fi, l'altération d'un cache local ou la compromission d'un routeur ou d'un résolveur DNS situé quelque part sur le chemin.
2. L'appareil de la victime envoie une requête, par exemple pour charger une page Web ou pour qu'un serveur de messagerie établisse une connexion afin d'envoyer un e-mail.
3. L'attaquant intercepte cette requête avant qu'elle n'atteigne sa véritable destination.
4. L'attaquant transmet la requête à la véritable destination, souvent sans aucun délai perceptible, de sorte que rien ne semble anormal d'un bout à l'autre.
5. La réponse transite par l'attaquant, qui peut la lire, l'enregistrer ou la modifier avant de la transmettre à la victime.

L'attaquant devient en quelque sorte un relais invisible. Tant que les deux parties continuent de recevoir ce qui ressemble à une réponse normale, l'attaque peut se poursuivre tant que l'attaquant conserve cette position.

Types d'attaques de type « man-in-the-middle » (MITM)

Le MITM n'est pas une technique unique. Il s'agit d'une catégorie d'attaques qui partagent le même objectif (s'interposer entre deux entités en communication) mais qui utilisent différentes méthodes pour y parvenir.

L'usurpation d'identité ARP

L'usurpation d'adresse ARP est la technique d'attaque de type « homme au milieu » (MITM) la plus courante sur les réseaux locaux, tels qu'un réseau local de bureau ou un réseau public non sécurisé. Le protocole ARP (Address Resolution Protocol) associe les adresses IP aux adresses physiques (MAC) des périphériques d'un réseau local, et ne dispose d'aucun mécanisme de vérification intégré. Un attaquant envoie des messages ARP falsifiés qui associent sa propre adresse MAC à l'adresse IP d'un périphérique légitime, tel que le routeur du réseau. Une fois que les périphériques du réseau ont mis à jour leurs tables ARP avec ce faux mappage, le trafic destiné au routeur est alors acheminé vers l'attaquant à la place.

Usurpation d'identité DNS

L'usurpation DNS (également appelée « empoisonnement du cache DNS ») consiste à fournir à un appareil ou à un résolveur une réponse DNS falsifiée, qui redirige un nom de domaine légitime vers une adresse IP contrôlée par le pirate. Si l’attaque aboutit, les victimes qui tentent d’accéder à un site web ou à un serveur de messagerie légitime sont redirigées à leur insu vers un serveur contrôlé par l’attaquant, souvent utilisé à des fins de vol d’identifiants ou d’hameçonnage. C’est également là que la sécurité DNS prend toute son importance dans le domaine de la messagerie électronique, car une recherche d’enregistrement MX corrompue peut rediriger le serveur d’envoi vers une adresse où il croit que se trouve le serveur de messagerie du destinataire.

Usurpation HTTPS et « SSL stripping »

Le protocole HTTPS est censé empêcher les attaques de type « man-in-the-middle » (MITM) en chiffrant la connexion entre un navigateur et un site web. Le « SSL stripping » contourne cette protection en interceptant la requête de connexion initiale et en la faisant discrètement passer du protocole HTTPS au protocole HTTP en clair avant que le navigateur n’établisse une session chiffrée ; ainsi, le trafic de la victime circule en clair tandis que la barre d’adresse peut encore sembler trompeusement normale sur les navigateurs non mis à jour ou plus anciens. Les navigateurs modernes et le protocole HSTS (HTTP Strict Transport Security) ont rendu cette technique plus difficile à mettre en œuvre qu’il y a dix ans, mais elle reste une technique documentée contre les systèmes qui n’appliquent pas le protocole HTTPS de manière cohérente.

Écoute clandestine sur un réseau Wi-Fi (attaque « Evil Twin »)

Une attaque de type « jumeau malveillant » consiste à mettre en place un point d’accès Wi-Fi malveillant qui imite un point d’accès légitime, en utilisant souvent un nom de réseau identique ou très similaire. Les victimes qui s’y connectent, parfois automatiquement parce que leur appareil mémorise un réseau portant ce nom, acheminent tout leur trafic via l’équipement de l’attaquant. Il s’agit de l’un des vecteurs d’attaque de type « homme au milieu » (MITM) les plus courants dans les lieux publics tels que les aéroports, les cafés et les hôtels, précisément parce qu’elle ne nécessite aucun accès à l’appareil de la victime ni au réseau réel.

Détournement du protocole BGP

Le protocole BGP (Border Gateway Protocol) est utilisé par les fournisseurs d’accès à Internet pour indiquer les plages d’adresses IP dont ils assurent le routage. Le BGP ne disposant d’aucun mécanisme d’authentification intégré, un opérateur réseau peut, que ce soit par erreur de configuration ou par intention malveillante, annoncer à tort qu’il détient des plages d’adresses IP appartenant à quelqu’un d’autre. Les autres réseaux qui acceptent cette fausse annonce commencent alors à acheminer le trafic destiné à ces adresses via le réseau de l’attaquant. Il s’agit d’une attaque au niveau du routage plutôt que d’une attaque locale, et elle peut affecter d’importants volumes de trafic simultanément.

En avril 2018, des pirates ont exploité précisément cette faille pour détourner des préfixes IP appartenant au service DNS Route 53 d’Amazon, redirigeant ainsi les requêtes destinées au site de portefeuille de cryptomonnaie MyEtherWallet vers un serveur malveillant et dérobant environ 150 000 dollars en Ethereum aux utilisateurs qui avaient été redirigés vers une page de hameçonnage.

Attaques par « downgrade » SMTP : attaque de type « man-in-the-middle » sur les e-mails

Le courrier électronique connaît une variante de ce problème. Lorsqu'un serveur de messagerie transmet un message à un autre, il passe généralement à une connexion chiffrée à l'aide d'une commande appelée STARTTLS.

Le problème, c’est que STARTTLS est par défaut « opportuniste » : si la connexion ne peut pas être mise à niveau, la plupart des serveurs de messagerie enverront tout de même le message en clair plutôt que d’échouer la livraison. Un attaquant situé sur le chemin réseau entre deux serveurs de messagerie peut intercepter la négociation STARTTLS et la supprimer, de sorte que le serveur expéditeur ne voit jamais l’offre de chiffrement et se rabat sur l’envoi du message non chiffré. C’est ce qu’on appelle une attaque par « downgrade » de STARTTLS, et il s’agit précisément d’une menace que le protocole MTA-STS (RFC 8461) a été conçu pour contrer. Un expéditeur qui applique une politique MTA-STS refusera la livraison plutôt que de se rabattre sur le texte clair lorsque le protocole TLS ne peut pas être vérifié.

Exemples concrets d'attaques de type « man-in-the-middle »

Lenovo Superfish (2015)

Lenovo a commercialisé une série d'ordinateurs portables grand public sur lesquels était préinstallé un logiciel publicitaire appelé « Superfish », qui interceptait la navigation des utilisateurs afin d'injecter des publicités ciblées, y compris sur les sites HTTPS. Pour ce faire, l'entreprise a installé son propre certificat racine auto-signé sur chaque appareil concerné, et ce certificat utilisait la même clé privée pour toutes les installations.

Une fois la clé extraite par les chercheurs, n'importe qui pouvait se faire passer pour n'importe quel site web HTTPS sur n'importe quel ordinateur portable Lenovo concerné sans déclencher d'alerte du navigateur, transformant ainsi un logiciel publicitaire en un outil d'attaque de type « man-in-the-middle » (MITM) prêt à l'emploi pour les pirates exploitant les réseaux Wi-Fi publics. La CISA a publié un avis confirmant cette vulnérabilité et recommandant aux utilisateurs de supprimer à la fois le logiciel et le certificat.

Le détournement du BGP de MyEtherWallet en 2018

Comme décrit ci-dessus, les pirates ont procédé à un détournement BGP visant l'infrastructure DNS Route 53 d'Amazon afin de rediriger le trafic d'un site de portefeuille de cryptomonnaies vers un serveur qu'ils contrôlaient, dérobant ainsi les fonds des utilisateurs.

Cloudflare, dont le résolveur DNS a été affecté par la fuite de routes, a documenté l'incident en détail peu après qu'il se soit produit. Il s'agit là d'un des exemples les plus frappants illustrant comment une attaque de type « homme du milieu » (MITM) au niveau du routage peut affecter des utilisateurs qui n'ont pourtant rien fait de mal sur leurs propres appareils.

Vol d'identifiants sur les réseaux Wi-Fi publics

Cette technique est plus banale, mais bien plus courante au quotidien. Un pirate met en place un réseau Wi-Fi ouvert ou un « evil twin » dans un lieu public, attend que des utilisateurs s’y connectent, puis soit intercepte directement le trafic non chiffré, soit utilise des techniques telles que l’usurpation ARP et le « SSL stripping » pour capturer les identifiants de connexion transmis via cette connexion.

La CISA considère cela comme un risque spécifique lié à la connexion à des points d'accès publics et recommande d'éviter d'y effectuer des connexions ou des transactions sensibles sans VPN.

Comment détecter une attaque de type « man-in-the-middle »

Les attaques de type « man-in-the-middle » (MITM) sont conçues pour passer inaperçues, mais elles laissent généralement quelques traces si l'on sait où chercher :

• Avertissements inattendus concernant les certificats SSL/TLS: un avertissement affiché par un navigateur ou un client de messagerie indiquant qu'un certificat ne correspond pas, qu'il est auto-signé ou qu'il a été émis par une autorité inconnue constitue l'un des signes les plus fiables d'une interception.
• Ralentissements soudains ou coupures de connexion: le fait de rediriger le trafic via le système d'un pirate augmente la latence et peut entraîner un comportement irrégulier des connexions par rapport à une utilisation normale.
• Anomalies de la table ARP: sur un réseau local, le fait de constater que deux périphériques revendiquent la même adresse MAC, ou qu'une adresse MAC est soudainement associée à une adresse IP différente de celle habituelle, indique un cas d'usurpation ARP.
• Réponses DNS inattendues: le fait qu'un domaine soit résolu vers une adresse IP qui ne correspond pas à la plage connue et attendue est un signe d'usurpation DNS ou d'empoisonnement du cache.
• Échecs de négociation SMTP TLS: en ce qui concerne spécifiquement les e-mails, les données de rapport TLS (via TLS-RPT) indiquant que STARTTLS échoue ou fait l'objet d'un « downgrade » alors qu'il fonctionnait auparavant constituent un indicateur fort d'une tentative de « downgrade » sur le chemin de distribution.

Comment prévenir les attaques de type « man-in-the-middle »

Aucune mesure de sécurité ne permet à elle seule de bloquer tous les types d'attaques de type « man-in-the-middle », car ces techniques opèrent à différents niveaux, du réseau local jusqu'au routage sur Internet. Une approche par couches offre une couverture plus complète :

• Utilisez le protocole HTTPS partout, associé à HSTS, afin que les navigateurs refusent toute connexion via le protocole HTTP non chiffré, même si un pirate tente de forcer un retour à une version antérieure.
• Utilisez le « certificate pinning » pour les applications sensibles, afin qu'une application ne fasse confiance qu'à un certificat spécifique et connu, plutôt qu'à n'importe quel certificat émis par une autorité de certification compromise ou malveillante.
• Évitez les réseaux Wi-Fi publics non cryptés, ou utilisez un VPN lorsque cela n'est pas possible, car celui-ci crypte le trafic avant même qu'il n'atteigne le réseau local qu'un pirate pourrait contrôler.
• Activez l'authentification multifactorielle sur tous les comptes, afin qu'un mot de passe intercepté ne suffise pas à lui seul à un pirate pour accéder au système.
• Déployez le protocole DNSSEC afin d'ajouter une signature cryptographique aux réponses DNS, ce qui rendra beaucoup plus difficile l'injection de fausses entrées DNS sans être détecté.
• Activez le protocole MTA-STS pour imposer l'utilisation du protocole TLS sur les e-mails entrants, ce qui permet de contrer l'attaque par « downgrade » SMTP décrite précédemment.
• Mettez en place le protocole DMARC en complément d'SPF et de DKIM afin d'empêcher les pirates d'usurper votre domaine dans des e-mails de hameçonnage, qui accompagnent souvent le vol d'identifiants par attaque de type « homme au milieu » (MITM).
• Surveillez les anomalies ARP et DNS sur votre réseau à l'aide d'outils qui signalent les modifications inattendues des mappages d'adresses.

Protéger les e-mails contre les attaques de type « man-in-the-middle » grâce au protocole MTA-STS

La plupart des guides consacrés aux attaques de type « man-in-the-middle » (MITM) se concentrent sur le trafic de navigation et s’arrêtent là. La messagerie électronique est pourtant elle aussi exposée à ce type d’attaques, un aspect souvent négligé. Le protocole STARTTLS étant opportuniste, un attaquant capable d’intercepter la connexion entre deux serveurs de messagerie peut supprimer l’offre de chiffrement et forcer le message à transiter en clair, sans que l’un ou l’autre des serveurs ne signale nécessairement cela comme une erreur.

Le protocole MTA-STS comble cette lacune. En publiant une politique MTA-STS en mode « enforce », un domaine indique à tous les serveurs de messagerie émetteurs qu’il prend toujours en charge le protocole TLS et précise exactement quels serveurs sont autorisés à recevoir ses e-mails. Si un serveur émetteur ne parvient pas à établir une connexion TLS avec un serveur conforme à la politique, il refuse la transmission plutôt que de basculer silencieusement vers le texte clair. Comme la politique elle-même est récupérée via HTTPS plutôt que négociée lors de la poignée de main SMTP, un attaquant ne peut pas la falsifier de la même manière qu’il peut supprimer une offre STARTTLS.

DANE ajoute une couche supplémentaire à ce système. Plutôt que de s'appuyer sur le système traditionnel d'autorité de certification, DANE publie un enregistrement TLSA dans le DNS qui spécifie exactement quel certificat un serveur de messagerie doit présenter. Comme DANE repose sur le protocole DNSSEC, l'enregistrement TLSA lui-même est protégé contre le type d'usurpation DNS décrit plus haut dans cet article, offrant ainsi aux serveurs émetteurs un moyen cryptographique de vérifier qu'ils communiquent bien avec le serveur de messagerie du destinataire prévu.

Ensemble, MTA-STS et DANE répondent aux deux exigences que le protocole STARTTLS opportuniste n'a jamais été conçu pour garantir : que le chiffrement soit effectivement utilisé et que le serveur à l'autre bout soit bien le bon. PowerDMARC prend en charge ces deux éléments, ce qui permet aux domaines d'imposer une distribution des e-mails chiffrée et vérifiée sans avoir à gérer manuellement les enregistrements DNS ou les fichiers de règles hébergés sur le Web.

Remarque : le chiffrement de la transmission protège uniquement la connexion. Il n’empêche pas quelqu’un d’usurper votre domaine dans le champ « De » d’un e-mail qui ne passe jamais par vos serveurs de messagerie. C’est là qu’intervient le protocole DMARC, et ces deux protections sont plus efficaces lorsqu’elles sont utilisées conjointement plutôt que l’une en remplacement de l’autre.

En savoir plus sur DMARC

Foire aux questions

Quel est l'objectif d'une attaque de type « man-in-the-middle » ?

L'objectif consiste presque toujours à intercepter, lire ou modifier des communications que les deux parties considèrent comme privées. Selon les motivations de l'attaquant, cela peut consister à voler des identifiants de connexion, à rediriger des transactions financières, à injecter du contenu malveillant dans une connexion légitime ou simplement à surveiller le trafic à l'insu des deux parties.

Le protocole HTTPS permet-il d'empêcher les attaques de type « man-in-the-middle » ?

Le protocole HTTPS complique considérablement les attaques de type « man-in-the-middle » (MITM) en chiffrant le trafic entre un navigateur et un site web, mais il ne constitue pas à lui seul une garantie totale. Des techniques telles que le « SSL stripping », les certificats falsifiés ou compromis, ainsi que les réseaux Wi-Fi « evil twin » qui interceptent le trafic avant l’établissement de la connexion HTTPS peuvent encore créer des failles. L’association du protocole HTTPS avec le protocole HSTS et le « certificate pinning » permet de combler la plupart de ces failles.

Quel est le type d'attaque MITM le plus courant ?

Sur les réseaux locaux, l'usurpation ARP est la technique la plus courante, car elle ne nécessite aucun accès particulier, si ce n'est d'être connecté au même réseau. Dans les lieux publics, les attaques Wi-Fi de type « evil twin » sont plus fréquentes, car elles ne nécessitent même pas de compromettre un réseau existant.

Comment le protocole MTA-STS empêche-t-il les attaques de type « man-in-the-middle » par e-mail ?

Le protocole MTA-STS empêche les attaques par « downgrade » de STARTTLS en permettant à un domaine de déclarer, via HTTPS plutôt que par le biais de la négociation SMTP elle-même, qu’il exige systématiquement l’utilisation du protocole TLS pour les e-mails entrants. Les serveurs d’envoi prenant en charge le protocole MTA-STS refuseront de transmettre des e-mails en clair à un domaine appliquant cette politique, comblant ainsi la faille opportuniste que STARTTLS laisse ouverte à lui seul.

Une attaque de type « man-in-the-middle » revient-elle à de l'écoute clandestine ?

Ces deux notions sont liées, mais ne sont pas identiques. L'écoute clandestine consiste généralement à écouter passivement le trafic sans le modifier. Une attaque de type « homme du milieu » (MITM) va plus loin : l'attaquant s'interpose activement dans le chemin de communication et peut lire, modifier, injecter ou bloquer le trafic dans les deux sens, et pas seulement l'observer.

• À propos de
• Derniers messages

Ahona Rudra

Expert en sécurité des domaines et des e-mails chez PowerDMARC

Ahona est la responsable du marketing chez PowerDMARC, avec plus de 5 ans d'expérience dans l'écriture sur des sujets de cybersécurité, spécialisée dans la sécurité des domaines et des courriels. Ahona est titulaire d'un diplôme de troisième cycle en journalisme et communication, solidifiant sa carrière dans le secteur de la sécurité depuis 2019.

Derniers messages de Ahona Rudra (voir tous)

• Sécurité des fax : guide complet pour protéger les documents sensibles en 2026 - 30 juillet 2026
• Qu'est-ce qu'un service de filtrage des e-mails ? - 29 juillet 2026
• L'usurpation d'adresse e-mail : de quoi s'agit-il et comment s'en prémunir ? - 29 juillet 2026