En bref : détecter le piratage de compte avant la connexion
- Les échecs d'identifiants sont le mauvais signal pour le piratage de compte : les attaquants utilisent des identifiants volés valides, donc la connexion passe proprement. C'est l'appareil qui sépare l'attaquant du titulaire, pas le mot de passe.
- cside construit une empreinte à partir de plus de 100 signaux du navigateur qui survit aux cookies et à la navigation privée, la corrèle entre comptes et renvoie un verdict avant l'envoi du POST de connexion. Les pertes ATO aux États-Unis ont atteint 13,5 milliards en 2025, contre 11,4 milliards en 2024.
- Si une session présente une nouvelle empreinte sur un compte connu plus un handshake TLS classé VPN plus une diffusion sur plusieurs comptes, déclenche un step-up ou bloque avant l'authentification. Si l'empreinte et le motif TLS collent à l'historique, laisse passer sans friction.
La détection de la fraude par prise de contrôle de compte repère une session d'attaquant avant que la requête de connexion ne se termine, au moment où un identifiant volé est testé plutôt qu'après le vidage du compte. La couche de détection la plus efficace se situe dans le navigateur, en amont du système d'authentification : le fingerprinting d'appareil, l'analyse réseau TLS handshake fingerprint TLS et la corrélation inter-comptes signalent une tentative de credential stuffing pendant que la page de connexion est encore en cours de chargement. C'est l'approche au niveau du navigateur derrière la détection de prise de contrôle de compte de cside.
Le signal principal : un nouvel appareil sur un compte connu
L'indicateur le plus fiable d'une tentative de prise de contrôle de compte est un appareil que le compte n'a jamais utilisé auparavant. Une vérification d'identifiants échouée ne le fera pas apparaître, car lorsqu'un attaquant teste un identifiant volé, celui-ci est souvent valide. Le nom d'utilisateur et le mot de passe sont corrects, donc le système d'authentification n'a aucune raison de rejeter la connexion sur la seule base des vérifications d'identifiants.
C'est l'appareil qui distingue l'attaquant du titulaire du compte. L'utilisateur légitime se connecte depuis des appareils reconnaissables, à des horaires reconnaissables, dans des conditions réseau reconnaissables. L'attaquant se connecte depuis un appareil que le compte n'a jamais vu.
Une empreinte d'appareil persistante qui survit à l'effacement des cookies, à la navigation privée et à l'utilisation d'un VPN est le moyen le plus fiable de détecter cette incohérence. cside construit des empreintes à partir de plus de 100 signaux du navigateur, en conservant une haute précision même lorsque l'utilisateur est en mode navigation privée ou efface ses cookies entre les sessions.
Le contexte réseau amplifie le signal
Une nouvelle empreinte d'appareil sur un compte connu est un signal significatif en soi. Une nouvelle empreinte d'appareil combinée à une connexion VPN ou proxy est un signal ATO à haute confiance.
cside utilise le fingerprinting TLS handshake fingerprint TLS pour lire les caractéristiques du handshake TLS de la connexion. Les services VPN et proxy portent des signatures TLS handshake fingerprint cohérentes qui diffèrent des connexions grand public standard. Lorsqu'une session présente une nouvelle empreinte d'appareil et une signature TLS handshake fingerprint TLS associée à un VPN ou à un proxy, cette combinaison réduit considérablement le champ des possibilités.
La limitation de débit par IP ne peut pas voir cette combinaison, car elle ne voit que l'adresse IP. L'adresse IP peut paraître propre alors que l'appareil derrière elle ne l'est pas. Les signaux du navigateur sont la seule couche capable de lire à la fois l'appareil et les caractéristiques réseau d'une session.
Corrélation d'empreintes inter-comptes
Un seul attaquant menant une campagne de credential stuffing teste des centaines, voire des milliers de paires d'identifiants. Chaque test est une tentative de connexion distincte, souvent contre un compte différent. Vue isolément, chaque tentative ressemble à une connexion échouée ou réussie unique.
Vue à l'échelle de plusieurs comptes, la tendance devient visible. La même empreinte d'appareil apparaît sur de nombreuses tentatives de connexion de comptes dans un court laps de temps. Aucun utilisateur légitime ne teste des dizaines d'identifiants à la suite, donc cette tendance identifie une campagne de stuffing que les contrôles par compte ne peuvent pas détecter.
Les identifiants volés apparaissent dans 39 % des violations de données (Verizon Data Breach Investigations Report 2026), donc le stock d'identifiants qui alimente les attaques ATO se reconstitue en permanence.
La corrélation inter-comptes de cside fait remonter cette tendance dans l'ensemble de signaux. Une empreinte d'appareil qui apparaît sur de nombreux comptes dans une courte fenêtre glissante est signalée, qu'une connexion individuelle ait abouti ou non.
La détection avant la fin de la connexion
La détection au niveau du navigateur bénéficie d'un avantage de timing. L'empreinte d'appareil et les signaux réseau sont collectés au chargement de la page de connexion, et non après le traitement de la requête d'authentification. Au moment où l'utilisateur soumet ses identifiants, cside a déjà renvoyé son ensemble de signaux à votre backend. Votre moteur de règles peut évaluer l'empreinte d'appareil, l'indicateur VPN et la corrélation inter-comptes avant même de décider s'il faut traiter l'authentification.
Cela signifie que des défis MFA, une authentification renforcée ou un blocage pur et simple peuvent être appliqués avant qu'une session ne soit accordée. L'attaquant ne reçoit jamais de réponse confirmant que l'identifiant était valide. Le point de détection se situe plus tôt dans le flux que ce que peut atteindre n'importe quel contrôle au niveau de l'authentification.
Le coût lié au fait de manquer cette fenêtre ne cesse d'augmenter. Aux États-Unis, les pertes dues aux prises de contrôle de compte ont augmenté d'une année sur l'autre :
| Année | Pertes ATO aux États-Unis |
|---|---|
| 2024 | $11.4B |
| 2025 | $13.5B |
Source : Javelin Strategy & Research 2026 Identity Fraud Study.
Ce que cside renvoie pour chaque session
cside renvoie en temps réel une empreinte d'appareil et un ensemble de signaux pour chaque session, transmis à votre backend via une API et une balise de script. Les signaux pertinents pour l'ATO incluent un identifiant d'empreinte d'appareil persistant, le fait que cette empreinte ait déjà été vue sur ce compte, la signature TLS handshake fingerprint TLS et sa classification VPN ou proxy, le fait que le navigateur fonctionne en mode navigation privée, le nombre de comptes distincts vus depuis cette empreinte dans la fenêtre glissante actuelle, et le fait qu'un outil d'automatisation nommé comme Playwright, Puppeteer, OpenAI Operator ou Claude for Chrome pilote la session.
Votre moteur de règles reçoit tout cela avant que la requête de connexion ne soit traitée. Une nouvelle empreinte combinée à un indicateur VPN et à un verdict d'agent IA est une combinaison qui devrait déclencher au minimum une authentification renforcée, que la paire d'identifiants soit valide ou non.
cside ne bloque pas les connexions. Votre couche d'authentification prend cette décision, en s'appuyant sur l'ensemble de signaux fourni par cside. cside fournit ce que le navigateur sait, et votre système applique le contexte métier.
