Un mot de passe volé suffit à ouvrir l’accès à une messagerie, un espace de stockage cloud ou un outil métier. L’authentification multifactorielle (MFA) ajoute une barrière supplémentaire pour vérifier l’identité de chaque utilisateur au moment de la connexion. Mais toutes les formes de MFA ne se valent pas, et le simple fait d’activer une option dans un menu de paramètres ne garantit pas une protection réelle.
MFA résistante au phishing : ce qui sépare les méthodes fiables des autres
Vous recevez un SMS avec un code à six chiffres. Vous le saisissez sur la page de connexion. Ce geste, répété des millions de fois chaque jour, constitue la forme la plus répandue d’authentification multifacteur. Le problème : un attaquant peut intercepter ce code en temps réel.
Les techniques dites « adversary-in-the-middle » placent un proxy entre l’utilisateur et le vrai site. L’utilisateur voit une copie conforme de la page de connexion, saisit son code, et l’attaquant le relaie instantanément vers le service légitime. Un code SMS ou email ne résiste pas à ce type de relais.
La distinction à retenir est celle entre MFA classique et MFA résistante au phishing. La seconde repose sur des protocoles qui lient l’authentification au domaine exact du site visité. Concrètement, si le navigateur détecte que le domaine ne correspond pas, la clé de sécurité refuse de s’activer. L’utilisateur n’a même pas besoin de repérer la supercherie.
Les clés physiques FIDO2 et les passkeys liées au dispositif entrent dans cette catégorie. Les notifications push classiques, même avec correspondance de numéro, n’y entrent pas. Un proxy de phishing peut toujours relayer la session après validation du numéro par l’utilisateur.
Passkeys synchronisées et comptes privilégiés : un piège discret
Les passkeys remplacent progressivement les mots de passe sur de nombreux services. Le principe est simple : une paire de clés cryptographiques remplace le couple identifiant/mot de passe. L’utilisateur déverrouille sa passkey avec son empreinte digitale ou le code PIN de son appareil.
Il existe deux types de passkeys. Les passkeys liées au dispositif restent stockées sur un seul appareil (une clé USB de sécurité, par exemple). Les passkeys synchronisées sont copiées via un compte cloud (Apple, Google, gestionnaire de mots de passe). Cette synchronisation simplifie l’usage quotidien, mais elle crée une dépendance à la sécurité du compte cloud associé.
Pour un compte utilisateur standard, cette commodité est acceptable. Pour un compte administrateur ou un accès à des données sensibles, la situation change. Si le compte cloud de synchronisation est compromis, toutes les passkeys synchronisées le sont aussi. Les guides récents recommandent d’utiliser des clés liées au dispositif pour les comptes à haut privilège, sans passer par une couche de synchronisation externe.
Attaques par fatigue MFA : quand l’utilisateur devient la faille
Avez-vous déjà reçu une notification push que vous n’aviez pas demandée ? Imaginez en recevoir dix, vingt, trente en quelques minutes. C’est le principe du « MFA fatigue bombing » : un attaquant qui possède déjà le mot de passe déclenche des demandes d’authentification en rafale, en espérant que l’utilisateur finisse par valider pour faire cesser les alertes.
La correspondance de numéro réduit ce risque sans l’éliminer. Au lieu de simplement appuyer sur « Approuver », l’utilisateur doit saisir un numéro affiché sur l’écran de connexion. Cette étape supplémentaire bloque les validations par lassitude. En revanche, elle ne protège pas contre un proxy qui intercepte la session en temps réel.
Pour limiter l’exposition, plusieurs mesures complémentaires existent :
- Limiter le nombre de tentatives d’authentification push sur une période donnée, afin de bloquer le bombardement avant qu’il ne commence
- Configurer des alertes automatiques lorsqu’un compte reçoit un volume anormal de demandes de validation
- Privilégier les clés FIDO2 pour les comptes qui gèrent l’infrastructure ou les données critiques, en supprimant complètement le push comme option
Déployer la MFA dans une entreprise sans paralyser les équipes
L’obstacle principal au déploiement de l’authentification multifactorielle dans une entreprise ou une PME n’est pas technique. C’est la résistance des utilisateurs. Un système perçu comme une contrainte supplémentaire sera contourné ou mal utilisé.
Un déploiement progressif, service par service, réduit les frictions. Commencer par les applications les plus exposées (messagerie, VPN, console d’administration) permet de protéger rapidement les points d’entrée les plus critiques. Les autres applications suivent dans un second temps.
Quelques repères pratiques pour structurer ce déploiement :
- Identifier les comptes à privilèges élevés et leur imposer une MFA résistante au phishing dès le départ
- Proposer plusieurs facteurs d’authentification compatibles avec les usages réels des équipes (application mobile, clé physique) plutôt qu’un seul canal
- Prévoir une procédure de récupération claire en cas de perte du second facteur, pour éviter que les utilisateurs bloqués sollicitent des contournements informels
- Former les équipes sur les scénarios d’attaque concrets (fatigue push, phishing par proxy) plutôt que sur des principes abstraits de sécurité informatique
Adapter le niveau de MFA à la sensibilité des données
Toutes les ressources d’un système d’information ne nécessitent pas le même niveau de protection. Un accès en lecture à un intranet d’entreprise ne présente pas le même risque qu’un accès administrateur à une base de données clients.
La MFA n’est pas une case à cocher unique mais une stratégie à plusieurs niveaux. Pour les connexions courantes, une application d’authentification avec correspondance de numéro offre un bon équilibre entre sécurité et facilité d’usage. Pour les comptes qui contrôlent l’infrastructure, les accès réseau ou les données personnelles sensibles, seule une méthode résistante au phishing (clé FIDO2, passkey liée au dispositif) apporte une protection suffisante.
Cette logique de graduation évite d’imposer une contrainte maximale à tous les utilisateurs tout en protégeant les accès qui, s’ils étaient compromis, mettraient en danger l’ensemble de l’organisation. Le choix de la solution MFA adaptée à chaque niveau de sensibilité reste la décision la plus structurante pour la sécurité informatique d’une entreprise.
