Attaques de contournement de la MFA : pourquoi l’authentification multifacteur ne suffit plus toujours

L’authentification multifacteur (MFA) est l’une des mesures les plus importantes pour protéger les comptes numériques. Elle exige plusieurs preuves d’identité, par exemple un mot de passe associé à une validation dans une application ou à une clé de sécurité. Toutefois, l’ajout d’un deuxième facteur ne rend pas tous les processus de connexion impossibles à compromettre.

Les attaques de contournement de la MFA ne visent pas nécessairement à casser la technologie d’authentification elle-même. Elles exploitent souvent la manière dont les utilisateurs approuvent les demandes, dont les nouveaux appareils sont enregistrés, dont les comptes sont récupérés ou dont les sessions restent actives après la connexion. La MFA demeure une protection précieuse, mais son efficacité dépend de la méthode choisie et de la configuration de l’ensemble du processus.

Pour les entreprises, Soft & Solution Group recommande d’intégrer la MFA à une stratégie plus large de sécurité des identités. La protection doit couvrir tout le cycle d’accès : l’enregistrement des utilisateurs, l’authentification, la gestion des sessions, la récupération des comptes et la suppression des accès lorsqu’ils ne sont plus nécessaires.

Que signifie réellement le contournement de la MFA ?

Il y a contournement de la MFA lorsqu’un attaquant accède à un compte ou à une ressource protégée sans effectuer légitimement la vérification prévue. Cela peut passer par la manipulation d’un utilisateur, l’exploitation d’une méthode de vérification plus faible ou l’obtention d’une session déjà authentifiée.

Il convient de distinguer le vol d’un mot de passe, le contournement d’un défi MFA et le vol d’un jeton de session. Ces situations peuvent toutes conduire à un accès non autorisé, mais les chemins d’attaque et les mesures de protection diffèrent.

Comment les attaquants tentent-ils de contourner la MFA ?

Une méthode courante est le phishing avancé, notamment les attaques dites « adversary-in-the-middle ». L’utilisateur est dirigé vers une fausse page qui imite un service connu. L’attaquant relaie l’interaction et peut tenter de récupérer les identifiants, les codes temporaires ou les données de session. Les codes saisis manuellement sont davantage exposés à ce type d’attaque que les méthodes cryptographiques liées au véritable site.

Une autre technique est la fatigue MFA, parfois appelée bombardement de notifications push. L’utilisateur reçoit des demandes d’approbation répétées et peut finir par en accepter une pour faire cesser les notifications, surtout si l’attaquant exerce une pression ou se fait passer pour le support technique. La validation par correspondance de nombres réduit les approbations accidentelles, mais ne remplace pas une authentification résistante au phishing.

Les attaquants peuvent également exploiter les faiblesses des SMS et de la vérification téléphonique, notamment lors d’un remplacement frauduleux de carte SIM. Le SMS est moins sûr qu’une authentification cryptographique, car un code peut être redirigé ou intercepté dans certaines circonstances. Le vol de jetons ou de cookies de session après une connexion légitime constitue un autre risque, par exemple à partir d’un appareil compromis.

Des faiblesses peuvent aussi apparaître lors de l’enregistrement ou de la récupération d’un compte. Si le service d’assistance ne vérifie pas correctement l’identité, une personne non autorisée peut tenter d’ajouter une nouvelle méthode d’authentification ou de prendre le contrôle du compte. Une fédération d’identités mal configurée et des protocoles d’authentification obsolètes peuvent également créer des voies d’accès supplémentaires.

Quels signes doivent alerter les organisations ?

Les demandes MFA qu’un utilisateur n’a pas initiées constituent un signal important. Il faut également examiner les notifications concernant l’enregistrement d’un nouvel appareil ou d’une nouvelle méthode d’authentification, les connexions depuis des appareils ou lieux inhabituels, les changements inattendus de droits d’accès et les activités anormales après une connexion réussie.

Les comptes administrateurs, la messagerie, les VPN, les plateformes cloud et les systèmes contenant des données sensibles méritent une attention particulière. Une connexion réussie ne doit pas être considérée automatiquement comme sûre lorsque le comportement de la session, l’appareil ou les actions qui suivent paraissent suspects.

Comment les entreprises peuvent-elles renforcer leur protection ?

La mesure la plus importante consiste, lorsque cela est possible, à adopter une MFA résistante au phishing, comme les clés de sécurité FIDO2/WebAuthn et les passkeys correctement configurés. Ces méthodes utilisent une vérification cryptographique liée au site ou au service légitime, ce qui les rend beaucoup plus difficiles à tromper avec des pages imitées. Les comptes administrateurs et les systèmes critiques devraient exiger la méthode d’authentification la plus forte que l’organisation peut prendre en charge.

Lorsqu’une migration immédiate n’est pas possible, les entreprises devraient privilégier des méthodes plus sûres que le SMS, activer la correspondance de nombres pour les notifications push et limiter les demandes inutiles. Les procédures d’enregistrement et de récupération doivent comporter des contrôles d’identité solides, des notifications lors de changements de facteurs et une vérification supplémentaire pour les demandes à haut risque.

La MFA doit être complétée par des politiques d’accès fondées sur le risque, des appareils gérés, le principe du moindre privilège et une surveillance continue des connexions. Les organisations doivent protéger les terminaux, maintenir les systèmes à jour, désactiver les méthodes d’authentification anciennes lorsqu’elles ne sont plus nécessaires et analyser les journaux d’identité pour détecter les signes de vol de session.

Que faire si un contournement de la MFA est suspecté ?

En cas de suspicion, l’entreprise doit restreindre temporairement le compte concerné, révoquer les sessions et jetons actifs, réinitialiser les identifiants et vérifier les méthodes d’authentification enregistrées. Elle doit également examiner les appareils de l’utilisateur, l’activité récente, les règles de messagerie, les applications autorisées et tout changement de privilèges.

La réponse doit être documentée et transmise aux responsables de la sécurité. Changer uniquement le mot de passe peut ne pas suffire si l’attaquant conserve une session active ou une méthode d’authentification enregistrée. Après la récupération du compte, l’organisation doit identifier la cause et corriger la faiblesse à l’origine de l’incident.

Conclusion : la MFA reste essentielle, mais sa mise en œuvre doit être rigoureuse

Les attaques de contournement de la MFA montrent que la sécurité ne s’arrête pas à l’activation d’un deuxième code. La protection exige des méthodes d’authentification robustes, des procédures de récupération sécurisées, des appareils protégés, des contrôles de session et une surveillance continue. La MFA n’est pas devenue obsolète ; elle doit faire partie d’un système complet de gestion des identités et des accès.

Pour les entreprises, l’objectif est de garantir que seuls les utilisateurs et appareils autorisés disposent du niveau d’accès approprié, au bon moment. Cette approche rend la prise de contrôle des comptes plus difficile et limite les conséquences de l’exposition d’identifiants.

Comme l’exprime Ermal Beqiri, fondateur de Soft & Solution Group :

« La MFA constitue une couche de protection importante, mais la confiance doit être vérifiée tout au long de la session — et pas uniquement au moment de la connexion. »