L’authentification à double facteur freine l’usurpation d’identité

L’authentification à double facteur (2FA) ajoute une couche de vérification entre un mot de passe volé et l’accès effectif à un compte. Mesurer son efficacité réelle contre l’usurpation d’identité suppose de distinguer les méthodes employées, car toutes n’offrent pas la même résistance face aux techniques d’attaque actuelles.

Résistance au phishing selon le type de second facteur

Le choix du second facteur détermine directement le niveau de protection. Comparer les principales méthodes sur leurs vulnérabilités connues permet de situer chaque option.

A voir aussi : Les mises à jour logicielles corrigent des failles exploitées par les hackers

Les codes par SMS restent le maillon le plus fragile. Un attaquant qui obtient le contrôle du numéro de téléphone par SIM swapping intercepte le code sans effort. Les applications TOTP améliorent la situation, mais elles ne résistent pas aux campagnes de phishing en temps réel où l’attaquant relaie le code saisi vers le vrai service en quelques secondes.

A découvrir également : Le phishing par SMS se développe dans les pays francophones

En revanche, les clés de sécurité FIDO2 lient l’authentification au domaine du site visité. Un site de phishing hébergé sur un domaine différent ne peut pas déclencher la validation cryptographique. C’est ce mécanisme qui rend cette approche résistante au phishing par conception.

Fatigue MFA et vol de jetons de session : les attaques qui contournent la 2FA

Activer la double authentification ne ferme pas toutes les portes. Les techniques de contournement se sont adaptées et ciblent désormais des failles situées en amont ou en aval de la vérification elle-même.

Phishing en temps réel

L’utilisateur saisit son identifiant, son mot de passe et son code 2FA sur une page piégée. Un proxy inverse transmet ces informations au vrai site en quelques millisecondes, récupère le jeton de session valide et prend le contrôle du compte. Le code à usage unique a été utilisé, mais pas par la bonne personne.

Fatigue MFA

L’attaquant dispose déjà du mot de passe (souvent issu d’une fuite de données). Il déclenche des dizaines de notifications push successives sur le téléphone de la victime. L’utilisateur finit par approuver par lassitude, ouvrant l’accès au compte. Cette technique exploite la friction ressentie par l’utilisateur, pas une faille technique du protocole.

Vol de jeton de session

Après une authentification légitime, le jeton qui maintient la session ouverte dans le navigateur peut être dérobé par un malware ou une extension compromise. L’attaquant injecte ce jeton dans son propre navigateur et accède au compte sans repasser par la 2FA.

Ces trois vecteurs montrent que la 2FA freine l’usurpation mais ne l’élimine pas lorsque la méthode choisie ou l’environnement de l’utilisateur présentent des faiblesses.

Récupération de compte : le point aveugle de la double authentification

Plusieurs analyses terrain pointent un paradoxe. La 2FA protège l’accès principal, mais les canaux de secours (récupération par e-mail, questions de sécurité, support technique) offrent parfois un chemin alternatif moins protégé.

• Un e-mail de récupération lui-même protégé par un simple mot de passe permet de réinitialiser la 2FA du compte cible sans jamais la franchir.
• Un support technique trop permissif qui désactive la 2FA sur simple demande téléphonique annule l’effet protecteur du dispositif.
• Un ancien appareil resté connecté avec une session active contourne la vérification, car le jeton n’a jamais expiré.

La solidité de la 2FA dépend du maillon le plus faible de la chaîne de récupération. Un compte dont la procédure de secours repose sur un SMS vers le même numéro vulnérable au SIM swapping revient à verrouiller la porte en laissant la fenêtre ouverte.

Comptes à privilèges et priorisation de la 2FA résistante au phishing

Tous les comptes ne présentent pas le même niveau de risque en cas de compromission. Un compte administrateur, un accès IAM ou un profil finance compromis a un impact disproportionné par rapport à un compte utilisateur standard.

Les recommandations récentes insistent sur une approche par priorisation :

• Les administrateurs systèmes et les équipes IAM devraient utiliser exclusivement une authentification résistante au phishing (clé matérielle FIDO2 ou approche PKI).
• Les opérateurs cloud et les profils finance, qui manipulent des données sensibles ou des transactions, nécessitent le même niveau de protection.
• Les équipes support, qui disposent souvent de droits de réinitialisation sur les comptes d’autres utilisateurs, représentent une cible à traiter en priorité.

Déployer une 2FA par SMS sur ces profils critiques revient à appliquer un verrou faible là où le risque est le plus élevé. À l’inverse, réserver les clés FIDO2 aux seuls administrateurs tout en laissant le support technique sans MFA crée un déséquilibre exploitable.

Adoption réelle et friction utilisateur

Le retour terrain met en lumière un problème qui ne relève pas de la technique. Des utilisateurs contournent ou refusent la MFA parce qu’elle ralentit leur flux de travail. Certains désactivent la 2FA dès que l’option existe. D’autres utilisent des appareils personnels non supervisés comme second facteur, ce qui réduit la visibilité de l’équipe sécurité sur l’environnement réel.

La friction perçue pousse aussi à choisir la méthode la plus simple (SMS) plutôt que la plus robuste (clé matérielle). Le résultat est un déploiement formel de la 2FA qui, dans la pratique, repose majoritairement sur le facteur le moins résistant.

L’authentification à double facteur reste un frein mesurable contre l’usurpation d’identité, à condition de distinguer la méthode déployée du simple fait de cocher la case « 2FA activée ». Une clé FIDO2 sur un compte administrateur et un SMS sur un compte standard ne protègent pas de la même manière, et les canaux de récupération déterminent souvent si la barrière tient ou cède.