Un collaborateur se connecte à sa messagerie professionnelle depuis un café. Son mot de passe a fuité lors d’une brèche sur un autre service, où il utilisait le même. Sans barrière supplémentaire, un attaquant accède à l’ensemble de ses courriels en quelques secondes. Avec un second facteur de vérification, cette tentative échoue. C’est le principe de l’authentification à deux facteurs, et sa généralisation en entreprise n’est plus une option.
Ce que change la fatigue MFA pour la sécurité en entreprise
La plupart des articles sur la 2FA expliquent son fonctionnement et ses avantages. Peu abordent le revers concret que rencontrent les équipes IT au quotidien : la fatigue MFA.
Le scénario est simple. Un attaquant possède déjà l’identifiant et le mot de passe d’un salarié. Il déclenche des dizaines de notifications push sur le téléphone de la victime, souvent la nuit ou tôt le matin. Agacé ou à moitié endormi, l’utilisateur finit par approuver la demande pour faire cesser les alertes.
Ce type d’attaque ne relève pas de la théorie. Des groupes comme Lapsus$ l’ont exploité contre de grandes organisations. La parade ne consiste pas à abandonner la 2FA, mais à passer à des méthodes qui exigent une action consciente de l’utilisateur, comme la saisie d’un code affiché à l’écran avant validation, plutôt qu’un simple bouton « Approuver ».
Authentification à deux facteurs résistante au phishing : la nouvelle exigence
Vous recevez un SMS avec un code à six chiffres pour valider une connexion. Cette méthode a longtemps été considérée comme suffisante. Elle ne l’est plus pour les systèmes sensibles.
Les attaques dites adversary-in-the-middle (AiTM) interceptent le code en temps réel entre l’utilisateur et le vrai site, via une page de phishing intermédiaire. Le code OTP par SMS ou par application TOTP reste vulnérable à ce scénario, car il peut être rejoué immédiatement par l’attaquant.
Ce que recommande le NIST en 2025
La version 2025 de la publication SP 800-63-4 du NIST introduit la notion de MFA résistant au phishing comme exigence pour les niveaux d’assurance élevés. Au niveau AAL2, une option résistante au phishing doit être proposée. Au niveau AAL3, elle devient obligatoire.
Les méthodes qui répondent à cette exigence partagent un point commun : le facteur d’authentification est lié cryptographiquement au site légitime. Concrètement, cela désigne :
- Les clés de sécurité physiques conformes au standard FIDO2/WebAuthn, qui vérifient automatiquement le domaine du site avant de répondre
- Les passkeys, stockées sur le téléphone ou l’ordinateur de l’utilisateur, qui fonctionnent sur le même principe cryptographique sans nécessiter de matériel supplémentaire
- Les cartes à puce PKI, utilisées de longue date dans certains secteurs (défense, administration), qui reposent sur un certificat embarqué
Un code à six chiffres ne protège plus contre un attaquant qui contrôle la page de connexion. La distinction entre « avoir du MFA » et « avoir du MFA résistant au phishing » devient le vrai critère de maturité en cybersécurité d’entreprise.
Déployer la 2FA sans bloquer les équipes au quotidien
La résistance au déploiement de l’authentification à deux facteurs vient rarement d’un refus de principe. Elle vient de la friction. Un salarié qui doit chercher son téléphone, ouvrir une application, taper un code, puis recommencer parce que le délai a expiré, finit par contourner le système.
Adapter la méthode au contexte d’utilisation
Tous les postes n’ont pas le même niveau de risque. Un compte administrateur sur l’infrastructure cloud de l’entreprise justifie une clé physique FIDO2. Un accès en lecture seule à un outil de gestion de projet peut se contenter d’une passkey enregistrée sur le poste de travail.
Le déploiement progressif par niveau de privilège réduit la friction globale. Les comptes à haut privilège migrent en premier vers des méthodes résistantes au phishing. Les comptes standard suivent, avec des méthodes moins contraignantes mais toujours supérieures au simple mot de passe.
Ce qui fait échouer un déploiement
Trois erreurs reviennent fréquemment dans les retours d’expérience des équipes IT :
- Activer la 2FA sans prévoir de procédure de récupération, ce qui bloque les utilisateurs ayant perdu leur téléphone ou leur clé
- Imposer une méthode unique sans alternative, alors que certains collaborateurs n’ont pas de smartphone professionnel
- Ne pas former les utilisateurs à reconnaître les fausses notifications push, ce qui laisse la porte ouverte aux attaques par fatigue MFA
Un déploiement réussi repose sur une communication claire en amont, un support technique réactif pendant la phase de transition, et au moins deux méthodes de secours enregistrées par utilisateur.
2FA, MFA, passkeys : comprendre les termes pour choisir la bonne protection
Le vocabulaire autour de l’authentification peut créer de la confusion, y compris chez les décideurs. Pourquoi certains fournisseurs parlent de 2FA et d’autres de MFA ?
La 2FA désigne exactement deux facteurs de vérification : ce que vous savez (mot de passe) et ce que vous possédez (téléphone, clé) ou ce que vous êtes (empreinte). La MFA (authentification multifacteur) englobe la 2FA mais peut inclure trois facteurs ou plus.
Les passkeys représentent une évolution concrète. Elles remplacent le mot de passe lui-même. L’utilisateur déverrouille sa passkey avec son empreinte digitale ou le code PIN de son appareil. Il n’y a plus de mot de passe à voler, plus de code à intercepter. La vérification se fait entre l’appareil et le serveur, sans qu’aucun secret ne transite par le réseau.
Pour une entreprise qui structure sa politique de sécurité, la passkey combine simplicité d’usage et résistance au phishing. C’est la direction que prennent les recommandations du NIST et les implémentations des principaux fournisseurs de services cloud.
La question pour les entreprises n’est plus de savoir si elles doivent activer un second facteur d’authentification. Elle porte sur la qualité de ce facteur. Un déploiement qui s’arrête au SMS ou au push classique protège contre les attaques les plus basiques, mais reste perméable aux techniques actuelles de phishing ciblé. Les passkeys et les clés FIDO2 ferment cette brèche, sans compliquer la vie des utilisateurs.
