Qu'est-ce que l'authentification multifacteur (MFA) ?

L'authentification multifacteur (MFA, de l'anglais Multi-Factor Authentication) est une méthode d'authentification qui exige qu'un utilisateur présente deux formes de preuve indépendantes ou plus avant d'accéder à un compte, une application ou un système. Plutôt que de s'appuyer sur un mot de passe seul, le MFA combine des facteurs de catégories différentes, de sorte que voler l'un d'eux, un mot de passe, ne suffit pas à donner les clés à un attaquant. C'est un élément fondamental de la gestion des identités et des accès (IAM) et l'un des contrôles les plus efficaces contre la prise de contrôle de compte. La logique est simple : un mot de passe peut être deviné, hameçonné ou réutilisé, mais un attaquant est bien moins susceptible de détenir également le téléphone ou l'empreinte digitale de l'utilisateur. Microsoft a rapporté que le MFA bloque la grande majorité des tentatives automatisées de compromission de compte. Cela dit, le MFA n'est pas une ligne d'arrivée. Les attaquants se sont adaptés, et l'écart entre un MFA faible et un MFA robuste compte aujourd'hui autant que le fait d'avoir activé le MFA ou non. Cette page couvre ce qu'est le MFA, les types de facteurs, les méthodes courantes, comment les attaquants contournent les formes les plus faibles, et pourquoi le MFA résistant au phishing est devenu le standard à viser.

Ce qu'il faut retenir

Le MFA exige deux facteurs indépendants ou plus. Combiner des catégories comme un mot de passe et un téléphone signifie qu'un seul identifiant volé ne suffit pas.
Les facteurs se répartissent en trois types : quelque chose que vous savez, quelque chose que vous possédez, et quelque chose que vous êtes.
La 2FA est un sous-ensemble du MFA. L'authentification à deux facteurs (2FA) utilise exactement deux facteurs ; le MFA est le terme générique pour deux facteurs ou plus.
Tous les MFA ne se valent pas. Les méthodes par SMS et notification push peuvent être contournées via le SIM swapping, la fatigue MFA et le phishing par adversaire au milieu.
Le MFA résistant au phishing est l'objectif. FIDO2, WebAuthn et les clés d'accès (passkeys) lient l'authentification au site réel, neutralisant les attaques par phishing et proxy qui mettent en échec les méthodes plus faibles.‍
Note de traduction : En français, l'acronyme officiel serait « AMF », mais ce sigle étant associé à l'Autorité des marchés financiers, la communauté cybersécurité utilise couramment « MFA » pour éviter toute confusion. Cette page conserve donc « MFA » tout au long du texte.

Comment fonctionne le MFA : les trois types de facteurs

Le MFA repose sur l'idée de combiner des facteurs de catégories différentes, car des facteurs de même nature partagent les mêmes faiblesses. La plupart des méthodes s'appuient sur l'un des trois types suivants.

Type de facteur	Ce que c'est	Exemples
Quelque chose que vous savez	Une connaissance que seul l'utilisateur est censé détenir.	Mot de passe, code PIN, question de sécurité.
Quelque chose que vous possédez	Un objet physique en possession de l'utilisateur.	Smartphone avec une application d'authentification, clé de sécurité matérielle, carte à puce, token OTP.
Quelque chose que vous êtes	Une caractéristique biométrique ou comportementale de l'utilisateur.	Empreinte digitale, reconnaissance faciale ou de l'iris, reconnaissance vocale.

Un vrai second facteur doit provenir d'une catégorie différente. Un mot de passe associé à une question de sécurité n'est pas un vrai MFA, car les deux sont des choses que vous savez et les deux peuvent être hameçonnés ou devinés. Les approches plus récentes ajoutent le contexte comme signal supplémentaire : les vérifications basées sur la localisation examinent l'origine d'une demande, et l'authentification adaptative ou basée sur le risque pèse des signaux comme l'appareil, l'heure et le réseau pour décider de demander un facteur supplémentaire ou de bloquer la tentative.

Les méthodes MFA courantes

En pratique, les organisations et les services utilisent plusieurs méthodes MFA qui diffèrent sensiblement en termes de commodité et de robustesse :

Codes à usage unique par SMS ou email (OTP), de courts codes envoyés sur un téléphone ou une boîte mail. Faciles à utiliser et mieux que rien, mais la méthode courante la plus faible.
Codes d'application d'authentification (TOTP), des codes basés sur le temps générés par une application, valides environ 30 secondes. Plus robustes que les SMS car il n'y a pas de message à intercepter.
Notifications push, une invite envoyée à un appareil de confiance que l'utilisateur approuve. Pratiques, mais exposées aux attaques par fatigue décrites ci-dessous.
Tokens matériels et logiciels, des appareils ou applications qui génèrent un code ou répondent à un défi.
Biométrie, une empreinte digitale, un visage ou une voix, souvent utilisée pour libérer un identifiant sous-jacent plus robuste.
Clés de sécurité et passkeys, des clés matérielles et des identifiants liés à un appareil construits sur FIDO2 et WebAuthn, l'option la plus robuste largement disponible.

MFA vs 2FA

Le MFA et l'authentification à deux facteurs (2FA) sont souvent utilisés de façon interchangeable, et la différence est minime mais mérite d'être précisée. La 2FA exige exactement deux facteurs, par exemple un mot de passe associé à un code d'application. Le MFA est le terme générique pour tout schéma utilisant deux facteurs ou plus. Donc toute 2FA est du MFA, mais le MFA peut aussi impliquer trois facteurs ou davantage. Dans l'usage courant, lorsqu'un service demande un mot de passe et un facteur supplémentaire, c'est de la 2FA, qui est une forme de MFA.

Comment les attaquants contournent un MFA faible

Le MFA relève la barre, mais les attaquants ont appris à franchir ses versions les plus basses. C'est ce que beaucoup d'organisations manquent : activer le MFA n'est pas la même chose qu'être protégé, car la méthode compte. Les recherches ont régulièrement montré que la plupart des organisations compromises avaient déjà une forme de MFA en place. Les techniques de contournement courantes :

Fatigue MFA (push bombing). L'attaquant, qui détient déjà le mot de passe, déclenche un flot de notifications push jusqu'à ce que l'utilisateur en approuve une par agacement ou par erreur.
Phishing par adversaire au milieu (AiTM). Un kit de phishing en proxy inversé s'intercale entre l'utilisateur et le vrai site, relayant la connexion et l'étape MFA en temps réel, puis vole le jeton de session résultant. Des outils comme Evilginx et Tycoon ont rendu cette technique courante, et elle est désormais à l'origine d'une large part des compromissions de messagerie professionnelle (BEC).
SIM swapping. L'attaquant prend le contrôle du numéro de téléphone de l'utilisateur pour recevoir les codes SMS, ce qui explique pourquoi le SMS est le facteur le plus faible.
Détournement de session et phishing de consentement OAuth. Le vol d'un cookie de session actif, ou le fait de tromper un utilisateur pour qu'il accorde des permissions à une application malveillante, contourne entièrement la connexion.

Ce que ces techniques partagent, c'est que l'approbation de l'utilisateur n'est pas liée à la vraie destination. Un code ou une notification push peut être relayé, rejoué ou soutenu d'une personne. C'est exactement cette faiblesse que la prochaine génération de MFA est conçue à supprimer.

Le MFA résistant au phishing

Le MFA résistant au phishing est toute méthode qui ne peut pas être capturée et rejouée par un site de phishing ou relayée par un attaquant au milieu, car l'authentification est liée cryptographiquement au site légitime. Les deux formes reconnues par la CISA et le NIST sont FIDO2 et WebAuthn (la base des clés de sécurité et des passkeys) et les authentificateurs basés sur PKI (infrastructure à clé publique) comme les cartes à puce PIV ou CAC. Dans ces schémas, une clé privée ne quitte jamais l'appareil de l'utilisateur et le défi d'authentification est lié à une origine web spécifique, de sorte que si un utilisateur atterrit sur un domaine de phishing ressemblant, l'authentificateur ne produira simplement pas de réponse valide.

C'est pourquoi les clés de sécurité et les passkeys sont désormais considérés comme le standard à viser, et pourquoi les régulateurs et les agences poussent de plus en plus les organisations vers eux pour les systèmes sensibles. Le compromis est pratique : l'approvisionnement en matériel, la compatibilité des appareils et navigateurs, et la planification de la récupération de compte demandent du travail, de sorte que beaucoup d'organisations déploient le MFA résistant au phishing en priorité pour les utilisateurs à haut risque. Même ainsi, aucune méthode d'authentification n'élimine entièrement le risque d'ingénierie sociale, ce qui explique pourquoi la détection reste importante aux côtés de la prévention.

Bonnes pratiques MFA

Tirer de la valeur du MFA dépend de la façon dont il est déployé, pas seulement du fait qu'il soit activé :

Privilégier les méthodes résistantes au phishing. Progresser vers les clés de sécurité FIDO2 et les passkeys, en particulier pour les administrateurs et les comptes à haute valeur, et traiter le SMS comme dernier recours.
Appliquer le MFA partout où cela compte. L'appliquer de façon cohérente sur les applications, l'accès à distance et les comptes à privilèges, car un point d'entrée non protégé compromet l'ensemble.
Utiliser la correspondance de numéros et les limites sur les notifications push. Là où le push est encore utilisé, la correspondance de numéros et les limites de notifications atténuent les attaques par fatigue.
Prévoir la perte d'un facteur. Avoir des procédures de récupération sécurisées en cas de perte d'un téléphone ou d'une clé, car une récupération faible est elle-même une voie de contournement.
Associer le MFA à la surveillance. Parce qu'un MFA robuste peut encore être usé par l'ingénierie sociale, surveiller l'activité d'authentification pour détecter les signes d'un contournement en cours.

Avis d'expert : le MFA prévient, la détection intercepte le contournement

Le MFA est un contrôle préventif, et un très bon. Il ferme la voie la plus simple et la plus courante vers un compte, à savoir un mot de passe volé ou deviné. Mais les attaques qui comptent le plus désormais sont celles construites spécifiquement pour le contourner, et lorsqu'elles réussissent, la connexion elle-même semble légitime. Un attaquant qui relaie un jeton de session via un kit adversaire au milieu, ou qui remporte finalement une bataille de fatigue push à 2h du matin, arrive à l'intérieur du compte en tant qu'utilisateur authentifié et satisfaisant le MFA. Le fournisseur d'identité ne voit rien d'anormal.

C'est le manque que la détection comble, et là où Sekoia intervient. Sekoia est un éditeur européen de cybersécurité, et sa plateforme AI SOC unifiée ingère les signaux d'authentification et d'identité, logs de connexion, événements MFA, enregistrements de nouveaux appareils, activité de session, et les corrèle avec la télémétrie endpoint, réseau et cloud pour détecter les empreintes d'un contournement MFA après coup. Une connexion depuis une localisation inattendue quelques instants après un pic de notifications push refusées, un jeton de session utilisé depuis un nouvel appareil et un nouveau réseau, une augmentation anormale des accès à privilèges : tout cela est visible lorsque les données d'identité sont analysées en contexte, et ces éléments sont mappés sur le framework MITRE ATT&CK de sorte qu'un analyste peut relier l'anomalie d'authentification à l'intrusion plus large.

Pour être clair sur le périmètre, Sekoia ne fournit pas de MFA et n'est pas un fournisseur d'identité ; déployer et appliquer le MFA est le rôle d'une plateforme IAM ou d'identité. Ce qu'une plateforme de détection et réponse aux menaces ajoute, c'est la couche au-dessus de la connexion : repérer quand une notification MFA approuvée était en réalité un attaquant, de sorte qu'un contrôle contourné devient une intrusion détectée plutôt qu'une compromission silencieuse. En tant qu'éditeur européen avec une posture de souveraineté des données, Sekoia convient également aux organisations qui ont besoin que leurs données d'identité et de sécurité soient traitées sous une gouvernance européenne.