L’authentification multifacteur est la mesure de sécurité qui offre le meilleur rapport entre l’effort demandé et le risque écarté. Elle arrête la grande majorité des connexions non autorisées, et les attaques qui contournent le deuxième facteur ne remettent pas cela en cause.
La présenter comme une barrière infranchissable serait toutefois inexact — et contre-productif. La personne qui se croit à l’abri de tout baisse la garde précisément là où il ne faudrait pas : presque toutes les techniques qui contournent cette protection passent par la personne, pas par la technologie.
Savoir lesquelles, c’est pouvoir les reconnaître. Cet article les décrit du point de vue de celles et ceux qui les subissent, pour s’en défendre ; il ne contient aucune consigne opératoire. C’est le complément, du côté des menaces, de la recommandation protéger ses comptes avec un deuxième facteur.
Attaques qui contournent le deuxième facteur : le point de départ
Avec une vérification supplémentaire active, le mot de passe seul ne suffit plus. Pour entrer, il faut donc obtenir aussi la deuxième étape, et trois chemins s’ouvrent alors :
- se faire remettre le code — en vous convainquant de le taper ou de le lire à voix haute ;
- se faire donner l’approbation — en profitant d’une distraction ou de la fatigue ;
- éviter complètement le deuxième facteur — en passant par une voie qui ne le demande pas.
Les deux premiers chemins supposent une interaction avec vous. Le troisième est le plus sournois, parce qu’il ne cherche même pas à franchir la protection : il la contourne.
1. L’approbation induite
En mots simples. Quelqu’un détient déjà votre mot de passe et envoie des demandes de confirmation jusqu’à ce que vous en approuviez une.
Comment cela se passe. Les notifications arrivent de façon répétée, souvent la nuit ou pendant des moments où le téléphone dérange. Une seule confirmation donnée par distraction, ou pour faire cesser les notifications, suffit.
Pourquoi cela fonctionne. Cette technique n’attaque pas la technologie : elle attaque la fatigue et l’habitude d’approuver d’un geste.
Signaux qui doivent alerter. Des demandes de validation que vous n’avez pas déclenchées, surtout si elles se répètent ou arrivent à des heures inhabituelles.
Comment s’en protéger. N’approuvez jamais une demande que vous n’avez pas déclenchée, quel qu’en soit le motif. Si les notifications ne s’arrêtent pas, la solution est de changer le mot de passe, pas de confirmer. Là où elle existe, utilisez la variante qui demande de saisir un nombre affiché à l’écran.
2. La fausse page qui demande aussi le code
En mots simples. Une copie du site réel vous demande d’abord le mot de passe, puis le code du deuxième facteur, et s’en sert immédiatement.
Comment cela se passe. La personne qui a construit la page reçoit ce que vous tapez et le saisit sur le vrai service pendant que le code est encore valable. De votre côté, la page « ne fonctionne pas » ou affiche une erreur.
Pourquoi cela concerne les codes. C’est la raison pour laquelle les méthodes reposant sur un code que l’on peut taper — SMS, application d’authentification, notifications simples — ne protègent pas de ce scénario : le code est une information transmissible.
Signaux qui doivent alerter. Vous avez ouvert la page depuis un lien reçu ; l’adresse ressemble à l’habituelle sans être identique ; le gestionnaire de mots de passe ne remplit pas les champs automatiquement ; la page demande le code à un moment où vous n’étiez pas en train de vous connecter.
Comment s’en protéger. Ne vous connectez jamais depuis un lien reçu : ouvrez l’application ou tapez l’adresse habituelle. Servez-vous d’un gestionnaire de mots de passe, qui compare l’adresse. Et là où c’est possible, utilisez des clés matérielles ou des clés d’accès (passkey) : elles vérifient le site et ne répondent tout simplement pas à une copie.
3. La session déjà ouverte, réutilisée
En mots simples. La deuxième étape n’est pas franchie : c’est une connexion déjà validée qui est exploitée.
Comment cela se passe. Après une connexion réussie, le service garde en mémoire l’appareil pour ne pas redemander la validation à chaque fois. Toute personne qui obtient ce « souvenir » — depuis un appareil piraté ou depuis une page frauduleuse — peut se présenter comme une session déjà authentifiée.
Pourquoi cela compte. Cela explique un fait qui déroute souvent : on peut constater une connexion réussie alors que le deuxième facteur est actif et correctement configuré.
Signaux qui doivent alerter. Des connexions qui ne demandent plus de validation ; des appareils de confiance que vous ne reconnaissez pas ; une activité venant d’un contexte inhabituel sans aucune demande de confirmation.
Comment s’en protéger. Vérifiez régulièrement les appareils de confiance et retirez ceux que vous ne reconnaissez pas. Après un soupçon, révoquez toutes les sessions actives — c’est la seule action qui referme ce scénario, et elle se fait une fois le mot de passe changé.
4. Le transfert frauduleux du numéro de téléphone
En mots simples. Votre numéro est transféré sur une carte SIM contrôlée par quelqu’un d’autre, et les codes envoyés par SMS lui parviennent.
Comment cela se passe. Tout part d’une demande faite à l’opérateur téléphonique, appuyée sur des informations personnelles rassemblées ailleurs. Vos appareils ne sont pas touchés.
Pourquoi cela ne concerne que le SMS. C’est la limite propre à cette méthode : elle dépend du numéro, pas d’un appareil que vous possédez.
Signaux qui doivent alerter. Le téléphone perd soudainement le service sans raison ; vous ne recevez plus ni appels ni messages ; des communications de l’opérateur signalent des modifications que vous n’avez pas demandées.
Comment s’en protéger. Passez à une application d’authentification ou à une clé là où c’est possible. Regardez si votre opérateur propose un blocage ou un code PIN contre le transfert du numéro. Et retirez le SMS des méthodes enregistrées sur les comptes essentiels, une fois qu’une meilleure méthode est en place.
5. La récupération de compte utilisée comme raccourci
En mots simples. La protection n’est pas attaquée de front : c’est la procédure de récupération qui est utilisée, parce qu’elle en demande parfois moins.
Comment cela se passe. Les procédures de récupération existent pour les personnes qui ont perdu leur accès, et elles sont par nécessité plus permissives. Si les éléments qu’elles réclament — adresse de messagerie secondaire, numéro, questions secrètes — sont accessibles ou faciles à retrouver, la protection principale se trouve contournée par ce chemin de traverse.
Pourquoi c’est la voie la plus sournoise. Elle ne laisse pas les signaux habituels : il n’y a pas de demande de validation, puisque le deuxième facteur n’est jamais sollicité.
Signaux qui doivent alerter. Des courriels annonçant un début de récupération que vous n’avez pas demandé ; des codes de récupération signalés comme utilisés ; des modifications des données de récupération.
Comment s’en protéger. C’est ici que l’on comprend pourquoi la messagerie principale doit être protégée en premier : c’est le canal par lequel passe la récupération de presque tout le reste. Vérifiez de temps en temps vos données de récupération, et remplacez les réponses aux questions secrètes par des réponses qui ne sont pas de véritables informations sur vous.
6. La demande directe du code
En mots simples. Quelqu’un vous appelle ou vous écrit en se faisant passer pour l’assistance et vous demande de lui lire le code qui vient d’arriver.
Comment cela se passe. L’appel survient quelques secondes après une tentative de connexion, de sorte que le code vient tout juste d’apparaître sur le téléphone. Le ton est coopératif : « nous vérifions une connexion suspecte, pouvez-vous nous confirmer le code pour la bloquer ? »
Pourquoi cela fonctionne. Parce que cela ressemble à la réaction à un problème réel — et, d’une certaine manière, c’en est une : la tentative de connexion a bien eu lieu, elle vient d’être faite par la personne qui appelle.
Signaux qui doivent alerter. Toute demande de lire un code ou d’approuver une validation. L’urgence. La demande de ne pas raccrocher ou de ne pas vérifier ailleurs.
Comment s’en protéger. Une règle qui vaut dans tous les cas : un service légitime ne vous demandera pas de lui communiquer un code de validation, quel que soit le motif invoqué. Mettez fin à l’échange et vérifiez par le canal officiel.
7. L’appareil piraté
En mots simples. Si l’appareil est contrôlé par quelqu’un d’autre, le deuxième facteur s’y trouve déjà.
Comment cela se passe. Un logiciel malveillant (malware) peut lire les codes et les notifications directement sur l’appareil censé vous protéger.
Pourquoi cela compte. C’est la limite structurelle : la vérification supplémentaire suppose que l’appareil soit digne de confiance.
Signaux qui doivent alerter. Des ralentissements inhabituels, une consommation d’énergie anormale, des applications ou des extensions que vous ne vous souvenez pas d’avoir installées.
Comment s’en protéger. Un système d’exploitation à jour (le plus simple est de garder ses logiciels à jour), des logiciels installés uniquement depuis des sources officielles, et le verrouillage de l’écran après inactivité activé. Pour les comptes les plus sensibles, une clé matérielle sépare le deuxième facteur de l’appareil.
Tableau récapitulatif
| Technique | De quoi elle dépend | Signaux qui doivent alerter | Défense la plus efficace |
|---|---|---|---|
| Approbation induite | De vous | Demandes répétées non déclenchées | Ne jamais approuver ; notification avec nombre à saisir |
| Fausse page qui demande le code | De vous | Lien reçu, le gestionnaire ne remplit pas | Clés matérielles ou clés d’accès |
| Session déjà ouverte réutilisée | De l’appareil | Connexions sans demande de validation | Révoquer les sessions et les appareils de confiance |
| Transfert du numéro | De l’opérateur | Perte soudaine du service | Application d’authentification à la place du SMS |
| Récupération comme raccourci | Des données de récupération | Courriels de récupération non demandés | Protéger la messagerie ; données de récupération vérifiées |
| Demande directe du code | De vous | Quelqu’un réclame un code | Aucun service ne le demande : ne jamais le communiquer |
| Appareil piraté | De l’appareil | Comportements anormaux | Mises à jour, sources officielles, clé matérielle |
Ce que le tableau révèle
Deux observations qui comptent davantage que chaque ligne prise séparément.
Quatre techniques sur sept passent par vous. Ni par la cryptographie, ni par une faiblesse de la méthode : par une confirmation, un code lu à voix haute, un lien suivi. C’est une bonne nouvelle, car cela signifie que la défense est à la portée de tout le monde et n’exige aucun choix technique compliqué.
Aucune de ces techniques n’est aussi courante que la connexion avec le seul mot de passe. Le deuxième facteur reste la mesure qui écarte l’essentiel du risque : les scénarios décrits ici sont ce qui subsiste après l’avoir activé, et non une raison de ne pas l’activer. Ce qui reste exposé sans lui est détaillé dans comptes protégés par un seul mot de passe.
Les trois règles qui couvrent presque tout le tableau :
- Ne jamais approuver une demande non déclenchée, et ne jamais communiquer un code à qui que ce soit.
- Se connecter toujours depuis l’application ou depuis l’adresse habituelle, jamais depuis les liens reçus.
- Protéger la messagerie principale en premier, puisque c’est la voie de récupération de tout le reste.
Checklist de protection
- ☐ Je n’approuve jamais de demandes de validation que je n’ai pas déclenchées
- ☐ Je sais qu’aucun service légitime ne demande un code de validation
- ☐ Je me connecte aux services depuis l’application ou depuis l’adresse habituelle
- ☐ J’utilise une application d’authentification ou une clé plutôt que le SMS, quand c’est possible
- ☐ J’ai vérifié les appareils de confiance au cours des derniers mois
- ☐ Les données de récupération de mes comptes sont à jour et vérifiées
- ☐ Ma messagerie principale a la protection la plus forte de tous mes comptes
- ☐ L’appareil sur lequel je reçois les codes est à jour et son écran se verrouille
Les indicateurs que ces techniques laissent derrière elles sont rassemblés dans demandes de validation suspectes, et le choix du moyen le plus résistant est traité dans quel deuxième facteur choisir.
Lien avec le Framework Cyber Welfare
| Pilier | Apport de ce contenu |
|---|---|
| Conscience du risque | Connaître les limites réelles d’une protection, sans la surestimer ni y renoncer |
| Compétences | Reconnaître quelle défense répond à quelle technique |
| Comportements sûrs | Ne jamais remettre un code et ne jamais approuver par habitude |
Niveau de référence : FL3 — Autonome, avec des éléments de FL4 — Avancé dans la partie sur les sessions et la récupération.
Conclusion
L’authentification multifacteur n’est pas infranchissable, et le dire ouvertement est utile : celles et ceux qui la considèrent comme définitive sont plus exposés précisément là où la protection dépend d’un de leurs gestes.
Le tableau d’ensemble reste pourtant net. Les techniques décrites ici réclament, presque toujours, une collaboration involontaire de votre part — une approbation, un code lu, un lien suivi. Elles sont bien moins fréquentes, et bien plus évitables, que la connexion avec un mot de passe qui circule dans une liste. La configuration qui réduit ces scénarios est détaillée dans comment activer l’authentification multifacteur, et l’auto-évaluation de la résilience numérique permet de situer votre niveau d’ensemble.
Question de réflexion. Si vous receviez maintenant un appel de quelqu’un se présentant comme l’assistance et vous demandant de confirmer un code qui vient d’arriver, que feriez-vous ?
Contenus liés
- Protéger ses comptes avec un deuxième facteur — la recommandation de référence
- Demandes de validation suspectes — les indicateurs que ces techniques laissent
- Quel deuxième facteur choisir — quelles méthodes résistent à l’hameçonnage
- Comment activer l’authentification multifacteur — la configuration qui réduit ces scénarios
Faites le premier pas : le Programme « Protégez votre Vie Privée Numérique » vous accompagne gratuitement, une recommandation à la fois.
