La double authentification vous protège, mais pas autant que vous le croyez

On vous l’a répété partout : activez la double authentification, ce fameux code reçu par SMS ou par e-mail en plus de votre mot de passe. Et c’est un bon réflexe. Vraiment. Mais soyons transparents, comme toujours ici : le MFA n’est pas une solution miracle. Les attaquants ont appris à le contourner, et leurs techniques sont aujourd’hui industrialisées.

Cet article n’est pas là pour vous faire peur, ni pour vous dire que ce que vous avez mis en place ne sert à rien. Il est là pour faire la part entre ce qui protège vraiment et ce qui protège à moitié, afin que vous placiez vos efforts au bon endroit.

D’abord, rendons au MFA ce qui lui appartient

Exiger un second facteur élimine d’un coup la très grande majorité des attaques opportunistes : le bourrage d’identifiants avec des mots de passe issus de fuites, les mots de passe réutilisés d’un service à l’autre, les tentatives automatisées à grande échelle. Face à un attaquant qui ratisse large, un simple code à six chiffres suffit à vous faire sortir du lot des cibles faciles.

Si vous n’avez pas encore activé le MFA sur vos accès importants, arrêtez de lire et allez le faire. Le reste de cet article ne concerne que ceux qui l’ont déjà.

Cinq façons de le contourner, toutes bien rodées

• L’hameçonnage en temps réel. Un faux site se place entre vous et le vrai. Vous saisissez votre mot de passe, il le rejoue immédiatement sur le site légitime ; celui-ci vous envoie un code, vous le saisissez, le faux site le relaie à son tour. Vous êtes connecté, l’attaquant aussi. Des outils tout prêts font cela depuis des années.
• Le détournement de numéro. Votre ligne mobile est transférée vers une carte SIM contrôlée par l’attaquant, souvent en manipulant le service client de l’opérateur. Tous vos codes par SMS partent alors chez lui. Vous ne vous en apercevez qu’en perdant le réseau.
• L’épuisement par notifications. Vous recevez des demandes de validation en boucle, parfois la nuit. Au bout de la vingtième, quelqu’un finit par appuyer sur « Autoriser » pour que ça cesse. Ce n’est pas de la négligence, c’est une réaction humaine parfaitement prévisible, et elle est exploitée comme telle.
• Le vol de session. Une fois l’authentification réussie, votre navigateur conserve un jeton qui prouve que vous êtes connecté. Si ce jeton est copié, il est rejoué ailleurs sans jamais repasser par le moindre code. Le MFA a bien fonctionné, il a simplement été contourné après coup.
• L’ingénierie sociale. Un appel convaincant au support interne, un ton pressé, un prétexte crédible, et les accès sont réinitialisés pour la « bonne » personne. Aucune technologie n’est prise en défaut ici : c’est la procédure de secours qui est attaquée.

Nous ne détaillons pas la mise en œuvre de ces techniques, ce n’est pas le sujet. Le sujet, c’est d’en comprendre le point commun.

Tout ce qui peut être tapé, reçu ou validé par un humain peut être intercepté ou manipulé.

Un code se recopie. Un SMS se détourne. Une notification s’approuve par lassitude. Tant que le second facteur passe par vous, il peut passer par quelqu’un d’autre.

Alors on fait quoi ? On passe aux passkeys

Une passkey n’est pas un code, c’est une clé cryptographique liée à votre appareil et au site légitime. Vous ne la connaissez pas, vous ne pouvez pas la lire, et surtout vous ne pouvez pas la donner à quelqu’un par erreur. À chaque connexion, votre appareil signe une preuve, et cette signature inclut l’adresse du site.

C’est cette dernière propriété qui change tout :

• Rien à taper, donc rien à voler par hameçonnage.
• La clé ne fonctionne que sur le vrai site. Un faux domaine obtient une signature inutilisable sur le domaine légitime. L’hameçonnage en temps réel, la technique la plus rentable du moment, cesse mécaniquement de fonctionner.
• Pas de code par SMS, donc plus rien à gagner à détourner votre numéro.
• Pas de notification à approuver, donc pas de lassitude à exploiter.
• Aucun secret partagé avec le site : il ne conserve qu’une clé publique. S’il se fait pirater, il n’y a pas de mot de passe à voler chez lui.

Ce n’est pas une technologie propriétaire ni un pari sur l’avenir. C’est le standard ouvert FIDO2, déjà déployé par les grands acteurs du numérique, et l’ANSSI recommande de privilégier ce type de mécanisme résistant à l’hameçonnage pour les accès qui comptent.

Soyons complets : ce que les passkeys ne règlent pas

Nous vous devons la même honnêteté sur les passkeys que sur le MFA, sinon cet article ne vaudrait rien.

• La procédure de secours reste le maillon faible. Si un compte peut être récupéré par un appel au support ou par un e-mail de réinitialisation, l’attaquant passera par là. Migrer vers les passkeys sans durcir la récupération de compte, c’est renforcer la porte en laissant la fenêtre ouverte.
• Une passkey stockée sur un appareil vaut ce que vaut cet appareil. Les passkeys synchronisées par votre téléphone ou votre navigateur sont très pratiques, et elles vivent dans un système d’exploitation qui peut être compromis.
• La qualité de la mise en œuvre compte. Nous en avons vu une illustration récente lors d’une conférence de sécurité, où une politique censée n’accepter que du matériel certifié se laissait contourner par une simple modification de la requête d’enregistrement. Le standard est solide, encore faut-il le configurer correctement.

Aucun de ces points n’est une raison de renoncer aux passkeys. Ce sont des points à traiter en même temps.

Et quand le mot de passe ne peut pas disparaître

Voilà la réalité du terrain : tous vos outils ne proposent pas encore les passkeys. Un VPN, un annuaire d’entreprise, une application métier ancienne, un poste de travail partagé continuent souvent de réclamer un mot de passe. Et là, le problème n’est plus l’hameçonnage, c’est le mot de passe lui-même : trop court, réutilisé, noté quelque part, tapé devant témoin.

C’est le créneau des clés physiques biométriques, dont KeoPass, une solution française éditée par la société Kersonic, en Bretagne. Le principe annoncé par le constructeur : la clé fabrique et détient des mots de passe robustes, et ne les libère qu’après lecture de votre empreinte digitale, analysée par la clé elle-même. Elle se connecte en USB ou en Bluetooth à un ordinateur, un téléphone ou une tablette, sans pilote ni logiciel à installer et sans modification du système d’information, ce qui la rend utilisable sur des environnements où l’on ne peut rien déployer. Les usages visés vont du poste de travail à l’annuaire, au VPN et au SSO.

Ce que cela vous apporte concrètement : plus de mot de passe à mémoriser, plus de mot de passe à recopier, plus de mot de passe partagé entre deux services, et un accès qui dépend de votre doigt. Une clé volée dans un sac ne sert à rien sans son propriétaire.

Et pour rester dans le ton de cet article, précisons ce qu’elle ne fait pas : une clé de ce type résout le problème du mot de passe, pas celui du site frauduleux. Sur un service qui ne connaît que les mots de passe, aucun matériel ne peut deviner que le domaine est faux. C’est la passkey qui apporte cette garantie-là, quand le service la propose. Les deux réponses ne s’opposent pas, elles couvrent deux moitiés du problème.

Transparence. Nous distribuons et supportons KeoPass chez Humanix Cybersecurity. Nous préférons l’écrire noir sur blanc : un article qui recommande un produit sans dire qu’il le vend ne vaut pas grand-chose.

Par où commencer, concrètement

• Faites l’inventaire de vos accès critiques : messagerie professionnelle, banque, outils d’administration, hébergeur, comptes qui permettent d’en réinitialiser d’autres. C’est par là qu’on entre chez vous.
• Quittez le SMS quand c’est possible. Une application d’authentification vaut mieux qu’un code par SMS. Une passkey vaut mieux que les deux.
• Activez les passkeys là où elles existent déjà. La plupart des grands services les proposent aujourd’hui, souvent en deux clics dans les paramètres de sécurité.
• Traitez la récupération de compte avec autant de sérieux que la connexion elle-même, et donnez à vos équipes de support une procédure de vérification qu’un appel pressant ne fait pas céder.
• Réservez le matériel aux accès qui le méritent : comptes d’administration, direction, postes exposés, environnements où l’on ne peut rien installer.

C’est ça, la cybersécurité telle que nous la concevons : pas de peur, pas de jargon, pas de fausses promesses. Juste une explication honnête de ce qui protège vraiment, et de ce qui protège à moitié. Le MFA par SMS reste mieux que rien. Mais si vos accès protègent votre entreprise, vos clients ou vos données sensibles, il est temps de passer au niveau supérieur.

Envie d’essayer ? Nous faisons tester les passkeys et la clé biométrique KeoPass à vos équipes, sur vos propres outils, pour que vous jugiez sur pièce plutôt que sur une plaquette. C’est notre façon de travailler : la preuve avant le verdict. Parlons-en, simplement et sans engagement. La cyber est humaine, autant qu’elle soit aussi efficace.