Vous avez activé le MFA. Vous pensez être protégé ? Voici pourquoi ce n'est plus suffisant.

1Le MFA : une protection indispensable, mais souvent mal comprise

Qu'est-ce que l'authentification multifacteur ?

L'authentification multifacteur, ou MFA (Multi-Factor Authentication), consiste à vérifier l'identité d'un utilisateur au moyen de plusieurs facteurs d'authentification distincts. Ces facteurs appartiennent généralement à trois catégories :

Ce que vous connaissez : un mot de passe ou un code PIN.

Ce que vous possédez : un téléphone, une clé de sécurité ou un dispositif cryptographique.

Ce que vous êtes : une caractéristique biométrique, comme une empreinte digitale ou la reconnaissance faciale.

L'objectif est simple : empêcher qu'un mot de passe volé suffise à lui seul pour accéder à un compte. Prenons un exemple. Un collaborateur utilise Microsoft 365 et son mot de passe a été récupéré lors d'une fuite de données sur un autre service. Si son compte est uniquement protégé par mot de passe, l'attaquant peut essayer de se connecter avec cet identifiant. Si le MFA est correctement activé et appliqué, l'attaquant doit franchir une étape supplémentaire.

Il ne dispose pas nécessairement du second facteur. L'accès peut donc être bloqué.

Toutes les méthodes MFA se valent-elles ?

Non. Les méthodes les plus répandues comprennent notamment :

• Les codes reçus par SMS.
• Les codes temporaires générés par une application d'authentification.
• Les notifications d'approbation sur smartphone.
• Les passkeys FIDO2.
• Les clés de sécurité matérielles.
• Windows Hello for Business.
• Certaines méthodes d'authentification par certificat.

Elles n'offrent pas toutes la même résistance au phishing, à l'ingénierie sociale ou au détournement de session. La distinction essentielle n'est donc plus seulement de savoir si le MFA est activé.

Il faut également savoir quelle méthode est utilisée, sur quels comptes elle est imposée et dans quelles conditions elle peut être contournée.

2Comment des cybercriminels peuvent-ils contourner le MFA ?

Il existe plusieurs familles d'attaques. Certaines cherchent à tromper l'utilisateur. D'autres ciblent les mécanismes d'authentification ou les sessions déjà établies. Il est important de les distinguer, car les mesures de protection ne sont pas identiques.

Le phishing classique : récupérer le mot de passe et le code

Un collaborateur reçoit un e-mail indiquant qu'un document important est disponible. Il clique sur un lien et arrive sur une page qui ressemble à l'écran de connexion Microsoft. Il saisit son mot de passe. La fausse page lui demande ensuite un code de vérification. L'utilisateur saisit le code temporaire affiché dans son application d'authentification. Si l'attaquant peut utiliser ces informations suffisamment rapidement, il peut parfois compléter une authentification frauduleuse.

Les codes temporaires améliorent donc la sécurité par rapport au mot de passe seul, mais ils peuvent être exposés à certaines attaques de phishing en temps réel.

Le phishing AiTM : intercepter une authentification légitime

Une technique plus sophistiquée est appelée Adversary-in-the-Middle, ou AiTM. Dans ce scénario, un site contrôlé par l'attaquant sert d'intermédiaire entre le navigateur de la victime et le véritable service d'authentification. L'utilisateur peut voir une interface de connexion ressemblant au service attendu. Il fournit ses identifiants. Il valide ensuite son MFA. Le service légitime peut accepter cette authentification.

Mais l'attaquant peut chercher à récupérer des informations de session à travers l'intermédiaire malveillant. Dans certaines conditions, ces informations permettent de réutiliser la session sans devoir refaire immédiatement l'ensemble du processus d'authentification. C'est une différence fondamentale avec une simple tentative de vol de mot de passe.

L'utilisateur a réellement validé une authentification, mais il l'a effectuée à travers un chemin contrôlé par l'attaquant.

Cette technique ne permet pas de contourner indistinctement toutes les méthodes MFA. Les méthodes résistantes au phishing, notamment FIDO2, sont justement conçues pour empêcher cette catégorie d'attaque sur le processus d'authentification.

Le vol de session : attaquer après l'authentification

Une autre famille d'attaques consiste à chercher des informations associées à une session déjà authentifiée. Pour éviter de demander un mot de passe à chaque action, les applications utilisent différents mécanismes de session et des jetons d'authentification. Ces informations permettent à un service de reconnaître un utilisateur qui s'est déjà authentifié.

Si un attaquant parvient à voler certains jetons ou cookies de session exploitables, il peut parfois les réutiliser pour obtenir un accès non autorisé. Dans ce cas, l'attaque ne consiste plus nécessairement à franchir le MFA. Elle consiste à exploiter une session qui a déjà franchi les contrôles requis. Le risque dépend notamment du type de jeton, de sa durée de vie, de ses restrictions, des capacités de révocation et des protections liées à l'appareil.

3Scénario : un collaborateur valide son MFA et son compte est quand même compromis

4La fatigue MFA : quand les notifications deviennent une faiblesse

Une autre technique exploite directement le comportement humain. Elle est souvent appelée MFA fatigue ou MFA bombing.

Le principe

Un attaquant possède déjà le mot de passe d'un utilisateur. Il tente de se connecter à répétition. Chaque tentative peut provoquer une nouvelle demande de validation MFA sur le téléphone de la victime, lorsque le mécanisme utilisé autorise ce type de sollicitation. Au début, l'utilisateur refuse. Puis les notifications se multiplient. Une demande apparaît pendant une réunion. Une autre pendant un déplacement. Puis encore une autre.

La victime peut finir par approuver une sollicitation sans en vérifier l'origine. L'attaquant peut aussi combiner ces notifications avec un appel téléphonique frauduleux prétendant provenir du support informatique.

Pourquoi cette attaque fonctionne parfois

Elle exploite plusieurs mécanismes : La lassitude provoquée par des notifications répétées. La confusion sur l'origine d'une demande. La pression temporelle. L'usurpation d'identité d'un interlocuteur supposé fiable. Et parfois un manque de formation sur la conduite à tenir.

Le number matching est-il une solution ?

Microsoft Authenticator peut demander à l'utilisateur de saisir ou sélectionner un numéro affiché pendant la connexion. Cette méthode, appelée number matching, rend plus difficile l'approbation accidentelle d'une demande qui ne correspond pas à une tentative de connexion connue. Elle constitue une amélioration importante par rapport à une simple notification demandant d'accepter ou de refuser.

Mais elle ne garantit pas une protection complète contre une attaque sophistiquée qui contrôle ou influence le processus d'authentification.

Le bon comportement face à une notification inconnue

Un collaborateur qui reçoit une demande MFA alors qu'il n'essaie pas de se connecter ne devrait jamais l'approuver. Il doit la refuser ou la signaler, puis contacter son responsable informatique par un canal connu. Une demande inattendue peut signifier qu'un tiers tente d'utiliser ses identifiants.

Une notification MFA non sollicitée n'est pas une formalité à valider. C'est un signal potentiel de sécurité.

5Vol de cookies et de jetons : pourquoi la session est devenue une cible

Pour comprendre les attaques modernes, il faut distinguer trois éléments souvent confondus : Le mot de passe. Le mécanisme MFA. La session authentifiée. Une fois connecté, un utilisateur ne doit pas nécessairement refaire son authentification complète à chaque clic. Des jetons et autres mécanismes de session permettent au service de maintenir son accès. C'est indispensable à une expérience utilisateur raisonnable. Mais ces mécanismes deviennent intéressants pour les attaquants.

Comment des informations de session peuvent-elles être volées ?

Plusieurs scénarios existent.

Phishing AiTM : certains éléments peuvent être interceptés pendant une authentification réalisée à travers une infrastructure malveillante.

Logiciels voleurs d'informations : un malware présent sur un appareil peut tenter de récupérer des informations stockées ou manipulées par le navigateur et les applications.

Appareil compromis : un environnement déjà contrôlé par un attaquant peut exposer différents secrets ou données de session.

Vulnérabilités applicatives : certaines failles peuvent permettre l'exposition d'informations de session, selon les systèmes concernés.

Pourquoi le MFA ne bloque-t-il pas toujours leur exploitation ?

Parce que certaines informations volées représentent déjà une preuve d'authentification acceptée par le service. Le système peut alors traiter la requête comme provenant d'une session existante. Des protections complémentaires peuvent limiter cette possibilité : liaison des jetons aux appareils pris en charge, accès conditionnel, vérification de conformité, détection des anomalies et contrôles de session.

Ces mécanismes varient selon les produits, les plateformes, les licences et les applications.

Changer le mot de passe suffit-il ?

Pas nécessairement. Lorsqu'une session a été compromise, il faut également envisager la révocation des sessions et des jetons concernés, ainsi que l'examen des appareils et des éventuels mécanismes de persistance. Une réponse complète doit chercher à supprimer l'accès malveillant, pas simplement à modifier une information d'authentification.

6Les passkeys FIDO2 : pourquoi elles changent fondamentalement la protection contre le phishing

Les passkeys reposent sur une approche différente de l'authentification traditionnelle. Au lieu de transmettre un secret réutilisable comme un mot de passe, elles utilisent la cryptographie à clé publique. Schématiquement, lors de l'enregistrement d'une passkey : Une clé privée est conservée dans un authentificateur ou un environnement sécurisé. Une clé publique correspondante est enregistrée auprès du service.

Lors de l'authentification, l'utilisateur effectue une vérification locale, par exemple avec un code PIN ou une biométrie. L'authentificateur produit alors une preuve cryptographique que le service peut vérifier. La clé privée n'est pas transmise au site.

Pourquoi cela protège-t-il contre le phishing ?

Les mécanismes FIDO2 et WebAuthn associent l'authentification à l'identité du service légitime, notamment à son origine web. Une fausse page imitant Microsoft ne peut donc pas simplement récupérer une preuve d'authentification destinée au véritable domaine et la réutiliser comme un code temporaire. Ce fonctionnement rend les passkeys correctement déployées résistantes aux attaques classiques de phishing visant le processus d'authentification, y compris certaines attaques AiTM.

Passkey et clé de sécurité : est-ce la même chose ?

Une passkey peut être hébergée par différents types d'authentificateurs compatibles. Une clé matérielle FIDO2 est un dispositif physique dédié. Une passkey peut aussi être enregistrée dans un environnement compatible sur un appareil, selon les solutions et les politiques de l'organisation. Windows Hello for Business propose également une authentification basée sur des mécanismes cryptographiques liés à l'appareil.

Les modalités de stockage, de synchronisation, de récupération et d'administration peuvent varier.

Les clés FIDO2 sont-elles réservées aux grandes entreprises ?

Non. Une PME peut commencer par équiper ses comptes les plus sensibles : Les administrateurs Microsoft 365. Les dirigeants. Les responsables financiers. Les collaborateurs disposant d'accès à des informations confidentielles. Les personnes autorisées à modifier les coordonnées bancaires ou à valider des paiements importants. Le déploiement peut ensuite être élargi progressivement aux autres utilisateurs.

Les passkeys rendent-elles toute attaque impossible ?

Non. Une authentification résistante au phishing protège efficacement contre certaines techniques de vol d'identifiants ou de détournement du processus de connexion. Elle ne supprime pas les risques liés à un appareil compromis, à des autorisations applicatives excessives, à des procédures de récupération de compte insuffisamment sécurisées ou à certaines formes de vol de jetons après authentification.

FIDO2 constitue une avancée majeure, mais doit rester intégré à une stratégie de sécurité globale.

7Comparatif : SMS, application Authenticator, Windows Hello et FIDO2

Toutes les méthodes d'authentification améliorent la sécurité par rapport à un simple mot de passe, mais elles ne protègent pas contre les mêmes attaques.

Ce tableau porte principalement sur la résistance au phishing du mécanisme d'authentification. Il ne représente pas une notation globale de cybersécurité. Il faut également distinguer les usages des applications Microsoft Authenticator : une notification MFA traditionnelle et une passkey FIDO2 compatible ne reposent pas sur le même mécanisme de protection.

Pour une PME, le meilleur point de départ reste d'activer le MFA partout où il est possible, puis de migrer progressivement les accès critiques vers des méthodes résistantes au phishing.

8Microsoft Entra ID : les protections à mettre en place au-delà du MFA

Microsoft Entra ID fournit plusieurs mécanismes permettant de renforcer la sécurité des identités. Certaines fonctionnalités sont disponibles dans les abonnements courants, tandis que d'autres dépendent de licences ou de conditions techniques spécifiques.

8.1 L'accès conditionnel : adapter les contrôles au contexte

Avec Microsoft Entra Conditional Access, une organisation peut définir des politiques d'accès tenant compte de différents critères. Par exemple : L'identité de l'utilisateur. Le rôle administrateur. L'application demandée. La conformité ou l'état de l'appareil. Le niveau de risque, lorsque les fonctionnalités correspondantes sont disponibles. Le type de méthode d'authentification. L'objectif est d'appliquer des contrôles pertinents selon les circonstances.

Un administrateur accédant à l'environnement Microsoft 365 ne présente pas le même niveau de risque qu'un utilisateur consultant un document non sensible. De même, une connexion depuis un appareil professionnel géré peut être traitée différemment d'une connexion depuis un appareil personnel inconnu. Attention : une politique mal configurée peut également bloquer des utilisateurs légitimes ou créer des exceptions dangereuses. Les changements doivent être préparés, testés et documentés.

8.2 Les forces d'authentification : imposer les bonnes méthodes

Microsoft Entra permet de définir différentes exigences de robustesse de l'authentification, appelées authentication strengths. Il est notamment possible, selon les licences, de configurer des politiques imposant des méthodes résistantes au phishing pour des accès sensibles. Cela permet d'éviter qu'un compte administrateur se contente d'une méthode moins robuste lorsque l'entreprise exige un niveau de sécurité supérieur.

8.3 La gestion des appareils avec Microsoft Intune

Un utilisateur peut disposer d'une authentification forte tout en utilisant un ordinateur mal protégé. Les appareils doivent donc également être pris en compte. Avec un système de gestion approprié, l'entreprise peut notamment vérifier certains critères : Chiffrement du disque. Version du système d'exploitation. Présence de protections de sécurité. Conformité avec les politiques définies. État de gestion de l'appareil.

L'accès conditionnel peut alors s'appuyer sur ces informations lorsque l'environnement le permet. Il faut toutefois prévoir les exceptions nécessaires aux usages légitimes et éviter de bloquer brutalement des collaborateurs sans préparation.

8.4 Microsoft Entra ID Protection : évaluer les risques

Avec les fonctionnalités correspondantes, Entra ID Protection permet de détecter certains événements associés à un risque de compromission. Par exemple, des comportements de connexion atypiques ou des signaux associés à des identités suspectes. L'entreprise peut utiliser ces informations pour organiser des investigations et appliquer des politiques adaptées. La détection automatisée ne remplace cependant pas l'analyse humaine.

Une connexion inhabituelle ne constitue pas systématiquement une intrusion.

8.5 Protection des jetons : limiter leur réutilisation

La protection des jetons vise à réduire certaines attaques dans lesquelles un jeton volé est utilisé depuis un autre appareil. Le principe consiste à lier cryptographiquement certains jetons à un appareil, puis à vérifier cette liaison lorsque des ressources prises en charge sont sollicitées. Il s'agit d'un mécanisme complémentaire à l'authentification résistante au phishing. Mais il ne couvre pas universellement tous les jetons, toutes les plateformes ou toutes les applications.

Son déploiement doit donc tenir compte des scénarios effectivement pris en charge.

8.6 La révocation et le contrôle des sessions

Une organisation doit être capable de réagir rapidement à une compromission suspectée. Cela implique notamment de savoir révoquer les sessions, bloquer temporairement un compte, retirer certaines autorisations et appliquer des contrôles supplémentaires. Les mécanismes de révocation ne produisent pas nécessairement un effet immédiat et identique dans chaque application. Il faut donc vérifier le périmètre réellement couvert.

9Microsoft 365 Business Premium : est-ce suffisant pour une PME ?

Microsoft 365 Business Premium constitue une base intéressante pour de nombreuses petites et moyennes entreprises. Il comprend notamment des fonctionnalités permettant de renforcer la gestion des identités, des appareils et la protection contre différentes menaces. Mais une licence n'est pas une configuration. Et une configuration ne constitue pas, à elle seule, une stratégie de surveillance.

Ce que l'entreprise peut généralement entreprendre avec Business Premium

Selon les services et conditions de licence applicables, une PME peut notamment travailler sur :

• Le déploiement de MFA.
• La configuration de politiques d'accès conditionnel avec Entra ID P1.
• L'utilisation de méthodes d'authentification résistantes au phishing.
• La gestion des appareils professionnels avec Microsoft Intune.
• Le renforcement des postes de travail avec Microsoft Defender for Business.
• La protection de la messagerie et des collaborateurs.
• La réduction des privilèges administratifs.
• La standardisation des configurations de sécurité.

Ce qui peut nécessiter des fonctionnalités complémentaires

Certaines capacités avancées de détection des risques d'identité, d'investigation, de journalisation ou de surveillance peuvent nécessiter des licences additionnelles ou des solutions spécialisées. Microsoft Entra ID Protection avec ses fonctions avancées de risque est notamment associé à Entra ID P2. De même, certains mécanismes sophistiqués de protection de session ou certaines capacités de détection dépendent des fonctionnalités réellement prises en charge.

Faut-il acheter davantage de licences ?

Pas automatiquement. Avant d'ajouter un produit, il faut vérifier ce qui est déjà disponible et correctement exploité. Une entreprise peut parfois améliorer sensiblement sa sécurité en corrigeant des configurations existantes, en renforçant l'authentification et en organisant le traitement des alertes.

La priorité n'est pas d'acheter toutes les fonctionnalités disponibles. Elle est de tirer correctement parti des protections adaptées aux risques de l'entreprise.

10Comment détecter une tentative de contournement MFA ou un vol de session ?

La prévention est essentielle, mais la détection reste indispensable. Même une organisation utilisant des passkeys peut être confrontée à des appareils compromis, à des applications malveillantes ou à d'autres événements de sécurité.

Examiner les journaux de connexion Entra ID

Les journaux de connexion permettent d'étudier les événements d'authentification. Une analyse peut rechercher :

• Des connexions depuis des appareils inhabituels.
• Des adresses IP ou environnements inattendus.
• Des tentatives répétées d'authentification.
• Des échecs MFA anormaux.
• Des méthodes d'authentification inhabituelles.
• Des accès à des applications sensibles.
• Des changements de contexte entre événements successifs.

Ces éléments doivent être analysés ensemble. Une localisation géographique inhabituelle ne prouve pas, à elle seule, une compromission.

Examiner les alertes de sécurité

Selon les licences et les fonctions activées, des solutions Microsoft peuvent identifier certains comportements associés au phishing AiTM, à l'utilisation anormale de jetons ou à d'autres risques d'identité. L'absence d'une telle alerte ne signifie toutefois pas qu'aucune attaque n'a eu lieu.

Vérifier les méthodes d'authentification

L'enregistrement d'une nouvelle méthode MFA doit être cohérent avec une demande légitime. Un nouvel appareil ou une nouvelle passkey enregistrés de manière inattendue peuvent nécessiter une investigation.

Vérifier les applications autorisées

Les autorisations OAuth, les applications d'entreprise et les consentements administratifs méritent une surveillance adaptée.

Corréler les événements Microsoft 365

Une connexion suspecte devient plus préoccupante lorsqu'elle est suivie d'une règle Outlook inconnue, d'un transfert externe ou d'une consultation inhabituelle de documents. La corrélation de plusieurs événements aide à distinguer les activités légitimes d'une attaque potentielle.

Définir une responsabilité de surveillance

C'est un point souvent négligé. Qui reçoit les alertes ? Qui les examine ? Qui prend une décision lorsqu'un compte présente un risque ? Qui intervient en dehors des horaires de bureau ? Un outil de détection sans procédure d'intervention apporte une protection limitée.

11Que faire en cas de suspicion de contournement MFA ?

12Plan d'action : renforcer le MFA de votre PME en 30 jours

13Checklist de sécurité MFA et Microsoft Entra ID : 25 points à vérifier

14Les erreurs à éviter lors du renforcement du MFA

15FAQ : MFA, Microsoft Authenticator, FIDO2 et sécurité Microsoft 365

Le MFA peut-il vraiment être piraté ?

Certaines méthodes MFA peuvent être contournées par phishing en temps réel, ingénierie sociale ou exploitation d'une session déjà authentifiée. Les méthodes résistantes au phishing, comme FIDO2, réduisent fortement certains de ces risques.

Microsoft Authenticator est-il suffisamment sécurisé ?

Microsoft Authenticator propose plusieurs mécanismes. Les notifications traditionnelles, les codes temporaires et les passkeys ne présentent pas les mêmes caractéristiques. Le niveau de sécurité dépend de la méthode utilisée et de sa configuration.

Qu'est-ce qu'une attaque MFA fatigue ?

C'est une technique visant à provoquer des demandes répétées de validation MFA, afin qu'un utilisateur finisse par accepter une demande frauduleuse. Le signalement des sollicitations inconnues et les méthodes résistantes au phishing permettent de réduire ce risque.

Qu'est-ce que le phishing AiTM ?

Le phishing Adversary-in-the-Middle utilise une infrastructure malveillante placée entre l'utilisateur et un service légitime. Dans certaines circonstances, l'attaquant peut intercepter des identifiants ou des informations de session.

Une clé FIDO2 empêche-t-elle le vol de session ?

Elle protège le mécanisme d'authentification contre certaines attaques de phishing, mais ne garantit pas qu'aucun jeton ne puisse être volé ultérieurement sur un appareil compromis. La protection des terminaux et des sessions reste nécessaire.

Quelle différence entre une passkey et un mot de passe ?

Une passkey repose sur la cryptographie à clé publique et ne nécessite pas la transmission d'un secret réutilisable au site. Elle peut offrir une authentification résistante au phishing et simplifier la connexion.

Une PME peut-elle utiliser des clés de sécurité FIDO2 ?

Oui. Il est possible de commencer avec les administrateurs et les utilisateurs sensibles, puis d'étendre progressivement le déploiement selon les besoins et les contraintes techniques.

Microsoft 365 Business Premium permet-il d'utiliser FIDO2 ?

Oui, Microsoft Entra ID prend en charge des mécanismes d'authentification FIDO2. Les politiques de déploiement et les contrôles complémentaires dépendent toutefois des licences et de la configuration de l'environnement.

Faut-il remplacer tous les SMS MFA immédiatement ?

Il faut privilégier une migration progressive vers des méthodes plus robustes, en commençant par les comptes les plus sensibles. Le SMS MFA demeure généralement préférable à une authentification reposant uniquement sur un mot de passe.

Comment savoir si une session Microsoft 365 a été volée ?

Il faut analyser les journaux de connexion, les signaux de risque et les activités des applications concernées. Certains comportements peuvent suggérer une utilisation non autorisée, mais une investigation est nécessaire pour confirmer les faits.

Que faire si un collaborateur accepte une demande MFA frauduleuse ?

Il doit immédiatement prévenir le support informatique. Selon les circonstances, il faudra sécuriser le compte, révoquer les sessions, examiner les journaux et rechercher les éventuelles modifications malveillantes.

Combien coûte un renforcement MFA pour une PME suisse ?

Le coût dépend notamment des licences Microsoft 365, du nombre de collaborateurs, des clés matérielles éventuellement nécessaires, des appareils et des politiques à mettre en place. Un audit préalable permet d'éviter les dépenses inutiles.

16Comment Sunitech accompagne les PME dans la sécurisation des identités

17Conclusion : activer le MFA est indispensable. S'arrêter là serait une erreur.

L'authentification multifacteur a profondément amélioré la sécurité des comptes professionnels. Elle reste aujourd'hui l'une des premières mesures à déployer dans une entreprise. Mais les techniques d'attaque évoluent. Le phishing en temps réel, l'ingénierie sociale, les tentatives de détournement de session et les logiciels voleurs d'informations démontrent qu'une protection limitée au moment de la connexion ne suffit plus toujours.

Les entreprises doivent désormais s'intéresser à la robustesse des méthodes d'authentification, à la sécurité des appareils, aux conditions d'accès et à la surveillance des sessions. Les passkeys FIDO2, l'accès conditionnel et les protections modernes de Microsoft Entra constituent des réponses importantes à cette évolution. Pour autant, la solution n'est pas d'accumuler les technologies les plus sophistiquées.

Elle consiste à déployer les bonnes protections, au bon endroit, avec des procédures adaptées.

La vraie question n'est plus seulement : « Avons-nous activé le MFA ? »

C'est : « Nos méthodes d'authentification résistent-elles réellement aux attaques auxquelles notre entreprise est exposée ? »

Chez Sunitech, nous défendons cette approche : une cybersécurité pragmatique, fondée sur les risques, la maîtrise des infrastructures et la protection durable des entreprises.