La filtration de la figure montre que le MFA traditionnel n'est plus suffisant

En février 2026, l'alarme a sauté : une fuite liée à la figure - une entité du secteur financier - a révélé près d'un million d'adresses électroniques. Cela compte, il impressionne par son ampleur, mais le comprendre seulement comme un chiffre est de rester à la surface. Une collection de courriels exposés n'est pas la fin de l'incident, c'est l'inventaire initial que les attaquants transforment en vecteurs d'accès.

Lorsqu'un ensemble massif de directions entre dans les mains hostiles, ces adresses alimentent immédiatement les processus automatisés. Tout d'abord, ils sont combinés avec des bases de données antérieures pour lancer des campagnes de rembourrage crédentiel : des paires de courriels et de mots de passe réutilisés sont testés à l'échelle des portails d'entreprise, des passerelles VPN et des fournisseurs d'identité d'usage collectif. Les rapports et les guides de sécurité sur la farce crédentale et son impact montrent que, grâce à des listes récentes et bien séparées, les taux de réussite peuvent produire des milliers de combinaisons valides en quelques heures; l'industrie les documente et les explique en détail dans des ressources telles que : Imperva.

En parallèle, la même liste permet des campagnes d'hameçonnage ciblées et très personnalisées. L'intelligence artificielle accélère la génération de courriels avec des leurres crédibles : des messages qui ressemblent à des communications internes, qui mentionnent des noms de projet ou de département, et qui reproduisent l'esthétique des services légitimes. Avec une adresse postale et des données publiques telles que des frais de réseau professionnels ou des profils, un attaquant peut produire une expédition très convaincante en quelques minutes. Pour ceux qui veulent approfondir la façon dont les outils et les kits d'exploitation facilitent ces opérations, les référentiels techniques et l'analyse des proxies d'hameçonnage en temps réel sont une référence, par exemple dans les projets open source Evilginx2 et Modliska.

Troisièmement, post exposition alimente les tentatives d'ingénierie sociale visant à soutenir le service: appels ou interactions où l'attaquant, avec les données de base d'OSINT, prétend être un employé pour demander le redémarrage de mot de passe, MFA réinitialise ou déverrouillage de compte. Cette technique attaque directement le processus humain qui existe pour corriger les défaillances d'authentification, et n'a pas besoin de vulnérabilités techniques dans les systèmes.

Dans tous ces flux, vous n'avez pas à imaginer une "explosion" sophistiquée; le but de l'attaquant n'est pas d'exploiter un trou dans le logiciel, mais plutôt Se connecter en tant qu'utilisateur légitime. Et il y a la nuance qui est souvent perdue dans les nouvelles : le risque réel est la chaîne d'attaque suite à la fuite, et la question critique est de savoir si les contrôles d'authentification d'une organisation peuvent interrompre cette chaîne à un moment donné.

Malheureusement, la réponse est souvent négative. Une grande partie de l'industrie s'est appuyée sur des formulaires d'AMF - notifications de poussée, codes SMS, TTP - qui protègent la transmission d'un code ou la possession d'un appareil, mais placent une personne comme dernier lien de décision. Cette dépendance humaine est précisément ce qui attaque les méthodes de relaxation en temps réel (aussi appelé AiTM, adversaire dans le milieu). Dans une telle attaque, un mandataire malveillant retransmet les actions entre la victime et le service légitime: les lettres d'identité sont ingérées sur une page clonée, le mandataire les envoie au site réel, le service génère un défi MFA, et la victime, qui croit qu'il interagit avec le site légitime, complète le second facteur. L'attaquant reçoit ainsi une session authentifiée bien qu'il n'ait pas "exploité" le logiciel de service.

Il est important de comprendre pourquoi les formes les plus courantes de MFA n'arrêtent pas cette attaque. Les mécanismes qui vérifient un code ou confirment une notification ne permettent pas de déterminer si l'échange a eu lieu directement entre l'utilisateur et le service, ou par l'intermédiaire d'un intermédiaire qui retransmet la transaction en temps réel. En outre, il y a le phénomène connu sous le nom de « fatigue MFA » : les demandes répétées d'approbation peuvent conduire les utilisateurs fatigués ou confus à accepter des notifications suspectes. Microsoft et d'autres équipes de sécurité ont documenté et mis en garde contre ces tendances et leur exploitation par des acteurs criminels; pour ceux qui veulent revoir l'analyse institutionnelle de ces tactiques, les grands blogs de sécurité des fournisseurs et les centres d'intervention en cas d'incident sont des sources utiles, comme Sécurité de Microsoft et rapports de radiodiffuseurs indépendants tels que KrebsOnSécurité.

L'approche habituelle de l'industrie - la formation des utilisateurs pour détecter l'hameçonnage et les rappels de ne pas accepter des applications inattendues - n'est pas erronée, mais elle est courte. L'insuffisance est d'architecture, pas seulement de comportement. Une attaque par relais ne dépend pas de la capacité de l'utilisateur à reconnaître une page clonée : la notification MFA qu'il reçoit est légitime, émise par le service, dans l'application habituelle. Il n'y a aucune piste évidente pour que l'homme détecte la manœuvre.

Si la question à laquelle les vérificateurs, les organismes de réglementation et les assureurs doivent répondre aujourd'hui est « pouvez-vous prouver que la personne autorisée était physiquement présente et qu'elle avait fait l'objet d'une vérification biométrique au moment de l'authentification? », de nombreuses implémentations traditionnelles demeurent sans réponse. Les normes et lignes directrices sur l'identité diffèrent déjà entre la preuve de la présence d'un dispositif et la vérification de la personne; le premier cas ne garantit pas que la personne a exploité l'accès. Le document NIST sur les modèles d'authentification numérique et les recommandations de la FIDO Alliance expliquent les limites et les directions des mécanismes d'authentification résistant au phishing; voir, par exemple, le guide NIST dans DS 800-63B et les matériaux des FIDO Alliance.

Quelles propriétés une authentification doit-elle vraiment fermer la porte à ces attaques ? Elles peuvent être résumées en trois exigences techniques qui doivent coexister : premièrement, un lien cryptographique à l'origine qui empêche un faux site de signer une transaction destinée à un autre domaine; deuxièmement, des clés privées liées au matériel sûr qu'elles ne quittent jamais cette enclave, de sorte qu'elles ne peuvent être copiées ou retransmises; et troisièmement, une vérification biométrique en temps réel qui confirme la présence de la personne autorisée dans l'acte d'authentification. Combinés, ces garanties empêchent un mandataire de produire des signatures valides d'une origine différente, de reproduire une session avec du matériel cryptographique exfiltré, ou de terminer le processus par un attaquant sans la présence physique du détenteur.

FIDO2 / WebAuthn fournit une avancée importante en termes d'origine et d'utilisation des clés matérielles, et est donc souvent cité dans ces discussions. Cependant, les implémentations standard peuvent être courtes si elles dépendent de la synchronisation cloud des identifiants ou des flux de récupération qui héritent d'autres vulnérabilités. C'est pourquoi les experts exigent non seulement des clés liées à l'appareil, mais aussi l'incorporation d'authentification biométrique « en direct », de contrôles de proximité et de matériel qui ferment les voies de récupération dangereuses. La spécification WebAuthn du W3C et la documentation FIDO fournissent le cadre technique pour comprendre ces différences: W3C WebAuthn et les ressources explicatives FIDO Alliance.

Le marché a déjà des produits qui revendiquent cette approche globale: matériel avec clés non exportables, biométrie locale obligatoire et vérification de proximité. Ces dispositifs tentent d'éliminer le « jugement humain » comme dernier point de décision : s'il n'y a pas de coïncidence biométrique au moment et au lieu de l'authentification, rien n'est signé et aucun accès n'est accordé. C'est une réponse architecturale à la fragilité qui a été exploitée par les campagnes relais et les campagnes MFA. Comme dans toute mesure de sécurité, ces solutions devraient être évaluées en fonction de leur capacité d'intégration, de leur incidence sur la vie privée et de leurs procédures de récupération face à la perte d'appareil; elles constituent une mesure d'atténuation, mais elles guident l'architecture vers un modèle d'identité axé sur la vérification individuelle et non seulement le jeton.

La leçon clé qui laisse la filtration de la figure - et la suivante qui viendra inévitablement - est que les organisations doivent évaluer leur authentification du point de vue de l'attaquant qui a déjà des données initiales: le modèle d'authentification qu'elles utilisent exige-t-il de l'utilisateur, sous pression et parfois sans signaux d'avertissement, de prendre la bonne décision, ou empêche-t-il techniquement une entité étrangère d'accéder sans la présence et la vérification du détenteur?

Si la réponse actuelle est la première, la base devrait être remaniée. La véritable protection contre les attaques suite à une fuite massive est de changer l'architecture d'authentification, pas seulement pour mieux former les gens.. Les guides du NIST et les initiatives du FIDO sont des points de départ pour comprendre le cheminement technique; l'analyse de la farce crédentale, de la fatigue AiTM et du MFA montre pourquoi le changement est urgent. Consulter les sources techniques et les cas documentés aide à prendre des décisions éclairées : examiner les documents de la NIST SP 800-63B de l ' Organisation des Nations Unies FIDO Alliance, articles de recherche et d'analyse dans KrebsOnSécurité ou des rapports de fournisseurs tels que Imperva et envisager des tests conceptuels qui intègrent un matériel sûr et une biométrie en direct pour les accès à haut risque.

La fuite de courrier n'est que la première étape d'une chaîne. Pour assurer une défense efficace, il faut penser au-delà du nombre de documents exposés et des contrôles des bâtiments qui empêchent ces documents de devenir des accès valides.