MFA adaptative : pourquoi enfreindre les règles standards
« L’authentification multifacteur (MFA) activée » n’est pas un état final. Les seconds facteurs statiques cèdent face à la fatigue des notifications, au détournement de session et aux processus d’assistance. L’authentification multifacteur adaptative (MFA adaptative) gère le risque à chaque connexion – et soulage précisément là où les règles standard génèrent du bruit.
Points clés
- Le risque détermine le facteur. Appareil, localisation, comportement et valeur de la ressource dictent l’escalade – et non une règle générique « toujours envoyer une notification push ».
- Priorité aux facteurs résistants au phishing. Passkeys/FIDO dès que possible ; SMS et notifications push fatigantes uniquement en transition.
- Renforcer les processus d’assistance. Les réinitialisations via le helpdesk et les accès d’urgence (break-glass) représentent souvent le maillon faible – et non le bouton de connexion.
À lire aussi :Qu’est-ce qu’un passkey ? Définition et normes / Passkeys en entreprise : la fin du mot de passe
Quand l’MFA standard échoue
Qu’est-ce que l’MFA adaptative ? L’MFA adaptative (authentification multifacteur basée sur les risques) détermine, en fonction de signaux tels que l’appareil, le réseau, le comportement et la valeur de la ressource, si et quel facteur supplémentaire est requis – allant jusqu’au blocage ou à un accès sans mot de passe, plutôt que d’appliquer des règles rigides comme un push systématique pour tous.
De nombreuses organisations ont « déployé » l’MFA : notification push via une application ou SMS sur tous les comptes, case cochée dans la liste de conformité. Pourtant, les attaquants et la réalité exploitent les failles autour. Les attaques par fatigue bombardent les utilisateurs de demandes de push jusqu’à ce que l’une d’elles soit validée. Le vol de cookies de session et de jetons contourne le second facteur après la connexion. L’ingénierie sociale ciblant le helpdesk réinitialise le facteur sans vérifier le titulaire du compte.
L’MFA adaptative répond à la question décisive : quand la confiance dans l’appareil suffit-elle, quand une authentification renforcée résistante au phishing devient-elle obligatoire, et quand le blocage strict de la connexion s’impose-t-il ?
Définition · MFA adaptative
Authentification multifacteur basée sur les risques : des signaux (appareil, réseau, comportement, ressource, identité) déterminent si et quel facteur supplémentaire est requis – allant jusqu’au blocage ou à un accès sans mot de passe.
Signaux qui devraient vraiment déclencher une vérification
Kit minimal pour la pratique : appareil géré vs. inconnu, accès inhabituels géographiquement ou depuis un réseau différent, voyage impossible, nouveau navigateur/agent utilisateur (UA), accès à des applications privilégiées (portails d’administration, systèmes financiers, gestion des identités) et type d’identité (humain, service, accès d’urgence).
Connexion à faible risque depuis un appareil géré au sein du réseau d’entreprise vers une application non critique : aussi fluide que possible (Passkey ou session SSO). Risque élevé : nouvel emplacement, appareil personnel, accès à l’administration d’Entra/AD – authentification renforcée résistante au phishing ou refus. Cela réduit la fatigue, car chaque connexion pour commander un café ne déclenche pas une notification push.
Classer les facteurs par résistance
Les clés d’accès (passkeys) et les clés de sécurité FIDO2 représentent l’objectif à atteindre pour les groupes d’utilisateurs privilégiés et larges, lorsque le matériel et le système d’exploitation le permettent. Les mots de passe à usage unique basés sur le temps (TOTP) sont préférables aux SMS, mais restent vulnérables au phishing. Les notifications push sans appariement de numéros sont sujettes à la fatigue de l’utilisateur ; avec appariement de numéros, c’est mieux, mais toujours pas résistant au phishing. Les SMS et les appels vocaux restent des solutions de dernier recours – et doivent être exclus des parcours privilégiés.
Une authentification multifacteur (MFA) adaptative sans feuille de route pour les facteurs se solde souvent par « toujours des SMS, mais moins souvent ». La politique doit imposer un chemin de mise à niveau : les applications critiques ne doivent plus accepter que des méthodes résistantes.
| Scénario | Signal | Réaction |
|---|---|---|
| Quotidien | Appareil géré, réseau connu | Clé d’accès/SSO, friction minimale |
| Voyage / nouveau | Nouveau pays, nouvel appareil | Renforcement FIDO/clé d’accès |
| Privilégié | Portail d’administration IAM/cloud | Uniquement résistant au phishing, éventuellement CAE |
| Abus | Voyage impossible, anomalie de jeton | Blocage + alerte SOC |
Source : Schéma pratique SecurityToday (accès conditionnel/authentification basée sur les risques)
La moitié oubliée : récupération et exploitation
Des règles adaptatives ne servent à rien si le helpdesk réinitialise le second facteur par téléphone dès que quelqu’un prononce le mot « IT ». La récupération nécessite une identité forte, un contrôle à quatre yeux pour les comptes privilégiés et un journal d’audit. Comptes Break-Glass : documentés hors ligne, résistants à l’authentification multifacteur (MFA), avec alerte en cas d’utilisation et testés régulièrement.
Vérification de mise en œuvre
- ✓Niveaux d’applications : privilégié / normal / faible risque avec des règles d’authentification claires
- ✓Pilote Passkey/FIDO pour les administrateurs, puis déploiement à grande échelle
- ✓Fatigue des notifications push : correspondance numérique ou passage à des facteurs résistants
- ✓Réinitialisation par le helpdesk et Break-Glass avec contrôle à quatre yeux et alertes
La MFA adaptative relève de l’exploitation, pas d’un projet à cocher. Métriques : part des connexions résistantes au phishing, incidents de fatigue, connexions à haut risque réussies vs bloquées, délai avant l’inscription à l’escalade (Step-up). Ainsi, « MFA activée » devient une couche de contrôle pilotable.
En pratique, une approche sur 90 jours s’avère efficace : d’abord les comptes privilégiés migrent vers Passkey ou FIDO, puis les applications à haut risque avec escalade, et enfin un déploiement large avec moins de bruit. Les métriques sont intégrées mensuellement dans le rapport de sécurité : part des connexions résistantes au phishing, tentatives à haut risque bloquées, incidents de réinitialisation par le helpdesk. Ainsi, la case à cocher MFA se transforme en une couche de contrôle pilotable, réduisant la fatigue et rendant visible les véritables abus.
Questions fréquentes
Chaque question est verrouillée. Un simple clic déverrouille la réponse.
L’authentification multifacteur (MFA) adaptative est-elle la même chose que l’accès conditionnel ?
L’accès conditionnel est souvent l’outil de politique utilisé. La MFA adaptative, en revanche, représente l’objectif visé : un choix de facteurs basé sur le risque. Dans la pratique, les deux concepts se recoupent largement.
Pouvons-nous désactiver immédiatement les SMS ?
Pour les comptes privilégiés, c’est une mesure à privilégier. Pour les autres utilisateurs, prévoyez une transition avec l’enrôlement des clés d’accès (Passkeys) et limitez les exceptions dans le temps.
Le Number-Matching protège-t-il contre toutes les attaques ciblant la MFA ?
Il réduit les risques liés à la fatigue des utilisateurs, mais ne remplace pas des facteurs résistants au phishing et ne protège pas contre le vol de jetons après la connexion.
Par quoi commencer : les Passkeys ou les règles adaptatives ?
Les deux en parallèle : des facteurs résistants pour les administrateurs, des règles adaptatives pour filtrer le bruit et les connexions à haut risque. Priorité aux comptes privilégiés.
Comment mesurer le succès de ces mesures ?
Suivez mensuellement, dans votre rapport de sécurité, le pourcentage d’authentifications résistantes au phishing, le nombre de connexions à haut risque bloquées, les incidents de réinitialisation par le helpdesk et les plaintes liées à la fatigue des utilisateurs.
Suggestions de lecture
Lecture recommandéeQu’est-ce qu’une Passkey ? Définition, fonctionnement et standardsLecture recommandéeLes Passkeys en entreprise : la fin du mot de passeLecture recommandéeMFA adaptative et audit NIS2 : quand la politique devient un justificatif valable
Autres contenus du réseau MBF Media
cloudmagazinLe tournant Copilot : quand les utilisateurs ont dû embarquerMyBusinessFutureAccélérer le back-office : comment les banques maîtrisent enfin leurs processus documentaires
