{"id":7857,"date":"2023-10-05T09:00:00","date_gmt":"2023-10-05T09:00:00","guid":{"rendered":"https:\/\/www.securitytoday.de\/2026\/04\/02\/post_id-5053\/"},"modified":"2026-07-04T12:30:23","modified_gmt":"2026-07-04T12:30:23","slug":"comment-les-attaquants-contournent-lauthentification-multifactorielle-adversary-in-the-middle-fatigue-de-lauthentification-multifactorielle-et-vol-de-jetons","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/fr\/2023\/10\/05\/comment-les-attaquants-contournent-lauthentification-multifactorielle-adversary-in-the-middle-fatigue-de-lauthentification-multifactorielle-et-vol-de-jetons\/","title":{"rendered":"Comment les attaquants contournent l&rsquo;authentification multifactorielle : Adversary-in-the-Middle, fatigue de l&rsquo;authentification multifactorielle et vol de jetons"},"content":{"rendered":"<p><strong>L&rsquo;authentification multifactorielle (MFA) a longtemps \u00e9t\u00e9 consid\u00e9r\u00e9e comme la solution miracle contre la compromission des comptes. Cependant, les attaquants ont progress\u00e9 : les proxys Adversary-in-the-Middle capturent les jetons MFA en temps r\u00e9el, les attaques de fatigue de l&rsquo;authentification multifactorielle harc\u00e8lent les utilisateurs jusqu&rsquo;\u00e0 ce qu&rsquo;ils abandonnent, et le vol de jetons de session rend le deuxi\u00e8me facteur obsol\u00e8te. L&rsquo;authentification multifactorielle reste importante  &#8211;  mais ne suffit plus \u00e0 elle seule.<\/strong><\/p>\n<h2>L&rsquo;essentiel<\/h2>\n<ul>\n<li>Les proxys AiTM (Evilginx, Modlishka) capturent les jetons MFA en temps r\u00e9el<\/li>\n<li>Fatigue de l&rsquo;authentification multifactorielle : le piratage d&rsquo;Uber en 2022 r\u00e9ussi gr\u00e2ce au push bombing<\/li>\n<li>Le vol de jetons de session via des infostealers contourne compl\u00e8tement l&rsquo;authentification multifactorielle<\/li>\n<li>FIDO2\/Passkeys est le seul standard r\u00e9sistant au phishing<\/li>\n<\/ul>\n<h2>Adversary-in-the-Middle : le proxy invisible<\/h2>\n<p>Les attaques AiTM utilisent un proxy inverse entre l&rsquo;utilisateur et la page de connexion l\u00e9gitime. L&rsquo;utilisateur voit une copie parfaite, entre ses identifiants et le code MFA  &#8211;  le proxy transmet tout et capture le jeton de session r\u00e9sultant. L&rsquo;attaquant dispose alors d&rsquo;une session authentifi\u00e9e, sans jamais avoir poss\u00e9d\u00e9 le deuxi\u00e8me facteur.<\/p>\n<p>Des outils comme Evilginx2 rendent ces attaques effroyablement simples. Un domaine de phishing convaincant, un proxy configur\u00e9, et l&rsquo;authentification multifactorielle est contourn\u00e9e. Microsoft a signal\u00e9 en 2023 plus de 10 000 organisations touch\u00e9es par des campagnes AiTM.<\/p>\n<h2>Fatigue de l&rsquo;authentification multifactorielle : l&rsquo;humain comme maillon faible<\/h2>\n<p>Lors du piratage d&rsquo;Uber en 2022, l&rsquo;attaquant a bombard\u00e9 un employ\u00e9 de notifications push MFA  &#8211;  des centaines en peu de temps. \u00c0 un moment donn\u00e9, la victime a appuy\u00e9 sur \u00ab Approuver \u00bb pour arr\u00eater le flux. Une seule fois a suffi.<\/p>\n<p>La fatigue de l&rsquo;authentification multifactorielle fonctionne parce que l&rsquo;authentification multifactorielle bas\u00e9e sur les notifications push demande seulement \u00e0 l&rsquo;utilisateur \u00ab \u00c9tait-ce vous ? \u00bb  &#8211;  sans contexte. Contre-mesures : correspondance des num\u00e9ros (l&rsquo;utilisateur doit entrer un num\u00e9ro de la page de connexion dans l&rsquo;application), limitation des taux et alertes bas\u00e9es sur les anomalies en cas d&rsquo;activit\u00e9 MFA inhabituelle.<\/p>\n<h2>Vol de jetons de session : contourner l&rsquo;authentification multifactorielle sans attaquer l&rsquo;authentification multifactorielle<\/h2>\n<p>Les logiciels malveillants infostealers (Raccoon, Redline, Vidar) volent les cookies du navigateur et les jetons de session directement depuis l&rsquo;appareil de l&rsquo;utilisateur. Avec un jeton de session valide, l&rsquo;attaquant peut prendre le contr\u00f4le de la session  &#8211;  l&rsquo;authentification multifactorielle a d\u00e9j\u00e0 \u00e9t\u00e9 effectu\u00e9e lors de la connexion et n&rsquo;est plus pertinente.<\/p>\n<p>Le r\u00e9sultat : des sessions authentifi\u00e9es sont \u00e9chang\u00e9es sur les march\u00e9s du darknet. Un jeton de session valide pour un compte M365 d&rsquo;entreprise co\u00fbte moins de 10 dollars. La solution : liaison des jetons, acc\u00e8s conditionnel avec conformit\u00e9 des appareils et invalidation r\u00e9guli\u00e8re des sessions.<\/p>\n<h2>La r\u00e9ponse : FIDO2 et authentification multifactorielle r\u00e9sistante au phishing<\/h2>\n<p>L&rsquo;authentification bas\u00e9e sur FIDO2 (cl\u00e9s mat\u00e9rielles, passkeys) est par principe immunis\u00e9e contre les attaques AiTM : la cl\u00e9 priv\u00e9e est li\u00e9e au domaine. Un proxy sur un autre domaine n&rsquo;obtient pas de signature valide. Le push bombing est \u00e9galement exclu  &#8211;  l&rsquo;utilisateur doit physiquement toucher une cl\u00e9 ou confirmer biom\u00e9triquement.<\/p>\n<p>Google rapporte : depuis l&rsquo;obligation de FIDO2 pour tous les employ\u00e9s (2017), il n&rsquo;y a eu aucun phishing r\u00e9ussi sur les comptes des employ\u00e9s. La technologie fonctionne  &#8211;  le d\u00e9fi est son adoption dans le contexte de l&rsquo;entreprise.<\/p>\n<h2>Key Facts<\/h2>\n<p><strong>Campagnes AiTM :<\/strong> plus de 10 000 organisations touch\u00e9es en 2023 (Microsoft)<\/p>\n<p><strong>Prix des jetons de session :<\/strong> moins de 10 USD sur les march\u00e9s du darknet<\/p>\n<p><strong>FIDO2 chez Google :<\/strong> 0 phishing r\u00e9ussi depuis l&rsquo;introduction en 2017<\/p>\n<h2>Questions fr\u00e9quentes<\/h2>\n<p class=\"st-faq-hint\">Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n<details>\n<summary><strong>Dois-je d\u00e9sactiver l&rsquo;authentification multifactorielle si elle peut \u00eatre contourn\u00e9e ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Absolument pas. L&rsquo;authentification multifactorielle bloque toujours plus de 99 % des attaques automatis\u00e9es de credentials. Les techniques de contournement mentionn\u00e9es n\u00e9cessitent un effort cibl\u00e9. L&rsquo;authentification multifactorielle reste obligatoire  &#8211;  mais doit \u00eatre compl\u00e9t\u00e9e par des m\u00e9thodes r\u00e9sistantes au phishing (FIDO2).<\/p>\n<\/details>\n<details>\n<summary><strong>Qu&rsquo;est-ce que la correspondance des num\u00e9ros en mati\u00e8re d&rsquo;authentification multifactorielle ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Au lieu de simplement \u00ab Approuver\/Refuser \u00bb, la page de connexion affiche un nombre \u00e0 deux chiffres. L&rsquo;utilisateur doit entrer le m\u00eame nombre dans l&rsquo;application Authenticator. Cela emp\u00eache l&rsquo;approbation aveugle lors des attaques de fatigue de l&rsquo;authentification multifactorielle. Microsoft et Duo offrent la correspondance des num\u00e9ros de mani\u00e8re native.<\/p>\n<\/details>\n<details>\n<summary><strong>Un VPN prot\u00e8ge-t-il contre les attaques AiTM ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Non. Les attaques AiTM visent les services cloud (M365, Google Workspace), qui sont utilis\u00e9s directement via le navigateur  &#8211;  et non via un VPN. La protection r\u00e9side dans l&rsquo;authentification r\u00e9sistante au phishing et les politiques d&rsquo;acc\u00e8s conditionnel qui v\u00e9rifient la conformit\u00e9 des appareils.<\/p>\n<\/details>\n<h2>Articles connexes<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.securitytoday.de\/fr\/2026\/03\/06\/post_id-3837\/\">Tendances de la cybers\u00e9curit\u00e9 2026 : les 7 \u00e9volutions que les d\u00e9cideurs en s\u00e9curit\u00e9 doivent conna\u00eetre<\/a><\/li>\n<li><a href=\"https:\/\/www.securitytoday.de\/fr\/2026\/02\/20\/post_id-3525\/\">Reconna\u00eetre les e-mails de phishing g\u00e9n\u00e9r\u00e9s par l&rsquo;IA : 7 signaux d&rsquo;alerte pour 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.securitytoday.de\/fr\/2026\/02\/20\/post_id-3839\/\">Cybersecurity 2030 : cinq pr\u00e9visions pour la prochaine d\u00e9cennie de la s\u00e9curit\u00e9 informatique<\/a><\/li>\n<\/ul>\n<p style=\"font-weight:700;color:#e6e3da;font-size:1.05em;margin:48px 0 16px;\">Plus du r\u00e9seau MBF Media<\/p>\n<div style=\"display:flex;flex-direction:column;gap:14px;margin-bottom:40px;\"><a href=\"https:\/\/www.cloudmagazin.com\" class=\"st-net-card\" style=\"display:block;padding:16px 18px;background:#23261f;border:1px solid rgba(105,216,237,0.22);border-radius:10px;box-shadow:inset 0 1px 0 rgba(230,227,218,0.06),0 2px 10px rgba(0,0,0,0.22);text-decoration:none;color:#e6e3da;\"><span style=\"display:block;margin-bottom:6px;font-size:0.72em;font-weight:700;letter-spacing:0.06em;text-transform:uppercase;color:#0bb7fd;\">cloudmagazin<\/span><span style=\"display:block;color:#e6e3da;line-height:1.45;\">Cloud Magazin<\/span><\/a><a href=\"https:\/\/www.mybusinessfuture.com\" class=\"st-net-card\" style=\"display:block;padding:16px 18px;background:#23261f;border:1px solid rgba(105,216,237,0.22);border-radius:10px;box-shadow:inset 0 1px 0 rgba(230,227,218,0.06),0 2px 10px rgba(0,0,0,0.22);text-decoration:none;color:#e6e3da;\"><span style=\"display:block;margin-bottom:6px;font-size:0.72em;font-weight:700;letter-spacing:0.06em;text-transform:uppercase;color:#aa8ac2;\">MyBusinessFuture<\/span><span style=\"display:block;color:#e6e3da;line-height:1.45;\">MyBusinessFuture<\/span><\/a><a href=\"https:\/\/www.digital-chiefs.de\" class=\"st-net-card\" style=\"display:block;padding:16px 18px;background:#23261f;border:1px solid rgba(105,216,237,0.22);border-radius:10px;box-shadow:inset 0 1px 0 rgba(230,227,218,0.06),0 2px 10px rgba(0,0,0,0.22);text-decoration:none;color:#e6e3da;\"><span style=\"display:block;margin-bottom:6px;font-size:0.72em;font-weight:700;letter-spacing:0.06em;text-transform:uppercase;color:#d65663;\">Digital Chiefs<\/span><span style=\"display:block;color:#e6e3da;line-height:1.45;\">Digital Chiefs<\/span><\/a><\/div>\n","protected":false},"excerpt":{"rendered":"L&rsquo;authentification multifactorielle (MFA) a longtemps \u00e9t\u00e9 consid\u00e9r\u00e9e comme la solution miracle contre la compromission des comptes. Cependant, les attaquants ont progress\u00e9 : les proxys Adversary-in-the-Middle capturent les jetons MFA en temps r\u00e9el, les attaques de fatigue de l&rsquo;authentification multifactorielle harc\u00e8lent les utilisateurs jusqu&rsquo;\u00e0 ce qu&rsquo;ils abandonnent, et le vol de jetons de session rend le [&hellip;]","protected":false},"author":50,"featured_media":5052,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"authentification multifactorielle","_yoast_wpseo_title":"Comment les attaquants contournent l'authentification multifactorielle : Adversa","_yoast_wpseo_metadesc":"MFA contourn\u00e9 ? D\u00e9couvrez les attaques par proxy, fatigue MFA et vol de jetons. Prot\u00e9gez vos comptes d\u00e8s maintenant.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["post_id-5053"],"footnotes":""},"categories":[256],"tags":[237,240],"class_list":["post-7857","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr","tag-phishing","tag-zero-trust"],"evm_reading_time_minutes":5,"wpml_language":"fr","wpml_translation_of":5053,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7857","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=7857"}],"version-history":[{"count":5,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7857\/revisions"}],"predecessor-version":[{"id":20026,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7857\/revisions\/20026"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/5052"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=7857"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=7857"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=7857"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}