7 min de lecture<\/p>\n
59 % des comptes d’entreprise compromis avaient l’authentification \u00e0 deux facteurs activ\u00e9e. La raison : les attaques Adversary-in-the-Middle (AiTM) et le vol de jetons de session rendent le deuxi\u00e8me facteur inefficace. Microsoft signale quotidiennement 40 000 incidents AiTM d\u00e9tect\u00e9s. L’authentification \u00e0 deux facteurs bas\u00e9e sur SMS est d\u00e9sormais consid\u00e9r\u00e9e comme non s\u00e9curis\u00e9e par le BSI (Office f\u00e9d\u00e9ral de la s\u00e9curit\u00e9 informatique) et la CISA. La solution r\u00e9side dans l’authentification r\u00e9sistante au phishing avec FIDO2, les cl\u00e9s de s\u00e9curit\u00e9 mat\u00e9rielle et les Passkeys.<\/strong><\/p>\n Les attaques Adversary-in-the-Middle fonctionnent comme un proxy invisible entre l’utilisateur et le serveur d’authentification. L’attaquant redirige la page de connexion en temps r\u00e9el via son serveur. L’utilisateur entre ses identifiants et le code d’authentification \u00e0 deux facteurs, l’attaquant intercepte les deux et obtient le jeton de session. Du point de vue du serveur, la connexion \u00e9tait l\u00e9gitime.<\/p>\n Des frameworks comme EvilGinx2 et Modlishka ont automatis\u00e9 ces attaques. Un attaquant n’a plus besoin d’une expertise technique approfondie. Il ach\u00e8te un kit de phishing pour quelques centaines d’euros, enregistre un domaine trompeusement similaire et attend les victimes. Les jetons de session vol\u00e9s sont imm\u00e9diatement utilisables, souvent valides pendant des heures ou des jours.<\/p>\n Les attaques bas\u00e9es sur l’identit\u00e9<\/a> utilisent pr\u00e9cis\u00e9ment ce vecteur. Selon Microsoft, les attaques par vol de jetons \u00e9taient responsables de 31 % de toutes les violations dans les environnements Microsoft 365 en 2025. La tendance est \u00e0 la hausse, car de plus en plus d’entreprises activent l’authentification \u00e0 deux facteurs et les attaquants s’adaptent.<\/p>\n \n\u00ab Les attaques bas\u00e9es sur les jetons contournent compl\u00e8tement l’authentification \u00e0 deux facteurs, car elles n’attaquent pas l’authentification mais la session qui suit. L’attaquant prend le contr\u00f4le d’une session d\u00e9j\u00e0 authentifi\u00e9e. \u00bb L’utilisation de SMS comme deuxi\u00e8me facteur pr\u00e9sente trois faiblesses fondamentales. Premi\u00e8rement : le swap de SIM. Un attaquant convainc le fournisseur de services mobiles de transf\u00e9rer le num\u00e9ro de t\u00e9l\u00e9phone sur une nouvelle carte SIM. Deuxi\u00e8mement : les failles SS7. Le protocole de signalisation des r\u00e9seaux mobiles permet l’interception des SMS dans certaines conditions. Troisi\u00e8mement : les proxys AiTM interceptent le code SMS en temps r\u00e9el avant que l’utilisateur ne puisse le saisir.<\/p>\n Le BSI recommande depuis 2024 explicitement de passer \u00e0 des proc\u00e9d\u00e9s d’authentification r\u00e9sistants au phishing. La CISA (l’\u00e9quivalent am\u00e9ricain du BSI) classe \u00e9galement l’authentification \u00e0 deux facteurs bas\u00e9e sur SMS comme \u00ab non r\u00e9sistante au phishing \u00bb et recommande les solutions bas\u00e9es sur FIDO2.<\/p>\n Cl\u00e9s de s\u00e9curit\u00e9 FIDO2\/WebAuthn<\/strong> (par exemple, YubiKey, Google Titan) : L’option la plus s\u00fbre. La cl\u00e9 est cryptographiquement li\u00e9e au domaine. M\u00eame si un utilisateur tombe dans un pi\u00e8ge de phishing, la cl\u00e9 ne peut pas authentifier pour le mauvais domaine. Inconv\u00e9nient : co\u00fbt (\u00e0 partir de 25 euros par cl\u00e9) et logistique pour les grandes \u00e9quipes.<\/p>\n Passkeys<\/strong> (FIDO2 sur l’appareil) : Le smartphone ou l’ordinateur portable remplace la cl\u00e9 mat\u00e9rielle. L’authentification biom\u00e9trique (empreinte digitale, Face ID) remplace le PIN. Liaison au domaine comme pour les cl\u00e9s mat\u00e9rielles. Avantage : pas de mat\u00e9riel suppl\u00e9mentaire. Inconv\u00e9nient : d\u00e9pendance du fabricant de l’appareil (Apple, Google, Microsoft).<\/p>\n Applications d’authentification avec correspondance de num\u00e9ro<\/strong> (par exemple, Microsoft Authenticator) : Pas de protection compl\u00e8te contre le phishing, mais nettement meilleure que les SMS. La correspondance de num\u00e9ro oblige l’utilisateur \u00e0 entrer un num\u00e9ro de l’\u00e9cran dans l’application. Les attaques AiTM sont ainsi rendues plus difficiles, mais pas impossibles.<\/p>\n Authentification bas\u00e9e sur les certificats :<\/strong> Certificats clients sur des appareils g\u00e9r\u00e9s. Tr\u00e8s s\u00e9curis\u00e9, mais complexe \u00e0 g\u00e9rer. Sens\u00e9 pour des environnements hautement sensibles comme les op\u00e9rateurs KRITIS et les autorit\u00e9s.<\/p>\n 1. Inventaire :<\/strong> Quelles m\u00e9thodes d’authentification \u00e0 deux facteurs sont actuellement utilis\u00e9es ? Combien d’utilisateurs utilisent encore les SMS ou l’authentification vocale ? Microsoft Entra ID et Google Workspace offrent des rapports \u00e0 ce sujet.<\/p>\n 2. D\u00e9finir un groupe pilote :<\/strong> Les administrateurs IT et les dirigeants en premier. Ces comptes sont les cibles les plus pr\u00e9cieuses et doivent \u00eatre les premiers \u00e0 passer \u00e0 FIDO2 ou aux Passkeys.<\/p>\n 3. Configurer l’acc\u00e8s conditionnel :<\/strong> Dans Microsoft Entra ID<\/a>, les politiques d’acc\u00e8s conditionnel peuvent forcer l’authentification \u00e0 deux facteurs r\u00e9sistante au phishing pour certaines ressources (Authentication Strength : Phishing-resistant MFA).<\/p>\n 4. Planifier les options de secours :<\/strong> Que se passe-t-il si une cl\u00e9 est perdue ? Enregistrer au moins deux cl\u00e9s de s\u00e9curit\u00e9 par utilisateur. Configurer des passes d’acc\u00e8s temporaires (TAP) comme option de secours.<\/p>\n 5. D\u00e9sactiver progressivement l’authentification \u00e0 deux facteurs bas\u00e9e sur SMS :<\/strong> Ne pas d\u00e9sactiver imm\u00e9diatement, mais bloquer par politique les nouvelles inscriptions et migrer les utilisateurs existants avant une date limite. Microsoft propose des rapports \u00ab Authentication Methods Migration \u00bb \u00e0 cet effet.<\/p>\n Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n L’application d’authentification avec correspondance de num\u00e9ro est nettement plus s\u00fbre que les SMS, mais pas enti\u00e8rement r\u00e9sistante au phishing. Les attaques AiTM peuvent intercepter la saisie en temps r\u00e9el. Pour les comptes \u00e0 haut risque (administrateurs, dirigeants, acc\u00e8s aux donn\u00e9es sensibles), le BSI et la CISA recommandent des solutions bas\u00e9es sur FIDO2.<\/p>\n<\/details>\n Les cl\u00e9s mat\u00e9rielles comme YubiKey co\u00fbtent \u00e0 partir de 25 euros pi\u00e8ce. Avec deux cl\u00e9s par utilisateur (principale et de secours), le co\u00fbt pour une entreprise de 100 personnes s\u2019\u00e9l\u00e8ve \u00e0 environ 5 000 euros. Le d\u00e9ploiement est nativement pris en charge dans Microsoft Entra ID et Google Workspace, sans infrastructure suppl\u00e9mentaire n\u00e9cessaire.<\/p>\n<\/details>\n Pour la plupart des entreprises, oui. Les Passkeys offrent la m\u00eame s\u00e9curit\u00e9 cryptographique que les cl\u00e9s FIDO2, mais exploitent l\u2019appareil existant (smartphone, ordinateur portable) au lieu d\u2019un mat\u00e9riel s\u00e9par\u00e9. Le compromis : ils sont li\u00e9s \u00e0 l\u2019appareil et \u00e0 son \u00e9cosyst\u00e8me (Apple, Google, Microsoft). En cas de perte de l\u2019appareil, un processus de r\u00e9cup\u00e9ration doit \u00eatre mis en place.<\/p>\n<\/details>\n L\u2019acc\u00e8s conditionnel est un cadre de strat\u00e9gie dans Microsoft Entra ID (et des syst\u00e8mes similaires) qui applique des r\u00e8gles d\u2019acc\u00e8s selon le contexte. Une entreprise peut ainsi exiger que les administrateurs utilisent FIDO2, que les acc\u00e8s externes soient limit\u00e9s aux appareils g\u00e9r\u00e9s, ou que les sessions de jetons expirent apr\u00e8s quatre heures. Sans acc\u00e8s conditionnel, l\u2019authentification \u00e0 deux facteurs reste une simple case \u00e0 cocher, non une strat\u00e9gie coh\u00e9rente.<\/p>\n<\/details>\n Microsoft Entra ID signale les connexions suspectes AiTM sous \u00ab Connexions \u00e0 risque \u00bb, avec le type de d\u00e9tail de risque \u00ab Jetons anormaux \u00bb. Des alertes de \u00ab voyage impossible \u00bb (connexion depuis deux pays en un laps de temps irr\u00e9aliste) et l\u2019utilisation de jetons de session depuis des adresses IP inconnues constituent \u00e9galement des indicateurs pertinents.<\/p>\n<\/details>\n Plus du r\u00e9seau MBF Media<\/p>\n Source de l’image : Pexels \/ Sora Shimazaki<\/p>\n","protected":false},"excerpt":{"rendered":"59 % des comptes d’entreprise compromis avaient l’authentification \u00e0 deux facteurs activ\u00e9e. La raison : les attaques Adversary-in-the-Middle (AiTM) et le vol de jetons de session rendent le deuxi\u00e8me facteur inefficace. Microsoft signale quotidiennement 40 000 incidents AiTM d\u00e9tect\u00e9s. L’authentification \u00e0 deux facteurs bas\u00e9e sur SMS est d\u00e9sormais consid\u00e9r\u00e9e comme non […]","protected":false},"author":55,"featured_media":5451,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"deuxi\u00e8me facteur","_yoast_wpseo_title":"MFA-Bypass 2026 : Pourquoi votre deuxi\u00e8me facteur ne vous prot\u00e8ge plus","_yoast_wpseo_metadesc":"MFA-Bypass 2026 : Prot\u00e9gez vos comptes malgr\u00e9 le 2FA avec des solutions anti-AiTM. D\u00e9couvrez les failles et renforcez votre s\u00e9curit\u00e9 d\u00e8s maintenant.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["post_id-5453-2","post_id-5453","mfa-bypass-2026-pourquoi-votre-deuxieme-facteur-ne-vous-protege-plus"],"footnotes":""},"categories":[256],"tags":[],"class_list":["post-8121","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr"],"evm_reading_time_minutes":8,"wpml_language":"fr","wpml_translation_of":5453,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/8121","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/55"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=8121"}],"version-history":[{"count":5,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/8121\/revisions"}],"predecessor-version":[{"id":19968,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/8121\/revisions\/19968"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/5451"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=8121"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=8121"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=8121"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}L’essentiel<\/h2>\n
\n
Comment les attaques AiTM contournent l’authentification \u00e0 deux facteurs<\/h2>\n
\nObsidian Security, Recherche sur les attaques bas\u00e9es sur les jetons 2025<\/cite>\n<\/p><\/blockquote>\nPourquoi l’authentification \u00e0 deux facteurs bas\u00e9e sur SMS ne suffit plus<\/h2>\n
Alternatives r\u00e9sistantes au phishing en comparaison<\/h2>\n
Pratique-Checkliste : Mettre en place une authentification \u00e0 deux facteurs r\u00e9sistante au phishing<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
L’application d’authentification suffit-elle comme authentification \u00e0 deux facteurs ?<\/strong><\/summary>\n
Quel est le co\u00fbt de la migration vers les cl\u00e9s de s\u00e9curit\u00e9 FIDO2 ?<\/strong><\/summary>\n
Les Passkeys peuvent-elles remplacer les cl\u00e9s mat\u00e9rielles ?<\/strong><\/summary>\n
Qu\u2019est-ce que l\u2019acc\u00e8s conditionnel et pourquoi est-il crucial pour la s\u00e9curit\u00e9 de l\u2019authentification \u00e0 deux facteurs ?<\/strong><\/summary>\n
Comment d\u00e9tecter les attaques AiTM sur mon entreprise ?<\/strong><\/summary>\n
Conseils de lecture de la r\u00e9daction<\/h2>\n
\n