L’authentification multifactorielle (MFA) repose sur la combinaison d’au moins deux preuves d’identité distinctes avant d’accorder un accès : un mot de passe, un appareil physique, une empreinte biométrique. Cette superposition de facteurs complique la tâche d’un attaquant qui aurait compromis un seul élément.
Depuis la finalisation du NIST SP 800-63-4 en 2025, les exigences de résistance au phishing occupent une place centrale dans les contextes à forte assurance, ce qui accélère l’adoption du MFA en entreprise bien au-delà du simple code SMS.
MFA résistant au phishing : ce que le code SMS ne couvre plus
La plupart des guides présentent le MFA comme un bloc homogène. En pratique, tous les facteurs ne se valent pas face aux techniques d’attaque actuelles.
Un code à usage unique envoyé par SMS ou généré par une application reste vulnérable aux attaques de relais en temps réel. L’attaquant intercepte le code au moment même où la victime le saisit sur un site contrefait, puis le rejoue sur le service légitime. Ce scénario rend obsolète la protection que le SMS était censé apporter.
Le MFA résistant au phishing repose sur une liaison cryptographique entre le facteur d’authentification et le service légitime. Les clés de sécurité FIDO2 et les passkeys vérifient automatiquement le domaine du site avant de transmettre la réponse. Aucun code n’est affiché, donc aucun code ne peut être intercepté ou ressaisi sur un faux domaine.
Cette distinction entre MFA classique et phishing-resistant MFA structure désormais les recommandations du NIST SP 800-63-4. Pour les accès à forte assurance (comptes administrateurs, données sensibles), le standard exige explicitement des méthodes résistantes au phishing.
Push fatigue et attaques par notification : un vecteur sous-estimé en entreprise
Les notifications push d’approbation, largement déployées pour leur simplicité, génèrent un autre risque. L’attaque dite de push fatigue consiste à bombarder un utilisateur de demandes d’authentification jusqu’à ce qu’il approuve par lassitude ou par erreur.
Ce vecteur exploite la psychologie plus que la technique. Un salarié qui reçoit dix notifications en quelques minutes finit souvent par appuyer sur « Approuver » pour faire cesser les alertes, surtout en dehors des heures de bureau.
Plusieurs mesures réduisent ce risque :
- Le number matching oblige l’utilisateur à saisir un code affiché sur l’écran de connexion, ce qui empêche l’approbation aveugle d’une notification non sollicitée.
- La limitation du nombre de tentatives push par fenêtre de temps bloque les bombardements avant qu’ils n’atteignent le seuil de fatigue.
- Le passage progressif aux passkeys ou clés FIDO2 supprime entièrement le mécanisme de notification push pour les comptes les plus exposés.
Ces ajustements ne demandent pas de refonte complète de l’infrastructure MFA existante, mais ils changent la posture de sécurité de manière significative.
Fin programmée du SMS comme second facteur : calendrier et impact
Microsoft a annoncé le retrait progressif de l’authentification par SMS dans Entra (anciennement Azure AD). Ce signal de la part d’un acteur majeur du marché pousse les entreprises à anticiper la migration vers des méthodes plus robustes.
Le retrait du SMS ne signifie pas que le MFA disparaît. Il signifie que le facteur le plus faible sort du périmètre recommandé. Les organisations qui s’appuient encore exclusivement sur les codes par message texte doivent planifier une transition, en commençant par les comptes à privilèges élevés.
Prioriser la migration par niveau de risque
Migrer l’ensemble des utilisateurs d’un coup génère de la friction et des tickets de support. Une approche par paliers réduit la résistance interne :
- Les comptes administrateurs et les accès aux systèmes critiques basculent en premier vers des clés FIDO2 ou des passkeys.
- Les comptes utilisateurs standards passent ensuite à une application d’authentification avec number matching, en remplacement du SMS.
- Les comptes de service et les accès machine adoptent des certificats ou des mécanismes d’authentification sans intervention humaine.
Ce séquençage aligne le calendrier de migration sur le niveau d’exposition réel de chaque catégorie de comptes.
Convergence réglementaire européenne vers le MFA renforcé
La directive NIS 2, applicable aux entités dites « importantes » et « importantes » dans l’Union européenne, impose des mesures de gestion des risques cyber qui incluent explicitement le contrôle d’accès renforcé. La CNIL a publié des recommandations encadrant le recours au MFA dans le respect du RGPD, en rappelant que la collecte de données biométriques pour l’authentification doit rester proportionnée à la sensibilité des accès protégés.
Cette convergence entre NIS 2, RGPD et normes NIST crée un cadre dans lequel le MFA résistant au phishing n’est plus une option technique mais une exigence de conformité pour de nombreux secteurs. Les entreprises qui traitent des données de santé, des données financières ou qui opèrent des infrastructures critiques sont les premières concernées.
Ce que cela change pour les équipes IT
L’obligation réglementaire simplifie paradoxalement la discussion budgétaire. Quand le MFA renforcé devient une condition de conformité, la question n’est plus de justifier le coût du déploiement mais d’expliquer le risque juridique et financier de ne pas l’implémenter.
Les équipes IT gagnent aussi un levier pour accélérer le remplacement de méthodes obsolètes. Un audit de conformité qui pointe l’absence de MFA résistant au phishing sur les comptes administrateurs constitue un argument opérationnel difficile à ignorer.
Le MFA reste un mécanisme de défense en couches, pas une solution unique. Sa valeur dépend directement du type de facteur déployé et du contexte d’accès qu’il protège. Les organisations qui traitent le MFA comme une case à cocher (SMS activé, sujet clos) s’exposent aux mêmes attaques que celles qui n’en ont pas du tout, avec un faux sentiment de protection en prime.
