Se connecter
La MFA est essentielle... mais elle ne suffit pas
Des identifiants non protégés offrent une protection très limitée contre les attaques de compromission de comptes. L'authentification multifacteur (MFA) s'est imposée comme une mesure de sécurité incontournable pour renforcer les contrôles d'accès. Et pour cause : selon une étude de Microsoft, activer la MFA permettrait de bloquer plus de 99% des attaques automatisées par bourrage d'identifiants ou hameçonnage.
Mais même une MFA bien déployée ne comble pas toutes les failles. Les mots de passe faibles, réutilisés ou déjà compromis restent un point d'entrée vulnérable. Lorsqu'un hacker parvient à contourner la MFA, en poussant un utilisateur à approuver une notification frauduleuse ou en exploitant une méthode de secours, ces mots de passe deviennent leur raccourci vers vos systèmes. C'est pourquoi une stratégie de sécurité des identités efficace repose sur une approche multicouche qui doit absolument inclure une MFA solide et une politique de mots de passe rigoureuse, appliquée à chaque point d'accès.
Les avantages de la MFA sont indéniables
Avant d'expliquer pourquoi les mots de passe comptent toujours, rappelons ce que la MFA apporte réellement :
- Une couche de sécurité supplémentaire : Même si un hacker vole ou devine votre mot de passe, il devra encore franchir un second facteur (comme un code à usage unique ou une authentification biométrique) pour finaliser la connexion.
- Résistance à l'hameçonnage (phishing) : Les jetons MFA et les notifications push, rendent les campagnes de vol d'identifiants seules inefficaces.
- Un alignement avec les normes de conformité : Les cadres réglementaires comme le NIST recommandent la MFA pour les systèmes sensibles. La déployer aide à répondre aux exigences de conformité dans les secteurs réglementés (finance, santé, secteur public...).
- Une confiance des utilisateurs : Savoir que leur compte est protégé par autre chose qu'un simple mot de passe rassure les employés comme les clients.
- Maîtrise des coûts : Investir dans la MFA permet d'éviter les coûts liés aux violations : frais juridiques, enquêtes, réputation, etc.
Pourquoi la MFA seule ne suffit pas
Malgré ses atouts, la MFA n'est pas une solution miracle, elle peut être contournée. S'y fier exclusivement peut conduire à négliger le facteur d'authentification le plus basique : le mot de passe. Une défense en multi couches ne fonctionne que si chaque couche est solide. Le mot de passe est le point d'entrée pour déclencher la MFA. S'il est faible, réutilisé, ou déjà connu des hackers, ces derniers n'ont plus qu'un pas à faire pour franchir vos défenses.
Les scénarios d'urgence, appareil perdu ou cassé, jeton oublié, réinitialisation par le support, débouchent souvent sur un accès basé uniquement sur le mot de passe. Sans politique de mot de passe robuste, ces cas deviennent des "failles" faciles à exploiter. Et les comportements utilisateurs ne changent pas du jour au lendemain. De nombreuses entreprises qui déploient la MFA sans former leurs utilisateurs à bien choisir leur mot de passe continuent de voir apparaître des mots de passe faibles ou prévisibles, affaiblissant ainsi l'une des protections les plus fondamentales.
De plus, la MFA elle-même peut être ciblée. Des techniques comme le SIM swapping, le MFA prompt bombing ou l'ingénierie sociale sur les procédures du support peuvent conduire à des connexions frauduleuses.
Cinq tactiques utilisées par les hackers pour contourner la MFA
- Attaques par fatigue MFA (aussi connue comme MFA prompt-bombing). Le hacker déclenche des dizaines de notifications push en rafale jusqu'à ce que la victime clique par lassitude, "juste pour que ça s'arrête".
- Usurpation de carte SIM et détournement de SMS. En s'appuyant sur des codes à usage unique envoyés par SMS, les hackers exploitent les failles des réseaux mobiles pour prendre le contrôle du second facteur.
- Ingénierie sociale auprès du helpdesk. En se faisant passer pour un utilisateur légitime : un hacker convainc le support de désactiver la MFA ou de réinitialiser les identifiants. Exemple : le piratage de grande ampleur de MGM Resorts.
- Détournement de session et vol de jetons. Les cookies et jetons de session peuvent être interceptés par des malwares ou des attaques de type man-in-the-middle, permettant aux hackers de contourner à la fois les mots de passe et la MFA.
- Exploitation des méthodes de secours. Les questions de récupération, les codes de secours ou les réinitialisations par e-mail sont souvent moins rigoureuses que les méthodes MFA principales, offrant un chemin alternatif vers les comptes.
Associer des mots de passe solides à la MFA
Aucun contrôle ne peut à lui seul arrêter toutes les attaques. En combinant une politique stricte de mot de passe avec une MFA robuste sur tous les systèmes critiques (connexions Windows, VPN, bureau à distance, portails cloud, etc.), vous multipliez les obstacles pour les hackers. Même si une couche est contournée, les autres peuvent bloquer ou détecter l'intrusion.
Pour renforcer vos défenses, adoptez ces bonnes pratiques :
- Activez la MFA. Si ce n'est pas déjà fait, commencez ici. Une solution simple comme Specops Secure Access peut protéger la connexion Windows, les VPN et les accès RDP.
- Imposez une longueur et une complexité minimale. Exigez au moins 15 caractères, car la longueur est le meilleur rempart contre les attaques par force brute. Les phrases de passe (passphrases) aident les utilisateurs à créer des mots de passe à la fois forts et mémorisables.
- Bloquez les identifiants compromis connus. Intégrez une vérification en temps réel contre des bases de données de mots de passe issus de fuites. Specops Password Policy empêche la création de mots de passe faibles et scanne en continu votre Active Directory à la recherche de plus de 4 milliards de mots de passe compromis. Essayez gratuitement dès maintenant.
- Protégez votre service desk. Des solutions comme Specops Secure Service Desk ajoutent une MFA secondaire pour vérifier l'identité des personnes contactant le support, évitant ainsi les attaques par ingénierie sociale.
- Surveillez les comportements de connexion inhabituels. Analysez en continu les connexions suspectes en croisant les journaux de mots de passe et de MFA. Repérez les anomalies, comme des connexions depuis des lieux inhabituels ou des appareils non reconnus et déclenchez une authentification renforcée lorsque nécessaire.
L'authentification multifacteur (MFA) réduit considérablement les risques d'accès non autorisé, mais elle ne doit jamais remplacer une gestion stricte des mots de passe. Considérez le mot de passe comme une couche de sécurité essentielle. Mettez en place des politiques exigeant des mots de passe longs, uniques et non compromis, puis ajoutez la MFA comme deuxième ligne de défense critique. Ensemble, ces deux mécanismes forment une stratégie d'authentification robuste, capable de protéger durablement votre organisation et vos utilisateurs finaux. Besoin de conseils sur la sécurité des mots de passe ou la MFA ? Contactez-nous dès maintenant.
Sur le même thème
Voir tous les articles Cybersécurité
Par Clément Bohic
8 min.Par Clément Bohic
Par Kirsty Paine *
Par Philippe Darley *
Par Philippe Leroy
