La MFA résistante au phishing est une méthode d’authentification à étapes qui utilise des clés cryptographiques liées à des sites Web légitimes pour vérifier l’identité d’un utilisateur de manière à éviter toute interception, revoir ou modification sociale.
La plupart des méthodes de MFA — codes SMS, mots de passe à usage unique, notifications push — fonctionnent en générant un secret que l’utilisateur final fournit ensuite à un service. Par exemple, lorsqu’un utilisateur se connecte à son compte bancaire, il peut saisir à la fois un mot de passe et un code à six chiffres envoyé sur son téléphone ou généré par une application d’authentification.
Si ces méthodes de MFA peuvent contribuer à stopper de nombreuses attaques, elles peuvent se heurter à des problèmes de phishing et de cyberattaques qui utilisent des communications trompeuses pour inciter les utilisateurs à révéler leurs identifiants ou à approuver un accès frauduleux.
Les attaques par phishing exploitent le comportement humain plutôt que les vulnérabilités techniques, ce qui peut les rendre plus difficiles à bloquer par la MFA traditionnelle. Les facteurs d’authentification que les attaquants volent ou manipulent sont techniquement valides. Le code est réel, l’approbation est authentique et les identifiants sont corrects. La MFA traditionnelle ne permet pas de faire la différence entre une connexion légitime et une connexion forcée ou interceptée.
Selon l’IBM X-Force Threat Intelligence Index, le phishing est l’un des principaux moyens par lesquels les attaquants obtiennent les identifiants valides qu’ils abusent ensuite. Les comptes volés sont l’un des vecteurs d’attaque initiale les plus courants, représentant 32 % des incidents.
La MFA résistante au phishing permet de mettre fin à ces attaques en fournissant une authentification fondamentalement différente. Au lieu de transmettre un secret, elle utilise la cryptographie à clé publique et une technique appelée liaison d’origine.
La cryptographie à clé publique est une approche cryptographique qui utilise une paire de clés mathématiquement liées, l’une publique et l’autre privée, pour vérifier l’identité sans transmettre de secret partagé.
La liaison d’origine est lorsque l’authentificateur, tel qu’une clé de sécurité ou un mot de passe sur un téléphone, ne répond que lorsqu’il reconnaît le domaine légitime. Si le site est usurpé, l’authentificateur reste silencieux et l’attaquant n’a rien à capturer.
Supposons, par exemple, qu’un employé soit redirigé vers une fausse page de connexion au lieu de la vraie. Leur authentificateur vérifie le domaine, ne trouve aucune correspondance et reste muet, même s’il a déjà saisi ses informations d’identification.
Avec une MFA résistante au phishing, les entreprises peuvent protéger les comptes utilisateurs même lorsque les employés sont pris dans le piège des tentatives de phishing. Elles peuvent également contribuer à satisfaire le nombre croissant de normes et d’exigences réglementaires — émanant d’organismes tels que le National Institute of Standards and Technology (NIST), la Cybersecurity and Infrastructure Security Agency (CISA) et les assureurs en cyberassurance — qui considèrent désormais l’authentification résistante au phishing comme la base d’une authentification forte.
Rejoignez les responsables de la sécurité qui font confiance à la Newsletter Think pour obtenir des informations ciblées autour de l’IA, de la cybersécurité, des données et de l’automatisation. Apprenez rapidement grâce à des tutoriels et des fiches explicatives d’experts, envoyés directement dans votre boîte de réception. Consultez la Déclaration de confidentialité d’IBM.
Le problème avec la plupart des méthodes d’authentification est qu’elles partagent une faiblesse structurelle : elles dépendent d’un secret que l’utilisateur transmet. Lorsque ce secret est en transit, il peut être intercepté, revu ou extorqué par le biais de l’ingénierie sociale.
Chaque type de facteur d’authentification utilisé dans la MFA traditionnelle présente généralement une vulnérabilité spécifique, et les cybercriminels ont créé des boîtes à outils complètes pour les exploiter.
Les codes SMS transitent par l’infrastructure de l’opérateur qui n’a jamais été conçue en tenant compte de la cybersécurité.
Lors d’une attaque par échange de cartes SIM, un attaquant convainc un opérateur de téléphonie mobile, ou un ingénieur social, un employé d’un centre d’appels, de transférer le numéro de téléphone de la victime sur une nouvelle carte SIM. Une fois le numéro porté, tous les SMS sont envoyés à l’attaquant, y compris les codes de MFA.
Les codes SMS sont également exposés aux vulnérabilités SS7 — des faiblesses vieilles de plusieurs décennies dans le protocole de signalisation que les fournisseurs de télécommunications utilisent encore pour acheminer les messages entre les réseaux. Les vulnérabilités SS7 peuvent permettre aux attaquants d’intercepter ou de rediriger les SMS au niveau du réseau, sans avoir besoin d’accéder à l’appareil de la victime ou au compte de son opérateur. Les attaques basées sur le SS7 peuvent être encore plus difficiles à détecter qu’un échange de cartes SIM.
Les applications d’authentification utilisent des mots de passe à usage unique (OTP) pour vérifier l’identité d’un utilisateur lors de la connexion. Les OTP sont souvent plus difficiles à intercepter en transit car ils sont générés localement sur l’appareil de l’utilisateur au lieu d’être envoyés sur un réseau téléphonique. Mais ils restent vulnérables aux attaques man-in-the-middle (MitM) dans lesquelles un cybercriminel se place secrètement entre l’utilisateur et le service légitime pour intercepter et transmettre les identifiants en temps réel.
Les attaques MitM se produisent lorsqu’un acteur malveillant installe un serveur proxy entre la victime et la vraie page de connexion. La victime clique alors sur un lien provenant d’une attaque de phishing et atterrit sur ce qui semble être la véritable page de connexion, car c’est effectivement le cas, mais elle est simplement reflétée par le proxy de l’attaquant. La victime saisit son nom d’utilisateur, son mot de passe et son OTP. Le proxy relaie tout au service authentique, qui valide le code et renvoie un token de session. Le proxy capture ce token et le transmet à l’attaquant. Le mot de passe à usage unique était valide ; il a simplement été utilisé par la mauvaise personne, sur le mauvais site.
Les kits de phishing qui automatisent tout ce processus sont désormais vendus comme services sur le dark web, tout comme des quantités considérables d’identifiants volés. Les cybercriminels n’ont pas besoin de créer leurs propres outils. Ils peuvent acheter l’accès aux comptes d’utilisateurs et aux données sensibles de la même manière qu’une entreprise achète un logiciel.
Les notifications push peuvent simplifier le processus d’authentification, permettant aux utilisateurs d’appuyer sur « Approuver » sur leur téléphone au lieu de saisir un code. Cependant, cette simplicité peut créer une vulnérabilité connue sous le nom d’attaque par notifications push.
L’attaque fonctionne comme suit : un cybercriminel qui possède déjà des identifiants volés lance des demandes d’approbation à plusieurs reprises, parfois pendant une heure ou plus. Pour que les interruptions cessent — ou en croyant qu’elles sont réelles — la cible appuie sur « Approuver », donnant à l’attaquant accès à son compte.
L’ingénierie sociale peut poursuivre l’attaque. Les pirates peuvent envoyer des messages via WhatsApp ou Teams en se faisant passer pour des responsables de la sécurité informatique, avertissant la victime de tentatives de connexion inhabituelles sur son compte et lui demandant d’approuver la notification.
L’IA générative a rendu ces cybermenaces plus difficiles à détecter. Les attaquants peuvent désormais rédiger des messages qui font référence à des projets réels en cours, qui imitent les styles de notification informatique de l’entreprise et qui correspondent à la langue de la cible. Des capacités qui exigeaient encore il y a quelques années un effort humain sophistiqué et qui peuvent désormais être automatisées et rationalisées.
La principale différence entre l’authentification multifacteur traditionnelle et l’authentification multifacteur résistante au phishing réside dans ce qui traverse le réseau. L’authentification traditionnelle envoie un secret partagé — un code — de l’utilisateur au serveur. Toute personne capable d’intercepter ou de transmettre ce code peut l’utiliser. L’authentification résistante au phishing élimine totalement le secret partagé.
Le processus d’authentification utilise plutôt un protocole de défi-réponse basé sur la cryptographie à clé publique. L’appareil de l’utilisateur détient une clé privée qui ne quitte jamais l’appareil. Le service possède la clé publique correspondante. Lorsque l’utilisateur se connecte, le service envoie un défi aléatoire. L’appareil le signe avec la clé privée. Le service vérifie la signature par rapport à la clé publique. Si cela correspond, l’utilisateur est authentifié et il n’y a rien dans cet échange qu’un attaquant puisse voler ou revoir.
Les deux approches les plus courantes sont FIDO2 et l’authentification par certificat basée sur l’infrastructure à clé publique (PKI). Toutes deux reposent sur la cryptographie à clé publique, mais diffèrent par la manière dont elles sont mises en œuvre et par l’endroit où elles sont généralement déployées. En d’autres termes, la cryptographie est la principale méthode, et FIDO2 et PKI sont les deux méthodes les plus courantes utilisées par les entreprises pour la mettre en œuvre.
Les authentificateurs, c’est-à-dire le token physique ou logiciel avec lequel un utilisateur interagit, se présentent sous différentes formes selon l’approche. Les clés de sécurité et les clés d’accès sont courantes pour FIDO2, tandis que les cartes à puce sont courantes pour l’authentification par certificat basée sur une PKI.
FIDO2 est un ensemble de normes d’authentification ouvertes maintenues par l’Alliance FIDO et le World Wide Web Consortium (W3C).
Il se compose de deux protocoles : WebAuthn, l’API du navigateur utilisée par les sites Web pour demander l’authentification cryptographique, et le CTAP (Client to Authenticator Protocol), qui permet aux authentificateurs externes de communiquer avec les navigateurs et les systèmes d’exploitation.
Lorsqu’un utilisateur s’inscrit à un service compatible FIDO2, son authentificateur génère une paire de clés. La clé privée reste sur l’authentificateur. La clé publique est transmise au service. Cette paire de clés est également liée au domaine spécifique (origine) du service — par exemple, « login.example.com ».
Lorsque l’utilisateur essaie de se connecter, le navigateur vérifie le domaine du site par rapport à l’origine enregistrée. Sur « login.example.com », les domaines correspondent et l’authentificateur répond.
Sur « login-example.com » — potentiellement suffisamment proche pour hameçonner un humain, mais pas une correspondance : l’authentificateur reste silencieux. L’utilisateur final n’a pas besoin de déterminer si une URL semble légitime. Le protocole d’authentification FIDO gère cela automatiquement.
Une infrastructure à clé publique (PKI) utilise des certificats numériques émis par une autorité de certification de confiance. Le processus d’authentification suit le même schéma défi-réponse que FIDO2 : le service envoie un défi, le dispositif physique le signe, le service vérifie la signature. Aucun secret ne franchit la frontière.
L’authentification basée sur PKI est la norme au sein du gouvernement fédéral et de la défense depuis des décennies. Les cartes à puce — cartes physiques avec une puce intégrée qui stocke les identifiants et authentifient l’utilisateur lorsqu’elles sont insérées dans un lecteur de cartes ou placées contre un lecteur — respectent des exigences strictes en matière d’assurance d’identité.
Si les cartes à puce constituent l’authentificateur PKI le plus courant, elles ne sont pas les seules. Les certificats PKI peuvent également être stockés sur des tokens USB ou gérés par logiciel. Dans les déploiements gouvernementaux et en entreprise, les cartes à puce sont généralement préférées car elles offrent une protection matérielle pour la clé privée.
D’autres secteurs disposant d’une infrastructure sur site et d’exigences réglementaires strictes, tels que les soins de santé, les services financiers et les services juridiques, ont souvent recours aux cartes à puce pour les mêmes raisons.
Pour les organisations qui développent à partir de zéro, FIDO2 est généralement le choix privilégié, car il nécessite beaucoup moins de frais généraux opérationnels.
Les authentificateurs sont les dispositifs physiques ou les mécanismes logiciels avec lesquels les utilisateurs interagissent pour mener à bien le processus d’authentification. En d’autres termes, la mise en œuvre pratique des normes FIDO2 et PKI.
Le bon facteur de forme dépend du niveau de risque, de l’infrastructure existante et des compromis qu’une entreprise est prête à accepter en matière d’expérience. Bon nombre de grandes entreprises finissent par en utiliser plusieurs.
Voici les types d’authentification les plus courants :
Les clés de sécurité matérielles sont des dispositifs physiques, tels que YubiKey ou Google Titan Key, qui stockent les clés cryptographiques dans un matériel inviolable. Ils se connectent par USB ou par communication en champ proche (NFC), par exemple en tapant un porte-clés contre un téléphone ou en plaçant une carte sans contact sur un lecteur.
Comme la clé privée est générée par la puce inviolable de la clé et n’est jamais exportée (même pendant l’authentification), un attaquant doit être physiquement en possession de l’appareil pour le compromettre. Les attaques à distance sont effectivement impossibles. Le coût opérationnel est celui de la distribution : les entreprises doivent les expédier, les stocker et les remplacer. Pour de nombreux rôles à haut risque (administrateurs système, développeurs ayant accès à la production), ce coût peut se justifier.
Les authentificateurs de plateforme utilisent les capteurs biométriques et le matériel sécurisé intégré aux ordinateurs portables et aux appareils mobiles, comme un lecteur d’empreintes digitales ou une caméra de reconnaissance faciale.
La clé privée réside dans l’enclave sécurisée ou le Trusted Platform Module (TPM) de l’appareil, ce qui signifie qu’il n’y a pas de matériel supplémentaire à transporter. L’utilisateur doit vérifier son identité localement, soit par empreinte digitale, soit par reconnaissance faciale, soit par code PIN de l’appareil. La vérification locale déverrouille la clé privée - elle ne remplace pas le processus cryptographique - qui signe ensuite le défi d’authentification.
La limite de l’authentification par plateforme est que l’authentification est liée à la machine qui détient la clé.
Les clés d’accès sont des identifiants cryptographiques stockés nativement sur l’appareil de l’utilisateur et qui remplacent entièrement les mots de passe. Comme les autres authentificateurs FIDO2, elles utilisent une clé privée qui ne quitte jamais l’appareil pour signer les défis d’authentification, l’utilisateur vérifiant son identité à l’aide d’un code biométrique ou d’un code PIN de l’appareil.
Contrairement aux clés de sécurité matérielles, les clés d’accès peuvent synchroniser les informations d’identification entre les appareils mobiles par l’intermédiaire d’un fournisseur de services cloud, tel qu’Apple, Google ou Microsoft. Un utilisateur qui enregistre une clé de sécurité sur son téléphone peut également s’authentifier sur son ordinateur portable, à condition que les deux soient connectés au même compte.
L’expérience d’authentification sans mot de passe est plus fluide que toute autre méthode résistante au phishing : pas de mot de passe à retenir, à réinitialiser ou à perdre en cas d’attaque de phishing. La mise en garde concerne la dépendance à l’égard de la plateforme : les clés d’accès ne sont pas toujours facilement portables d’un écosystème à l’autre.
Les cartes à puce, telles que PIV, CAC et cartes similaires basées sur PKI, sont le principal type d’authentification pour les déploiements PKI. Elles fournissent un stockage matériel inviolable pour la clé privée dans un format portable. Les mandats fédéraux concernant les cartes PIV et CAC ont également créé des décennies d’infrastructures bien établies autour de ces cartes.
Les cartes à puce nécessitent des lecteurs de cartes et un intergiciel sur chaque poste de travail, ainsi qu’une infrastructure principale de gestion des certificats.
Leur encombrement est plus important que celui de FIDO2, mais la technologie est mature et profondément ancrée dans les environnements gouvernementaux et industriels réglementés.
La MFA résistante au phishing répond au problème du phishing et du vol d’identifiants à la source — en rendant les identifiants volés inutiles — tout en soutenant des objectifs plus larges de cybersécurité et de conformité.
Voici les principaux avantages de la MFA résistante au phishing :
L’authentification résistante au phishing permet d’éliminer les types d’attaques qui ont rendu les solutions de MFA traditionnelles de plus en plus insuffisantes en tant que mesures de sécurité.
Les attaques par permutation SIM ne fonctionnent pas, car il n’y a pas de code SMS à intercepter. Les attaques de type « man-in-the-middle » ne fonctionnent pas, car il n’y a pas d’OTP à relayer. Les attaques par notification push ne fonctionne pas parce que la manipulation n’est pas autorisée.
Même si les cybercriminels obtiennent le mot de passe d’un utilisateur, ils ne peuvent pas accéder à un compte ou à des données sensibles sans le dispositif physique contenant la clé privée.
Le zero trust repose sur l’hypothèse qu’aucun utilisateur ou appareil ne devrait être implicitement digne de confiance — chaque décision de contrôle d’accès est vérifiée. Mais ce modèle s’effondre si le mécanisme de vérification lui-même peut être contourné par un e-mail convaincant et une page de connexion usurpée.
La MFA résistante au phishing contribue à combler cette lacune, en permettant la vérification continue requise par la sécurité Zero Trust.
La CISA qualifie la MFA résistante au phishing de référence en matière d’authentification, et de nombreux organismes de réglementation et de normalisation ont officialisé cette position.
La publication spéciale 800-63-4 du NIST, finalisée en 2025, rend obligatoire l’authentification résistante au phishing au niveau Authenticator Assurance Level 3, exigeant des clés privées liées au matériel et non exportables pour les cas d’utilisation à haute assurance.
Le mémorandum M-22-09 du Bureau américain de la gestion et du budget oblige actuellement les agences du gouvernement fédéral à déployer une MFA résistante au phishing pour le personnel, les sous-traitants et les partenaires.
Au-delà des exigences gouvernementales, les entreprises s’intéressent de plus en plus à la qualité de la MFA, et pas seulement à sa présence. Des programmes comme PCI DSS définissent explicitement la MFA résistante au phishing, et de nombreux cyberassureurs s’interrogent désormais sur la solidité de la MFA lors de la souscription.
La MFA résistant au phishing peut sembler créer de la friction. En pratique, les clés d’accès et les authentificateurs de plateforme la réduisent souvent. Il est souvent plus rapide d’appuyer sur un lecteur d’empreintes digitales que d’ouvrir une application mobile, de copier un OTP à six chiffres et de le saisir avant qu’il n’expire.
L’authentification sans mot de passe, où le mot de passe ou la clé de sécurité remplace entièrement le mot de passe, peut aller encore plus loin : aucun mot de passe à oublier, à réinitialiser ou à transmettre à une page de phishing. La fonctionnalité que les utilisateurs finaux perdent est le mot de passe. Ils y gagnent une expérience d’authentification souvent plus rapide et plus sûre.
Le MFA résistante au phishing fonctionne rarement de manière isolée. Elle s’inscrit généralement dans une architecture de gestion des identités et des accès (IAM) plus large, qui comprend plusieurs couches.
Les politiques d’accès conditionnel ajoutent du contexte aux décisions d’authentification. Plutôt que de traiter chaque connexion de manière identique, ces politiques évaluent les signaux — état de l’appareil, localisation réseau, comportements des utilisateurs — et ajustent les exigences en conséquence.
Par exemple, un employé qui se connecte à partir d’un appareil géré sur le réseau de l’entreprise peut s’authentifier en tapant un seul mot de passe. Un même employé se connectant depuis un appareil inconnu dans un nouveau pays pourrait être soumis à des étapes de vérification supplémentaires.
Du côté défensif, la détection et la réponse des points d’accès (EDR) détectent les menaces qui échappent à la portée de la MFA. La MFA résistante au phishing aide à prévenir le vol d’identifiants sur la page de connexion, mais les malwares infostealer sur un appareil compromis peuvent toujours collecter des tokens de session, des identifiants mis en cache et d’autres informations sensibles.
Les flux de renseignements sur les menaces complètent les deux niveaux en identifiant l’infrastructure de phishing, en signalant les URL malveillantes, les domaines usurpés et les serveurs de commande et de contrôle connus avant que les utilisateurs n’accèdent à une fausse page de connexion.