6 mesures contre la lassitude MFA — ce que nous avons changé après qu’un salarié a validé la 47^e notification

La phrase qui revient toujours, en réunion de retour d’expérience, est celle-ci : « je pensais que c’était un bug ». Le salarié avait refusé les premières notifications. Puis elles ont continué pendant la réunion, pendant le trajet, à deux heures du matin. Au bout d’un moment, il a supposé que le système était détraqué et a validé pour que ça s’arrête.

C’est exactement le résultat recherché. La lassitude MFA — MFA fatigue, ou push bombing — ne casse aucun mécanisme cryptographique. Elle exploite le fait qu’une notification d’approbation est conçue pour être validée d’un geste, et qu’un humain harcelé finit par choisir le geste qui ramène le calme. Voici les six mesures que nous déployons, dans l’ordre où elles apportent le plus de bénéfice.

Le préalable que tout le monde oublie

Avant les mesures, un rappel qui change la façon de traiter l’incident : pour vous envoyer une notification d’approbation, l’attaquant doit déjà posséder un mot de passe valide. La demande d’approbation n’est déclenchée qu’après une authentification par mot de passe réussie.

Autrement dit, quand une campagne de lassitude MFA démarre, vous avez déjà une fuite d’identifiants. C’est une information opérationnelle immédiate : le mot de passe concerné doit être changé, et il faut chercher où il a fuité — réutilisation sur un service tiers compromis, hameçonnage, ou base d’identifiants revendue. Traiter uniquement le symptôme des notifications revient à laisser l’attaquant conserver la moitié du chemin.

Mesure 1 — Supprimer l’approbation simple

C’est la mesure structurelle, et celle qui règle le problème plutôt que de l’atténuer. Tant qu’un geste unique — appuyer sur « Approuver » — suffit à authentifier, l’attaque reste possible : il suffit de provoquer ce geste assez souvent.

La bascule à viser est une méthode où l’utilisateur doit fournir une information qu’il ne peut obtenir qu’en étant réellement devant l’écran de connexion. Les clés matérielles et les méthodes fondées sur des standards d’authentification liés à l’origine du site vont plus loin encore : elles ne se contentent pas de résister à la lassitude, elles rendent l’approbation à distance impossible par construction, et résistent au passage à l’hameçonnage classique.

Objection habituelle, et elle est légitime : le déploiement de clés matérielles sur l’ensemble d’un effectif coûte cher et prend des mois. D’où la mesure 4, qui consiste à ne pas commencer par tout le monde.

Mesure 2 — Activer la correspondance de nombre

Si vous ne pouvez pas supprimer immédiatement l’approbation simple, la correspondance de nombre est le meilleur compromis disponible et s’active généralement depuis la console d’administration de votre fournisseur d’identité. Le principe : l’écran de connexion affiche un nombre, et l’utilisateur doit le saisir sur son téléphone plutôt que de simplement approuver.

L’effet est net. Une notification reçue sans contexte devient inutilisable : l’utilisateur harcelé ne peut plus valider par réflexe, puisqu’il n’a pas le nombre sous les yeux. Le geste automatique n’existe plus, et c’est précisément ce geste que l’attaque cherchait à provoquer.

Deux réserves à garder en tête. La correspondance de nombre ne protège pas contre un hameçonnage en temps réel où la victime est guidée sur un faux écran affichant le bon nombre. Et elle perd son intérêt si vous l’accompagnez d’un message d’aide expliquant « saisissez le chiffre qui vous est communiqué » — formulation qui prépare les utilisateurs à accepter un nombre dicté par téléphone.

Mesure 3 — Limiter le nombre de tentatives

Une attaque par lassitude a besoin de volume. La contrer par un plafond est donc mécaniquement efficace : au-delà d’un certain nombre de demandes refusées ou ignorées dans une fenêtre courte, le compte cesse d’émettre de nouvelles notifications et bascule vers une procédure de déblocage.

Le réglage demande de la mesure. Trop bas, il transforme un utilisateur maladroit en ticket support à chaque déplacement professionnel. Trop haut, il laisse la place à l’épuisement. La règle empirique que nous appliquons consiste à observer d’abord la distribution réelle des tentatives sur un mois, puis à placer le seuil nettement au-dessus du comportement légitime le plus extrême — et non sur une valeur choisie en réunion.

Point souvent négligé : définissez ce qui se passe après le blocage. Si le déblocage repose sur un appel au support qui vérifie l’identité en posant des questions dont les réponses circulent sur les réseaux sociaux, vous avez déplacé la vulnérabilité plutôt que de la supprimer.

Mesure 4 — Traiter d’abord les comptes réellement exposés

Vouloir tout migrer d’un coup est la meilleure façon de ne rien migrer. Nous procédons par cercles. Le premier regroupe les comptes dont la compromission donne accès au reste : administrateurs du fournisseur d’identité, administrateurs de messagerie, comptes disposant de droits sur l’infrastructure. Ceux-là passent en authentification résistante à l’hameçonnage sans discussion et sans exception « temporaire ».

Le deuxième cercle réunit les fonctions ciblées en priorité par les attaquants : direction, finance, ressources humaines, support technique. Le troisième couvre le reste de l’effectif, où la correspondance de nombre et le plafonnement suffisent dans un premier temps.

Ce séquencement a un avantage politique autant que technique : il produit un résultat visible en quelques semaines sur le périmètre qui compte le plus, ce qui rend la suite du programme finançable.

Mesure 5 — Rendre le signalement plus facile que l’approbation

Voici la mesure qui coûte le moins et que presque personne ne met en place. Dans l’incident que je citais en ouverture, le salarié avait refusé les premières demandes. Ce qui a manqué, ce n’est pas la vigilance : c’est un endroit où dire « il se passe quelque chose d’anormal » en dix secondes, à minuit, depuis un téléphone.

Trois éléments à mettre en place. Un canal de signalement unique, connu de tous et accessible depuis un mobile — un numéro, une adresse, un bouton dans l’outil interne, peu importe, à condition qu’il n’y en ait qu’un. Une consigne explicite tenant en une phrase : une demande d’authentification que vous n’avez pas déclenchée se refuse et se signale immédiatement. Et une garantie de non-reproche : la personne qui signale ne doit jamais avoir à se demander si elle va se faire réprimander pour un faux positif.

Ce dernier point est décisif. Dans les organisations où le signalement expose à un interrogatoire, les salariés se taisent et résolvent seuls — et « résoudre seul » une vague de notifications signifie tôt ou tard appuyer sur « Approuver ».

Mesure 6 — Surveiller les refus, pas seulement les succès

La plupart des tableaux de bord d’authentification se concentrent sur les connexions réussies et les échecs de mot de passe. Le signal de la lassitude MFA se trouve ailleurs : dans la séquence de demandes de second facteur refusées ou expirées pour un même compte sur une fenêtre courte.

Ce motif est facile à détecter et remarquablement peu bruyant, parce qu’un utilisateur légitime ne refuse quasiment jamais plusieurs demandes d’affilée. Configurez une alerte dessus, avec un seuil dérivé de vos données réelles, et acheminez-la vers quelqu’un capable d’agir dans l’heure — une alerte qui arrive dans une boîte consultée le lundi ne sert à rien contre une attaque menée un samedi soir.

Prévoyez enfin la réaction associée, écrite à l’avance : suspendre les sessions actives du compte, forcer le changement du mot de passe, contacter la personne par un canal indépendant, puis chercher l’origine de la fuite d’identifiants. Cette logique de journalisation et de réaction rejoint directement les attentes en matière de gestion d’incident détaillées sur notre page audit de périmètre NIS2.

Ce que ces six mesures ne règlent pas

Elles traitent la lassitude, pas l’ensemble des attaques sur l’authentification. Le vol de jeton de session, qui contourne entièrement le second facteur une fois la session établie, demande d’autres réponses. L’hameçonnage en temps réel derrière un relais reste efficace contre la correspondance de nombre. Et l’ingénierie sociale visant le support pour obtenir une réinitialisation reste, dans notre expérience, le chemin le plus emprunté quand le reste est bien verrouillé.

Cela ne diminue pas l’intérêt de ces mesures : la lassitude MFA est fréquente, peu coûteuse pour l’attaquant et efficace. Mais annoncer en comité que le sujet de l’authentification est « réglé » après avoir activé la correspondance de nombre serait inexact. La bonne formulation est plus modeste : une classe d’attaque courante devient nettement plus difficile, pour un coût faible. Sur les risques voisins qui pèsent sur les chaînes de développement et les accès automatisés, les analyses de D-Open et de Plug-Tech complètent utilement ce périmètre.

Questions fréquentes