Toutes les MFA ne se valent pas : passer à une authentification résistante au phishing

En bref : Les MFA par SMS et notifications push bloquent encore les attaques de masse, mais les kits de phishing modernes parviennent à les contourner. Les facteurs résistants au phishing, tels que les clés d’accès et les clés matérielles, comblent la faille laissée par les codes à usage unique.

La MFA a relevé le niveau de sécurité — puis les attaquants se sont adaptés

L’authentification multifacteur a considérablement réduit le taux de réussite du bourrage d’identifiants, et ce progrès est bien réel. Mais les adversaires se sont tournés vers des proxys de phishing en temps réel et des attaques par saturation de MFA, qui interceptent les codes à usage unique ou épuisent l’utilisateur à force de demandes push jusqu’à ce qu’il en approuve une.

La faiblesse réside dans le secret partagé : tout facteur qu’un utilisateur peut lire et saisir à nouveau peut être relayé par un attaquant.

Ce que signifie réellement « résistant au phishing »

• Des identifiants liés à l’origine, afin qu’un domaine similaire ne puisse pas les relayer.
• Une preuve cryptographique de possession plutôt qu’un code copié par l’utilisateur.
• Les clés d’accès et les clés matérielles FIDO2 comme options largement disponibles les plus robustes.
• Les notifications push et les SMS conservés uniquement comme solutions de secours, jamais comme seul facteur pour les accès privilégiés.

Un déploiement pragmatique

Vous n’avez pas besoin de tout révolutionner d’un seul coup. Commencez par les comptes les plus importants — administrateurs, équipes financières et toute personne habilitée à approuver des changements — et exigez d’abord des facteurs résistants au phishing pour ces comptes. Étendez ensuite la couverture à mesure que les outils d’inscription et la prise en charge des appareils progressent.

Les contrôles de posture de KENSAI vous permettent de repérer les accès sensibles qui dépendent encore d’une authentification faible, afin que le déploiement cible les risques réels plutôt que de reposer sur des suppositions.

Déployer la solution sans perturber les utilisateurs

Les méthodes résistantes au phishing, telles que les clés d’accès et les clés de sécurité matérielles, contrent les attaques auxquelles les notifications push et les codes à usage unique restent vulnérables, car il n’existe aucun secret partagé qu’une fausse page pourrait intercepter. La migration relève autant de la gestion du changement que de la technologie.

Commencez par les comptes présentant les risques les plus élevés, notamment ceux des administrateurs et de toute personne pouvant déplacer de l’argent ou des données, puis élargissez progressivement la couverture. Enregistrez une clé de secours pour chaque utilisateur, définissez une procédure de récupération validée et elle-même résistante au phishing, puis mesurez l’adoption afin de pouvoir désactiver les méthodes de secours faibles en toute confiance, plutôt que sur la base de suppositions.

À retenir

La MFA est nécessaire, mais elle ne suffit plus à elle seule. Les facteurs résistants au phishing éliminent le secret susceptible d’être relayé, et leur déploiement prioritaire sur les comptes à privilèges élevés permet de réduire les risques au maximum et dans les meilleurs délais.