Nos mots de passe et codes multifacteur sont-ils obsolètes ?

Les attaquants contournent désormais la double authentification via des techniques qui interceptent le jeton de session en se plaçant entre l'utilisateur et le service légitime.

Depuis plusieurs années, le message des experts en cybersécurité semblait clair : activez l'authentification à deux facteurs et vous serez protégés. Des millions d'entreprises et de particuliers ont suivi ce conseil. Et cette protection est bien réelle. Jusqu'à ce que les attaquants s'adaptent.

Une technique documentée par les chercheurs d'ESET, baptisée EvilTokens, illustre cette évolution. Le principe est simple. Au lieu de chercher à voler votre mot de passe ou à contourner votre code OTP, l’attaquant s'insère entre vous et le service d'authentification légitime. Il vous présente une vraie page de connexion Microsoft ou Google, intercepte le jeton de session au moment où vous vous connectez, et utilise ce jeton pour accéder à votre compte. Sans jamais connaître votre mot de passe, sans déclencher d'alerte. Le comble : l'attaque fonctionne même si vous avez activé le double facteur.

Ce type de technique, connu sous le nom d'Adversary-in-the-Middle (AiTM), n'est pas une curiosité de laboratoire. Depuis mars 2024, des campagnes exploitant une variante proche, le device code phishing, ont été détectées sur des environnements Microsoft 365 en Europe. Le jeton volé peut rester valide des jours entiers si personne ne révoque manuellement l'accès.

La conséquence la plus immédiate concerne la messagerie professionnelle et les outils collaboratifs associés. Quand un attaquant prend le contrôle d'une boîte email, il n'y cherche pas seulement des données sensibles. Il y trouve les accords commerciaux, les coordonnées bancaires, les mots de passe en clair envoyés par négligence, les échanges RH. Il y trouve aussi une identité à usurper, à destination de fournisseurs, de collaborateurs, de collègues. Avec cette identité, il peut déclencher des virements frauduleux, compromettre d'autres comptes, ou préparer une attaque à plus grande échelle en prenant le temps d'observer les habitudes de l'organisation.

Si votre compte email était compromis ce soir, combien de temps faudrait-il à votre équipe cyber pour s'en apercevoir ? Dans la plupart des PME, la réponse honnête est plusieurs jours, parfois plusieurs semaines. C'est plus que le temps dont l'attaquant a besoin pour causer un préjudice significatif.

Face à cette évolution, plusieurs mesures concrètes existent. La première est d'opter, quand c'est possible, pour des méthodes d'authentification résistantes au phishing, comme les clés de sécurité physiques (passkeys, FIDO2) plutôt que les SMS ou les applications TOTP classiques. Ces méthodes ne transmettent pas de jeton interceptable. La deuxième est de surveiller les connexions inhabituelles, notamment les accès depuis des localisations inattendues ou les sessions ouvertes depuis des appareils inconnus. La troisième est de former les collaborateurs non pas à reconnaître de fausses pages de connexion, ce qui devient de plus en plus difficile, mais à adopter des réflexes de signalement quand quelque chose semble inhabituel.

La réglementation européenne pousse dans ce sens. NIS2, qui s'applique désormais à un large spectre d'entreprises en France, impose des exigences renforcées en matière de gestion des identités et de détection des incidents. La transposition française est en cours. Pour autant et pour les entreprises, la conformité réglementaire ne devrait pas être le seul moteur, la technique s'améliore plus vite que les calendriers législatifs et le risque pour le business est bien réel.

Il est temps de sortir de l'idée que l'authentification forte est une case à cocher une fois pour toutes. Elle reste nécessaire. Elle n'est plus suffisante.

La fragilité n'est pas d'être attaqué. C'est de ne pas le savoir à temps.