La montée des attaques ciblant les smartphones impose une vigilance renouvelée dans le secteur High-Tech. Les entreprises constatent une exploitation croissante de la vulnérabilité liée à la multiplication des demandes d’authentification.
Votre téléphone professionnel peut recevoir une pluie d’alertes MFA sans rapport avec vos actions habituelles, signe probable d’une cyberattaque. Ce constat appelle une synthèse opérationnelle sous la rubrique A retenir :
A retenir :
- Ne jamais approuver une notification push non sollicitée par inadvertance
- Préférer codes TOTP ou clés physiques pour comptes sensibles
- Mettre en place number matching et seuils de blocage automatique
- Former régulièrement les collaborateurs aux signes d’un bombardement MFA
Après la synthèse, Fatigue MFA : définition et mécanisme
Comment fonctionne le MFA bombing et ses étapes
Le scénario débute par le vol d’identifiants via phishing ou fuite de données, souvent externalisé sur le dark web. Ensuite l’attaquant lance un bombardement de tentatives pour déclencher des notifications MFA répétées sur le téléphone ciblé.
Cette pratique vise à provoquer la fatigue de l’utilisateur, puis son erreur d’approbation involontaire, accordant finalement l’accès à l’agresseur. Selon l’ANSSI, ce mode d’attaque illustre l’exploitation du facteur humain plutôt que d’un contournement purement technique.
Mesure
Description
Résistance au MFA bombing
Notifications push
Demande d’approbation en temps réel sur smartphone
Moyenne
Codes TOTP
Code généré localement par une application d’authentification
Élevée
Clés physiques (FIDO2)
Device matériel nécessitant présence physique pour valider
Très élevée
Number matching
Correspondance d’un nombre affiché sur l’écran lors de la validation
Élevée
« J’ai vu mon collègue approuver une requête après des dizaines de notifications successives. »
Marc N.
Signes d’alerte immédiats et détection rapide
Un signal typique est la réception d’un grand nombre de notifications en très peu de temps, souvent depuis des lieux étrangers à votre routine. Un autre indicateur est l’absence de tentative de connexion initiée par l’utilisateur, ce qui rend suspect tout flux massif d’alertes.
Si plusieurs collègues reçoivent des demandes similaires, l’événement peut constituer une campagne ciblée contre votre organisation et justifier une réponse coordonnée. Selon CERT-FR-2025-CTI-012, la corrélation d’événements augmente la probabilité d’un incident grave.
Checklist urgence :
- Ne pas approuver sous aucune circonstance
- Contacter immédiatement le service informatique par un canal alternatif
- Changer le mot de passe depuis un appareil sécurisé
- Documenter l’incident pour analyse postérieure
Conséquence directe : Fatigue MFA et risques pour les organisations
Impact opérationnel et réputationnel pour les entreprises
Une compromission par MFA bombing peut débloquer des comptes administrateur et provoquer une fuite de données sensible, perturbant les services critiques. L’incident Uber en 2022 illustre comment une simple approbation involontaire a permis un accès étendu aux outils internes de l’entreprise.
Selon InformatiqueNews, la meilleure prévention consiste souvent à limiter l’usage des notifications push et à privilégier des mécanismes moins sujets aux erreurs humaines. Cette approche réduit la surface d’attaque tout en maintenant un niveau de sécurité opérationnel.
Méthode
Avantages
Limites
Résistance au phishing
Push
Pratique pour l’utilisateur
Sensible au spam d’alertes
Moyenne
TOTP
Indépendant du réseau
Perte possible de l’appareil
Élevée
Clé matériel
Protection forte contre phishing
Coût d’achat et déploiement
Très élevée
FIDO2
Connexion sans mot de passe possible
Nécessite compatibilité des services
Très élevée
« Dans notre PME, le passage aux codes TOTP a stoppé presque tous les incidents de push malveillants. »
Émilie N.
Mesures techniques préconisées par l’ANSSI et bonnes pratiques
L’ANSSI recommande d’activer des mécanismes comme le number matching et des seuils de blocage après tentatives répétées, afin de contrer le bombardement. Selon l’ANSSI, ces réglages réduisent considérablement les réussites d’attaques basées sur la fatigue.
Les administrateurs doivent aussi déployer des politiques d’accès conditionnel pour limiter les connexions depuis des zones à risque ou des appareils non conformes. Ces règles organisent la protection et diminuent la probabilité d’accès frauduleux.
Mesures organisationnelles :
- Former annuellement l’ensemble des collaborateurs
- Simuler des scénarios de bombardement en exercices
- Mettre en place procédures d’escalade claires
- Surveiller les logs pour corrélation d’événements
Pour aller plus loin : Renforcer la protection contre la fatigue MFA
Bonnes pratiques utilisateur et exemples concrets
Les utilisateurs doivent privilégier les codes TOTP et les clés physiques pour les comptes sensibles, réduisant les risques d’erreur par fatigue. Un employé bien formé devient une barrière humaine capable d’identifier et d’arrêter une tentative d’intrusion.
Un cas concret : une équipe financière a remplacé les notifications push par des clés FIDO2, éliminant quasiment les incidents liés à l’approbation intempestive. Selon CERT-FR-2025-CTI-012, ces changements sont des leviers efficaces pour la protection organisationnelle.
« Après l’adoption des clés matérielles, notre taux d’événements critiques a chuté significativement. »
Paul N.
Rôle des équipes IT et outils à privilégier
Les équipes IT doivent activer number matching, configurer seuils de blocage et surveiller les flux de tentatives anormales pour limiter l’impact. L’automatisation de ces règles permet une réponse rapide sans intervention humaine initiale.
Outils à privilégier incluent solutions d’authentification compatibles FIDO2, systèmes d’accès conditionnel et plateformes de gestion des incidents. Une politique technique combinée à la formation offre la meilleure protection possible contre la menace.
Plans de déploiement :
- Évaluer les comptes critiques et prioriser les protections
- Déployer progressivement les clés physiques pour administrateurs
- Mettre en place audits réguliers des configurations MFA
- Intégrer le MFA bombing aux exercices de sécurité
« La prévention a commencé par une formation courte et répétée, qui a rassuré toute l’équipe. »
Claire N.
« L’avis de notre RSSI : préférer FIDO2 pour les comptes sensibles et TOTP pour le reste. »
Henri N.
Source : ANSSI, « CERTFR-2025-CTI-012 », ANSSI, 2025 ; InformatiqueNews, « Comment déjouer les attaques par ‘MFA Fatigue’ », InformatiqueNews.fr.
