Comment contourne-t-on un MFA en 2026 ?
Réponse courte : on ne le contourne pas techniquement, on demande à quelqu'un de le désactiver. Les campagnes d'intrusion les plus rentables de ces deux dernières années reposent sur un appel au service d'assistance, où l'attaquant se fait passer pour un employé et obtient une réinitialisation de mot de passe ou une réinscription du second facteur. Le reste (hameçonnage relayé en temps réel et vol de cookie de session) s'occupe des cas où le MFA n'est pas résistant au hameçonnage.
C'est un renversement complet de la logique défensive. Pendant vingt ans, la sécurité s'est concentrée sur le périmètre technique. Les intrusions les plus médiatisées de la période récente (chaînes de distribution britanniques, opérateurs télécoms, plateformes infonuagiques) n'ont exploité aucune faille logicielle. Elles ont exploité un processus humain conçu pour être serviable.
Anatomie d'un appel malveillant
Reconnaissance : l'attaquant collecte sur les réseaux sociaux professionnels le nom, le poste, le supérieur, le vocabulaire interne et parfois le matricule de sa cible
Prétexte : il appelle en se présentant comme cet employé, souvent en fin de journée ou pendant une période chargée, avec un motif crédible : téléphone perdu, voyage, changement d'appareil
Pression : urgence, référence à un projet réel, mention d'un dirigeant qui attend
Demande : réinitialisation du mot de passe ou, mieux pour lui, réinscription d'un nouveau facteur MFA sur son propre appareil
Exploitation : connexion légitime, mouvement latéral et exfiltration dans les heures qui suivent
La qualité de l'imitation a franchi un cap avec le clonage vocal : quelques secondes d'enregistrement public suffisent pour reproduire une voix. L'agent au bout du fil n'a plus aucun moyen fiable de reconnaître son interlocuteur à l'oreille.
Durcir la procédure de récupération
Le principe directeur est simple : la réinitialisation d'identité doit être un événement d'authentification instrumenté, pas une décision au jugé d'un agent.
Interdire la vérification par informations connues : date de naissance, matricule, nom du supérieur et adresse sont disponibles publiquement ou dans des fuites
Exiger une preuve cryptographique lorsque c'est possible : un second authentificateur déjà enregistré, ou une inscription assistée depuis un appareil géré
Vérification vidéo avec détection du vivant pour les comptes à privilèges, comparée à une photo de référence en base RH
Attestation du gestionnaire hors bande : rappel sur le numéro figurant dans l'annuaire interne, jamais sur le numéro fourni par l'appelant
Délai d'attente sur les réinscriptions sensibles : un sas de quelques heures casse la dynamique d'urgence sur laquelle repose l'attaque
Script anti-ingénierie sociale affiché, avec droit explicite de refuser et de transférer sans justification
Un point culturel compte autant que la procédure : l'agent doit savoir qu'il ne sera jamais sanctionné pour avoir ralenti une demande. Les organisations où le service d'assistance est mesuré uniquement sur le temps de traitement fabriquent mécaniquement leur propre vulnérabilité.
Passer à un MFA réellement résistant au hameçonnage
Tous les seconds facteurs ne se valent pas. Les codes SMS, les codes à usage unique d'application et les notifications push simples sont relayables : un serveur mandataire placé entre l'utilisateur et le service légitime capture le code en temps réel et le rejoue, c'est l'attaque de l'adversaire au milieu, industrialisée par des kits vendus clés en main.
Les facteurs fondés sur FIDO2 et WebAuthn (clés matérielles et passkeys) ne sont pas relayables, parce que la preuve cryptographique est liée au domaine légitime. Un site imitant votre portail ne peut pas obtenir de signature valide.
Un déploiement réaliste procède par cercles concentriques :
Cercle 1 : administrateurs de domaine et d'infonuagique, direction financière, service d'assistance lui-même
Cercle 2 : accès distants, comptes à privilèges applicatifs, développeurs avec accès production
Cercle 3 : ensemble des employés, en conservant un facteur de secours matériel plutôt qu'un retour au SMS
Verrouillage : désactiver les méthodes faibles une fois la migration achevée, sinon l'attaquant se contentera de demander le facteur le plus faible encore accepté
Cette dernière étape est celle qu'on oublie le plus souvent : tant que le SMS reste accepté en repli, le niveau de sécurité réel du compte est celui du SMS.
Tester plutôt que supposer
La seule manière de savoir si votre service d'assistance résiste est de le tester. Un exercice d'ingénierie sociale encadré (avec périmètre écrit, autorisation formelle et débriefing sans blâme) mesure ce qu'aucune politique ne mesure : le comportement réel sous pression.
Chez ITCS Group, ces tests font partie de nos missions d'intrusion. Nous mesurons le taux de divulgation, le temps avant transfert, l'usage effectif du script et la capacité de l'équipe à signaler l'appel suspect. Le livrable n'est pas une liste de fautes : c'est une procédure révisée et un scénario de formation tiré de vos propres appels.
Conclusion
Tant que la récupération de compte restera un processus fondé sur la confiance et l'oralité, elle constituera le chemin le moins coûteux vers vos systèmes. Le durcir coûte quelques semaines de travail sur les procédures et un déploiement FIDO2 par cercles. ITCS Group réalise des tests d'ingénierie sociale, révise les procédures de récupération et accompagne les migrations vers un MFA résistant au hameçonnage. Contactez-nous pour tester votre service d'assistance.
Sources
CISA : Avis conjoint sur les tactiques d'ingénierie sociale ciblant les services d'assistance
Field Effect : Anatomy of a helpdesk social engineering attack
Missions d'ingénierie sociale ITCS Group : 2025-2026