La MFA peut-elle être piratée ? Explication de 8 techniques courantes de contournement de la MFA

La MFA peut être piratée. Découvrez 8 techniques de contournement de la MFA utilisées aujourd’hui par les attaquants, les méthodes les plus vulnérables et comment renforcer votre déploiement contre celles-ci.

La MFA peut-elle être contournée ?

L’authentification multifacteur (MFA) est le contrôle auquel la plupart des équipes font confiance pour empêcher qu’un mot de passe volé ne se transforme en violation. Et les attaquants ont passé des années à apprendre à la contourner. Alors, la MFA peut-elle être piratée ? Oui. La MFA augmente le coût d’une attaque, mais ne l’élimine pas. 

Le problème ne vient pas du concept de la MFA. La plupart des déploiements reposent sur des facteurs que les attaquants ont appris à intercepter, rediriger ou contourner par ingénierie sociale. Les codes SMS peuvent être redirigés. Les notifications push peuvent être spammées. Les jetons de session peuvent être volés une fois l’authentification légitime terminée. Le personnel du support peut être amené à réinitialiser complètement la MFA. Le Data Breach Investigations Report (DBIR) 2025 de Verizon a constaté que des schémas de connexion suspects sont un signe récurrent de vol d’identifiants et d’activité de contournement de la MFA.

En décembre 2024, le FBI et la Cybersecurity and Infrastructure Security Agency (CISA) ont pris la mesure inhabituelle de conseiller aux organisations et aux utilisateurs de s’éloigner de la MFA basée sur SMS, en citant une exploitation active liée à la campagne d’espionnage Salt Typhoon visant l’infrastructure des télécommunications américaines. Le guide mobile de la CISA recommande l’authentification basée sur Fast Identity Online (FIDO) comme la forme la plus robuste de MFA efficace contre les techniques de contournement.

Comprendre le fonctionnement de chaque technique de contournement est la première étape pour mettre en place des défenses efficaces.

8 techniques courantes de contournement de la MFA

Chaque technique ci-dessous cible une faiblesse différente dans les déploiements de MFA, de l’erreur humaine aux failles au niveau du protocole. Certaines nécessitent de l’ingénierie sociale. D’autres fonctionnent sans aucune intervention humaine.

1. Bombardement de demandes MFA (fatigue des notifications push)

L’attaquant obtient des identifiants valides par phishing ou via des violations de données, puis déclenche des notifications push MFA répétées jusqu’à ce que l’utilisateur en approuve une par frustration. Selon CISA AA23-320A, Scattered Spider « envoie continuellement des invites de notification MFA afin d’amener les employés à accepter l’invite et à obtenir l’accès au réseau cible ».  APT29 a également utilisé cette technique.

Ce qu’il faut rechercher dans votre SOC : des demandes MFA répétées sur un seul compte dans un court laps de temps, des tentatives de connexion depuis des emplacements inhabituels et des séquences d’échecs d’authentification suivies d’une approbation soudaine.

2. Détournement de session et vol de jetons

Cette technique cible ce qui se passe après l’authentification. Les attaquants exploitent des vulnérabilités dans l’infrastructure d’accès à distance, les VPN, les passerelles web ou les serveurs d’applications pour extraire des jetons de session valides. Ils rejouent ensuite ces jetons pour établir des sessions authentifiées sans jamais déclencher de défi MFA. Les affiliés LockBit l’ont démontré via la faille CitrixBleed (CVE-2023-4966), en récupérant des jetons de session depuis des appliances Citrix NetScaler afin de contourner entièrement la MFA.

Pour voir comment le détournement de compte et l’abus de jetons de session sont liés, notre guide couvre les mécanismes et les contrôles de détection qui permettent de l’identifier.

Ce qu’il faut rechercher dans votre SOC : des sessions provenant de lieux géographiquement impossibles, plusieurs sessions simultanées pour un même utilisateur et des flux d’authentification qui sautent les invites MFA attendues.

3. SIM swapping

L’attaquant collecte des informations personnelles identifiables (PII) par ingénierie sociale ou renseignement en sources ouvertes (OSINT), puis contacte l’opérateur mobile pour transférer le numéro de téléphone de la victime vers une carte SIM contrôlée par l’attaquant. Tous les codes MFA basés sur SMS sont alors redirigés vers l’attaquant. Selon CISA AA23-320A, Scattered Spider utilise systématiquement le SIM swapping dans le cadre d’opérations d’extorsion de données.

Ce qu’il faut rechercher dans votre SOC : une perte soudaine de service mobile ou des messages inattendus de désactivation de SIM de la part de l’opérateur, des codes MFA SMS utilisés depuis des appareils différents de ceux précédemment enregistrés et un accès au compte survenant immédiatement après une activité de SIM swap.

4. Phishing Adversary-in-the-Middle (AiTM)

L’attaquant place un serveur proxy inverse entre vous et un portail d’authentification légitime. Vous saisissez vos identifiants et terminez votre défi MFA. Le proxy capture les deux. L’attaquant utilise ensuite le jeton de session volé pour entrer directement. 

Les plateformes de Phishing-as-a-Service ont contribué à industrialiser cette technique. Les kits de phishing par proxy inverse se spécialisent désormais dans les attaques AiTM contre les flux d’identité cloud courants. Des kits comme Mamba 2FA ciblent les principales plateformes d’identité cloud et mettent en œuvre une identification anti-bot pour échapper aux analyses de sécurité.

Notre guide sur les attaques adversary-in-the-middle explique en quoi AiTM diffère des techniques classiques de man-in-the-middle et comment trouver des indicateurs dans votre environnement.

Ce qu’il faut rechercher dans votre SOC : des demandes d’authentification provenant d’une infrastructure de serveur privé virtuel (VPS) ou de proxy, des enregistrements de domaines suspects imitant vos portails de connexion et de courts écarts entre la saisie des identifiants et l’accès depuis une autre IP.

5. Ingénierie sociale des help desks

Selon CISA AA23-320A, Scattered Spider exécute une attaque en plusieurs phases contre le support IT : d’abord des appels de reconnaissance pour apprendre les procédures de réinitialisation de mot de passe, puis l’usurpation d’employés pour convaincre le personnel du help desk de réinitialiser les jetons MFA. Depuis début 2023, cette technique a permis d’accéder à des « comptes de single sign-on (SSO) et suites d’applications cloud ». Les help desks sous contrat ou externalisés sont particulièrement vulnérables en raison de vérifications moins strictes.

Ce qu’il faut rechercher dans votre SOC : des volumes inhabituels de demandes de réinitialisation MFA pour des comptes privilégiés, en particulier en dehors des heures ouvrées, et l’installation d’outils d’accès à distance (TeamViewer, AnyDesk) après des interactions avec le help desk.

6. Exploitation du protocole SS7

Signaling System 7, conçu dans les années 1970, reste l’épine dorsale des communications mobiles mondiales. Les attaquants qui obtiennent un accès aux réseaux SS7 peuvent rediriger le trafic SMS et intercepter les codes MFA en temps réel. L’abus de SS7 peut intercepter les codes et permettre la fraude sans déployer de malware, ce qui en fait un risque concret pour toute organisation qui s’appuie sur une MFA basée sur SMS.

À la suite de la campagne Salt Typhoon, le guide du SANS Institute a confirmé que la CISA « a déclaré sans détour : “N’utilisez pas les SMS comme second facteur d’authentification.” »

7. Toolkits de phishing en temps réel

Des toolkits comme EvilProxy, Evilginx, Sneaky2FA et WikiKit fonctionnent comme des plateformes de collecte d’identifiants et de rejeu de session en temps réel. Ils capturent les identifiants et les jetons de session, puis les rejouent avant que les utilisateurs ou les équipes de sécurité ne détectent des anomalies. Cette fenêtre de rejeu rapide crée une course que les outils basés sur les signatures ont du mal à suivre.

Le phishing est devenu une menace opérationnelle plus large construite autour de l’abus de la MFA, d’outillage modulaire et d’infrastructure réutilisable. Les chercheurs en menaces continuent de documenter la manière dont les attaquants conditionnent ces workflows pour les réutiliser et les distribuer.

8. Phishing OAuth et consentement

L’attaquant enregistre une application malveillante auprès d’un fournisseur OAuth, puis incite un utilisateur à lui accorder des autorisations. L’application reçoit des jetons OAuth légitimes avec un accès accordé par l’utilisateur, contournant entièrement la MFA. Les mécanismes de jeton d’actualisation permettent une persistance à long terme qui survit souvent aux réinitialisations de mot de passe.

À partir de là, les attaquants manipulent des principaux de service, créent des applications OAuth frauduleuses et exfiltrent des données sensibles via des API cloud et des plateformes de collaboration. Le groupe soutenu par l’État chinois Silk Typhoon a utilisé cette technique pour se déplacer entre les environnements clients sans être détecté.

Ce qu’il faut rechercher dans votre SOC : de nouveaux enregistrements d’applications OAuth demandant des autorisations à privilèges élevés, des jetons SAML émis sans MFA dans les journaux d’identité et des schémas inhabituels d’appels API vers des API cloud ou des plateformes de collaboration.

Ces huit techniques couvrent l’ingénierie sociale, l’exploitation de protocoles et l’abus post-authentification. La méthode MFA que vous déployez détermine à combien d’entre elles votre organisation est exposée.

Quelles méthodes MFA sont les plus vulnérables au contournement ?

Toutes les méthodes MFA ne sont pas exposées de manière égale aux huit techniques ci-dessus. Le tableau ci-dessous met en correspondance cinq implémentations MFA courantes avec les catégories de contournement capables de les vaincre, sur la base du guide de la CISA sur la résistance au phishing et des classifications de la FIDO Alliance.

Méthode MFA	Vulnérable à	Résistante au phishing ?
Codes SMS / vocaux	SIM swapping, exploitation de SS7, phishing AiTM, toolkits de phishing en temps réel	Non
Applications TOTP (Google Authenticator, Authy)	Phishing AiTM, toolkits de phishing en temps réel	Non
Notifications push	Bombardement de demandes, phishing AiTM	Non
Push avec correspondance de numéro	Phishing AiTM (le proxy relaie le numéro en temps réel)	Non
Clés de sécurité FIDO2 / WebAuthn	Aucune des huit techniques ci-dessus	Oui

Le schéma est clair : chaque méthode reposant sur des secrets partagés ou des invites approuvées par l’utilisateur succombe à au moins une technique de contournement. Seule l’authentification cryptographique résiste à l’ensemble de la liste.

Pourquoi la MFA à secret partagé échoue

Les quatre premières méthodes reposent toutes sur des secrets partagés ou des invites approuvées par l’utilisateur, exactement ce qu’un attaquant peut intercepter ou relayer. Les clés FIDO2 fonctionnent selon un principe entièrement différent. La clé privée ne quitte jamais votre appareil, et chaque défi d’authentification est lié cryptographiquement au véritable domaine. Un proxy de phishing ne peut pas forger une signature valide, car le domaine ne correspond jamais. Selon NIST 800-63-4, seuls les authentificateurs qui utilisent des « processus cryptographiques à clé asymétrique » sont éligibles au niveau d’assurance le plus élevé.

Si vous utilisez aujourd’hui une MFA par SMS ou par push, vous pouvez réduire immédiatement votre risque. Faites migrer d’abord les comptes privilégiés vers des clés FIDO2, puis fournissez aux utilisateurs standard des authentificateurs de plateforme comme Windows Hello et Apple Touch ID. Il s’agit d’un déploiement progressif, pas d’un remplacement brutal, et de la voie la plus pratique vers la résistance au phishing sans perturber une seule journée de travail.

Exemples concrets d’attaques de contournement de la MFA

Les techniques ci-dessus ne sont pas théoriques. Des violations réelles montrent comment les attaquants enchaînent les techniques de contournement de la MFA dans des attaques en plusieurs étapes, souvent quelques heures seulement après avoir obtenu un accès initial.

1. MGM Resorts (2023). Scattered Spider a compromis l’environnement de MGM en appelant le help desk, en usurpant l’identité d’un employé et en persuadant le personnel de réinitialiser les identifiants MFA. L’attaque a utilisé LinkedIn pour identifier le personnel IT et recueillir les détails nécessaires pour passer les contrôles de vérification. La perturbation s’est étendue aux opérations hôtelières, aux systèmes de casino et aux données clients, avec des dommages signalés dépassant 100 millions de dollars selon le dépôt SEC 8-K de MGM.
2. Uber (2022). Un attaquant a acheté des identifiants volés sur une place de marché du dark web, puis a lancé une campagne soutenue de bombardement de demandes MFA contre un prestataire d’Uber. Après que le prestataire a approuvé une notification push pour arrêter les alertes, l’attaquant s’est déplacé latéralement dans les systèmes internes d’Uber, y compris Slack, AWS et Google Workspace, en quelques heures. La mise à jour de sécurité officielle d’Uber a confirmé que les identifiants du prestataire avaient probablement été achetés sur le dark web après une infection par malware de son appareil personnel.
3. Salt Typhoon (2024). Le groupe soutenu par l’État chinois a exploité des faiblesses du protocole SS7 pour intercepter des codes MFA basés sur SMS visant l’infrastructure des télécommunications américaines. Le FBI et la CISA ont publié un guide conjoint conseillant aux organisations de cesser d’utiliser la MFA basée sur SMS en réponse directe à l’exploitation active liée à cette campagne.
4. Storm-0558 (2023). Microsoft a révélé que l’acteur de menace affilié à la Chine Storm-0558 avait forgé des jetons d’authentification à l’aide d’une clé de signature Microsoft acquise afin d’accéder à des comptes de messagerie cloud dans plusieurs organisations clientes. L’attaque a contourné les contrôles MFA standard en opérant au niveau des jetons plutôt qu’au niveau des identifiants, rendant le défi MFA initial sans importance.

Chaque incident a exploité une technique différente de la liste ci-dessus. Le point commun : les attaquants adaptent leur méthode au maillon le plus faible du déploiement MFA de chaque organisation.

Indicateurs de tentatives de contournement de la MFA

Le contournement de la MFA laisse des traces dans les journaux d’identité, la télémétrie des endpoints et l’activité réseau. Détectez ces signaux tôt et vous pourrez réagir avant qu’un attaquant ne s’installe.

Anomalies d’authentification :

• Connexions depuis des lieux impossibles à quelques minutes d’une authentification réussie dans une autre région
• Multiples sessions actives simultanées pour un seul compte utilisateur
• Flux d’authentification qui se terminent sans défi MFA correspondant dans les journaux d’identité
• Défis MFA approuvés en dehors des heures ouvrées ou depuis des appareils absents de la liste des appareils enregistrés

Schémas d’identité et d’accès :

• Pic soudain de demandes de réinitialisation MFA pour des comptes privilégiés
• Nouveaux enregistrements d’applications OAuth demandant des autorisations à privilèges élevés
• Jetons SAML émis sans contexte MFA dans les journaux du fournisseur d’identité
• Tickets help desk demandant un contournement MFA ou des réinitialisations d’identifiants suivis immédiatement d’un accès au compte depuis un nouvel appareil

Signaux réseau et endpoint :

• Activité de session provenant d’une infrastructure VPS, de proxys d’anonymisation ou de nœuds de sortie Tor
• Courts écarts de temps entre la soumission des identifiants et l’accès ultérieur depuis une autre IP
• Mouvement latéral commençant quelques minutes après un événement d’authentification réussi
• Nouveaux outils d’accès à distance installés peu après un contact avec le help desk

Ces indicateurs apparaissent rarement isolément lors d’une tentative de contournement. La corrélation entre les événements d’authentification et les signaux endpoint et réseau est ce qui distingue une véritable détection de contournement d’un faux positif.

Comment prévenir les attaques de contournement de la MFA

Connaître les techniques n’est que la moitié de l’équation. Voici la partie encourageante : chaque faille que vous venez de lire peut être comblée, et les mesures pour y parvenir sont bien comprises.

• Déployez une MFA résistante au phishing comme contrôle principal. Selon le guide de la CISA, seules FIDO2/WebAuthn et l’authentification basée sur PKI sont considérées comme résistantes au phishing. Les codes SMS, les applications de mot de passe à usage unique basé sur le temps (TOTP), les liens par e-mail et les notifications push, même avec correspondance de numéro, en sont explicitement exclus. La CISA indique que les méthodes MFA héritées sont sujettes au phishing, au SIM swap, aux problèmes SS7 et au bombardement de demandes. Commencez le déploiement par vos comptes les plus privilégiés : administrateurs de domaine, administrateurs cloud et équipes de sécurité.
• Appliquez la liaison des jetons et des contrôles du cycle de vie des sessions. NIST IR 8587 fournit des recommandations sur le cycle de vie des jetons : isolez les clés de signature du fournisseur d’identité, faites tourner les clés selon le niveau de risque et appliquez des délais d’expiration de session alignés sur les niveaux d’assurance du NIST. Pour les accès privilégiés, limitez les sessions et les fenêtres d’inactivité conformément aux exigences d’assurance plus élevées du NIST.
• Mettez en œuvre des politiques d’accès conditionnel. Exigez une posture de conformité des appareils et une MFA résistante au phishing pour tout accès aux applications cloud. Selon les recommandations de la Cloud Security Alliance (CSA), intégrez l’emplacement, la conformité de l’appareil, le contexte du rôle et le niveau d’assurance MFA dans chaque décision d’accès.
• Bloquez les protocoles d’authentification hérités. La Binding Operational Directive (BOD) 25-01 de la CISA impose le blocage des protocoles hérités parce qu’ils ne peuvent pas prendre en charge la MFA. Tout flux d’authentification hérité représente une voie de contournement persistante, même lorsque les flux modernes appliquent une MFA forte.
• Renforcez les processus du help desk. Les contrôles techniques échouent lorsqu’un ingénieur social convainc votre help desk de les réinitialiser. Exigez une vérification d’identité multicanale pour toutes les réinitialisations MFA sur les comptes privilégiés. Mettez en œuvre des procédures de rappel hors bande. Formez le personnel du help desk à reconnaître les schémas de reconnaissance utilisés par Scattered Spider.

Même avec un durcissement solide, des tentatives de contournement de la MFA continueront de se produire. La question devient alors : à quelle vitesse pouvez-vous les détecter et les arrêter lorsqu’elles surviennent ?

Contournement de la MFA dans les environnements cloud et d’identité

Le cloud change la nature du problème. Il introduit des risques de contournement de la MFA auxquels les configurations on-premises n’ont jamais eu à faire face.

• Chaînage du single sign-on (SSO). Lorsqu’une session SSO compromise donne accès à des dizaines d’applications en aval, un seul contournement MFA réussi change immédiatement d’échelle. Un attaquant qui vole un jeton de session Okta ou Microsoft Entra peut se déplacer dans l’ensemble du portefeuille d’applications connectées sans déclencher de défis MFA supplémentaires sur aucune plateforme intégrée.
• Lacunes de l’accès conditionnel. De nombreuses organisations appliquent une MFA résistante au phishing pour les principales applications cloud, mais laissent des lacunes dans les connecteurs d’applications héritées, les endpoints API ou les configurations de principaux de service. Les attaquants identifient et exploitent ces lacunes. La CISA BOD 25-01 impose le blocage des protocoles d’authentification hérités précisément parce qu’ils contournent les politiques d’accès conditionnel.
• Abus des principaux de service et d’OAuth. Les environnements d’ identité cloud s’appuient sur des comptes de service et des jetons OAuth pour l’automatisation et les intégrations. Ces identités machine fonctionnent généralement sans contrôles MFA. Les attaquants compromettent des principaux de service, leur accordent des autorisations élevées via le phishing au consentement OAuth et utilisent ces autorisations pour persister dans l’environnement longtemps après la rotation des identifiants d’accès initiaux.
• Identité fédérée et manipulation SAML. L’authentification fédérée entre fournisseurs d’identité et plateformes cloud crée des surfaces d’attaque supplémentaires. Un attaquant qui compromet une clé de signature, comme l’a démontré Storm-0558 en 2023, peut forger des assertions SAML et accéder aux ressources cloud sans aucune interaction MFA.

Sécuriser l’identité cloud exige d’appliquer aux comptes de service et aux flux OAuth les mêmes contrôles MFA résistants au phishing que ceux appliqués aux utilisateurs humains. L’identité machine est la surface d’attaque qui croît le plus rapidement dans les environnements cloud, et c’est celle qui est le plus souvent laissée en dehors de votre périmètre MFA.

Comment SentinelOne aide à détecter les attaques de contournement de la MFA

Les attaques de contournement de la MFA se situent dans l’espace entre l’authentification et l’accès. La seule surveillance du fournisseur d’identité laisse des lacunes que les attaquants exploitent. La SingularityTM Platform de SentinelOne comble ces lacunes en corrélant les événements d’authentification avec le comportement des endpoints, l’activité réseau et les actions des utilisateurs dans l’ensemble de votre environnement.

Singularity Identity étend la protection à votre infrastructure d’identité. Il détecte en temps réel les attaques en cours contre Active Directory et les fournisseurs d’identité cloud comme Entra ID, Ping, Okta, Duo et SecureAuth, on-premises et dans le cloud. L’IA comportementale signale les schémas de déplacement impossible, l’usage abusif d’identifiants et l’escalade de privilèges liée à la manipulation de jetons. Lorsque l’activité d’identité s’aligne avec un abus de session, la plateforme agit. Elle met fin aux processus malveillants, clôt les sessions compromises et isole les endpoints affectés.

Singularity Identity analyse également en continu les identifiants faibles, exposés et compromis, en offrant des réponses autonomes pour arrêter les attaques basées sur les identifiants avant qu’elles n’atteignent votre environnement.

Réservez une démo avec SentinelOne pour voir comment détecter et arrêter les attaques de contournement de la MFA dans l’ensemble de votre environnement.

Points clés à retenir

La MFA reste essentielle, mais elle n’est pas inviolable. Huit techniques de contournement distinctes, du bombardement de demandes au phishing au consentement OAuth, exploitent les faiblesses de la MFA héritée. La voie à suivre est claire : passez à une stratégie conçue pour cette menace. 

Une MFA résistante au phishing (FIDO2/WebAuthn), associée à une surveillance comportementale qui détecte en temps réel les anomalies post-authentification, peut transformer la MFA d’un point faible en un véritable avantage.

FAQ

Qu’est-ce que l’authentification multifacteur (MFA) ?

L’authentification multifacteur (MFA) est une méthode de sécurité qui exige des utilisateurs qu’ils vérifient leur identité à l’aide de deux types de preuves distincts ou plus avant d’accéder à un système ou à une application. 

Ces facteurs se répartissent en catégories : quelque chose que vous connaissez (mots de passe, codes PIN), quelque chose que vous possédez (clés de sécurité, téléphones) et quelque chose que vous êtes (empreintes digitales, reconnaissance faciale). NIST 800-63-4 précise que les facteurs doivent provenir de catégories différentes pour être considérés comme une véritable MFA.

Pourquoi la MFA peut-elle être contournée ?

La MFA peut être contournée, car la plupart des déploiements reposent sur des secrets partagés ou des invites approuvées par l’utilisateur, et non sur une liaison cryptographique. Les codes SMS, les applications TOTP et les notifications push nécessitent tous la transmission ou la confirmation d’une valeur qu’un attaquant peut intercepter, relayer ou obtenir par ingénierie sociale. 

L’événement d’authentification lui-même peut également être contourné par le vol de jetons de session après qu’une connexion légitime a été effectuée, rendant le défi MFA sans importance. Seul FIDO2/WebAuthn élimine cette catégorie de contournement en liant cryptographiquement l’authentification au domaine légitime, ce qui rend le relais et l’interception techniquement impossibles

Quelle est la différence entre une MFA résistante au phishing et une MFA standard ?

La MFA standard (codes SMS, notifications push, applications TOTP) repose sur des secrets partagés que les attaquants peuvent intercepter, rediriger ou rejouer. La MFA résistante au phishing utilise une liaison cryptographique entre l’authentificateur et le domaine légitime. 

Les méthodes FIDO2/WebAuthn et basées sur la PKI (PIV/CAC) vérifient l’identité du serveur avant de transmettre les informations d’identification, rendant les attaques par relais et AiTM techniquement impossibles. La CISA, le NIST et la FIDO Alliance classent tous uniquement ces deux méthodes comme résistantes au phishing.

Comment les attaquants contournent-ils la MFA même lorsque la correspondance de numéros est activée ?

La correspondance de numéros empêche la fatigue liée aux notifications push de base en exigeant que les utilisateurs saisissent un numéro affiché. Cependant, elle n’empêche pas le phishing AiTM, où le proxy de l’attaquant relaie le flux d’authentification réel en temps réel. 

L’attaquant voit la même invite numérique et peut la relayer à la victime. La CISA décrit la correspondance de numéros comme une mesure temporaire pendant que les organisations passent à une MFA résistante au phishing, et non comme une défense permanente.

Quelle technique de contournement de la MFA est la plus courante aujourd’hui ?

Le vol de jetons et le détournement de session sont présentés dans le DBIR 2025 de Verizon comme des préoccupations majeures en matière de contournement de la MFA. Ils ciblent les sessions post-authentification plutôt que l’événement d’authentification lui-même, rendant le défi MFA initial sans importance une fois qu’un jeton de session valide est capturé. 

Pour empêcher le vol de jetons, il faut une surveillance comportementale de l’activité des sessions, des schémas de déplacement impossibles et des anomalies de sessions simultanées.

Les entreprises doivent-elles cesser complètement d’utiliser la MFA basée sur les SMS ?

Les organisations devraient abandonner la MFA basée sur les SMS. À la suite de la campagne Salt Typhoon, les recommandations du FBI et de la CISA ont mis en garde contre le recours aux SMS comme second facteur. Plusieurs techniques d’attaque, notamment l’exploitation de SS7, le SIM swapping et le phishing AiTM, peuvent venir à bout de la MFA basée sur les SMS. 

Passez aux clés de sécurité FIDO2 pour les comptes à privilèges et aux authentificateurs de plateforme liés au matériel pour les utilisateurs standard.

Quelles techniques MITRE ATT&CK correspondent aux attaques de contournement de la MFA ?

Les huit techniques principales correspondent à plusieurs identifiants ATT&CK : T1621 (MFA Request Generation) couvre le bombardement d’invites et les flux de phishing en temps réel. T1550 (Use Alternate Authentication Material) couvre le détournement de session. T1589 (Gather Victim Identity Information) prend en charge le SIM swapping. 

T1111 (MFA Interception) couvre l’exploitation de SS7. T1566.004 (Spearphishing Voice) couvre l’ingénierie sociale du centre d’assistance. T1606 (Forge Web Credentials) couvre le phishing par consentement OAuth.