Le phishing peut-il contourner l'authentification multifacteur ?

Oui, certains types de MFA peuvent être contournés, d'où l'importance du type choisi. Dans une attaque de l'homme du milieu, la page de phishing s'interpose entre vous et la vraie page de connexion : elle transmet en temps réel votre mot de passe et votre code à usage unique ou votre validation push au vrai service, puis garde le cookie de session que le service renvoie. Avec ce cookie, l'attaquant est connecté sans avoir besoin à nouveau du mot de passe ni de la MFA. Les codes SMS, les codes d'application d'authentification et les simples validations push y sont tous exposés. La MFA résistante au phishing, c'est-à-dire les clés de sécurité FIDO2 et les passkeys, ne l'est pas, car la clé vérifie l'adresse du site et refuse de répondre à un faux. Une MFA, quelle qu'elle soit, reste bien meilleure que rien. Étapes pratiques : équiper d'abord les administrateurs et la comptabilité de passkeys ou de clés de sécurité, activer des règles de connexion qui signalent les appareils et lieux inhabituels, et révoquer les sessions, pas seulement les mots de passe, après tout incident de phishing.

← Les 29 questions sur Phishing et suites d'un e-mail piégéTous les thèmes