Pourquoi une protection qui marchait ne marche plus ?
Pendant des années, activer la double authentification suffisait à écarter l'essentiel du risque sur une messagerie professionnelle. Ce n'est plus vrai, et la raison est technique.
Quand vous vous connectez à Microsoft 365, la validation de votre identité produit un jeton de session : un petit fichier que votre navigateur conserve et présente ensuite à chaque requête, pour ne pas vous redemander vos identifiants toutes les cinq minutes. Ce jeton est la véritable clé du coffre. Le mot de passe et le code MFA ne servent qu'à l'obtenir.
Les attaquants ont cessé de chercher le mot de passe. Ils cherchent le jeton. Et une fois qu'ils l'ont, votre MFA est déjà passé : il a été validé par vous.
Position tranchée, donc : le MFA par SMS ou par notification simple ne doit plus être considéré comme une protection en 2026. C'est un ralentisseur, pas une barrière.
Comment le MFA se contourne-t-il en pratique ?
Trois techniques dominent, et elles ne demandent pas de compétences rares.
Le hameçonnage par site intermédiaire. L'utilisateur reçoit un lien qui pointe vers un serveur contrôlé par l'attaquant. Ce serveur affiche la vraie page de connexion Microsoft, en relayant chaque échange. L'utilisateur saisit son mot de passe, valide son MFA sur son téléphone, arrive sur sa messagerie : tout paraît normal. Entre-temps, le serveur intermédiaire a capturé le jeton de session et le rejoue depuis ailleurs. Aucune alerte n'est déclenchée, puisque l'authentification a réussi.
La fatigue MFA. L'attaquant possède déjà le mot de passe, obtenu dans une fuite. Il déclenche des dizaines de demandes d'approbation, souvent la nuit. L'utilisateur finit par appuyer sur « Approuver » pour que cela cesse, ou par erreur en déverrouillant son téléphone. La correspondance de numéro, qui impose de recopier un chiffre affiché à l'écran, réduit fortement ce risque et devrait être active partout.
L'échange frauduleux de carte SIM. L'attaquant obtient auprès de l'opérateur le transfert du numéro de la victime sur une carte qu'il contrôle, par ingénierie sociale ou avec la complicité d'un intermédiaire. Les codes par SMS arrivent alors chez lui. Cette attaque vise en priorité les dirigeants et les fonctions financières.
Le lien avec la messagerie est direct : dans la quasi-totalité des cas, l'entrée se fait par un courriel. C'est le sujet de notre page sécuriser ma messagerie contre le phishing.
Une quatrième technique mérite d'être citée parce qu'elle ne ressemble pas à une attaque : le consentement abusif à une application. L'utilisateur reçoit une invitation à autoriser un outil d'apparence légitime, souvent lié à un document partagé. Il approuve. L'application obtient alors un accès durable à sa messagerie et à ses fichiers, sans avoir jamais eu besoin ni de son mot de passe, ni de son second facteur. La parade tient en un réglage : restreindre le consentement des utilisateurs aux applications non vérifiées et instaurer une validation par un administrateur.
Quelles méthodes d'authentification résistent vraiment ?
Le classement ci-dessous répond à une seule question : cette méthode protège-t-elle contre un faux site qui relaie la connexion en temps réel ? Les fonctions et leur disponibilité évoluent dans les grilles Microsoft, à vérifier à date.
| Méthode | Résiste au hameçonnage par site intermédiaire | Robustesse | Usage recommandé |
|---|---|---|---|
| Clé de sécurité physique FIDO2 | Oui | Très élevée | Administrateurs, direction, fonctions financières |
| Passkey dans Microsoft Authenticator | Oui | Très élevée | Cible pour l'ensemble des utilisateurs |
| Windows Hello Entreprise (biométrie liée au poste) | Oui | Très élevée | Postes Windows gérés |
| Authentification par certificat | Oui | Élevée | Environnements réglementés, postes partagés |
| Notification Authenticator avec correspondance de numéro | Non | Moyenne | Palier de transition, pas une cible |
| Code à usage unique dans une application | Non | Moyenne à faible | Secours uniquement |
| Appel vocal | Non | Faible | À retirer |
| Code par SMS | Non | Faible | À retirer, surtout pour les comptes sensibles |
| Mot de passe seul | Non | Nulle | À bloquer |
La ligne de partage est nette et elle n'est pas graduelle. Les quatre premières méthodes lient la preuve d'identité au domaine du site légitime et à un appareil précis : elles ne peuvent pas être rejouées ailleurs. Les autres produisent une information que l'utilisateur peut transmettre à un faux site sans le savoir.
Que faut-il ajouter au-delà de la méthode d'authentification ?
Changer de méthode ne suffit pas. Il faut aussi conditionner l'accès. Quatre mesures, par ordre d'efficacité.
L'exigence d'appareil conforme. L'accès aux données n'est autorisé que depuis un appareil enregistré et conforme à votre politique : chiffrement actif, système à jour, antivirus opérationnel. Un jeton volé rejoué depuis une machine inconnue est refusé. C'est la mesure qui neutralise le mieux le vol de session.
La protection des jetons. Entra ID permet de lier un jeton au matériel qui l'a obtenu. Rejoué ailleurs, il devient inutilisable. La couverture dépend des applications et des plateformes, elle progresse mais n'est pas totale.
Le blocage de l'authentification héritée. Les anciens protocoles ne savent pas gérer le MFA. Tant qu'ils restent ouverts, ils offrent un contournement complet. Leur fermeture est une opération à préparer, car des copieurs et des applications métier les utilisent encore.
Les politiques basées sur le risque. Une connexion depuis un pays inhabituel, un déplacement impossible, une adresse réseau connue pour l'anonymisation : l'accès est bloqué ou une réauthentification forte est demandée. Cette brique demande Entra ID P2.
À cela s'ajoute une règle de gouvernance simple, souvent absente : les comptes administrateurs sont des comptes dédiés, sans messagerie, protégés par clé physique, et distincts des comptes de travail quotidien. Un administrateur qui lit ses courriels avec son compte à privilèges annule l'essentiel des mesures précédentes.
Et la conformité dans tout ça ?
Deux précisions utiles, parce que le sujet est souvent instrumentalisé.
La directive NIS2 impose des exigences de gestion des risques et d'authentification aux entités concernées. Elle ne vise cependant que les organisations d'au moins 50 salariés ou réalisant plus de 10 millions d'euros de chiffre d'affaires, dans des secteurs listés. Une PME de 30 personnes hors secteur listé n'est pas concernée. Par ailleurs, la transposition française n'est pas entièrement publiée à ce jour : les obligations précises et le calendrier restent à confirmer. Nous détaillons ce point sur notre page me mettre en conformité NIS2.
Deuxième précision : renforcer l'authentification ne dispense pas de pouvoir revenir en arrière après un incident. Un compte compromis pendant plusieurs semaines laisse des dégâts sur les fichiers et la messagerie, et la restauration relève d'un autre dispositif, exposé dans notre article sur ce que Microsoft ne sauvegarde pas.
Par où commencer sans bloquer l'entreprise ?
Le risque principal d'un tel chantier n'est pas technique, il est humain : une politique trop stricte déployée trop vite bloque des utilisateurs légitimes un lundi matin. Voici le déroulé que nous appliquons.
Étape 1 — État des lieux, une demi-journée à deux jours. Relevé des méthodes d'authentification réellement utilisées compte par compte, des comptes à privilèges, des protocoles hérités encore ouverts et des politiques d'accès conditionnel existantes. Livrable : la carte des points faibles, classée par exposition.
Étape 2 — Sécurisation des comptes à privilèges, une semaine. Comptes d'administration dédiés, clés physiques, accès juste-à-temps. Ce périmètre est réduit, donc rapide, et c'est celui qui compte le plus.
Étape 3 — Déploiement des passkeys par vagues, quatre à huit semaines. Groupe pilote, puis extension service par service, avec une procédure de secours écrite pour les pertes d'appareil. Chaque vague est précédée d'une communication et d'un temps de support renforcé.
Étape 4 — Durcissement de l'accès conditionnel, en mode simulation d'abord. Les politiques sont d'abord observées sans blocage, le temps de mesurer qui serait refusé et pourquoi. On n'active qu'ensuite.
Étape 5 — Retrait des méthodes faibles et surveillance continue. Suppression du SMS et de l'appel vocal, fermeture des protocoles hérités, puis suivi des connexions à risque dans le cadre d'une infogérance Microsoft 365. L'ensemble de la démarche est décrit sur notre page sécurité Microsoft 365.
Le décalage le plus courant tient en une phrase : l'entreprise a coché « MFA activé » et n'a jamais regardé par quelle méthode. Des comptes à privilèges restent ainsi protégés par SMS dans des organisations persuadées d'avoir réglé la question de l'authentification. Le premier geste ne coûte rien et prend dix minutes : ouvrir la liste de vos comptes administrateurs et regarder par quelle méthode ils sont protégés aujourd'hui.
