Fatigue MFA : correspondance des nombres, contexte supplémentaire et au-delà
L'attaquant a le mot de passe. Il ne lui manque que l'approbation de la notification MFA. Il déclenche alors des dizaines de demandes, parfois en pleine nuit, parfois accompagnées d'un appel se faisant passer pour le support, jusqu'à ce que l'utilisateur accepte par lassitude. C'est la fatigue MFA, et elle ne se combat pas seulement par la sensibilisation.
Le mécanisme de l'attaque
La fatigue MFA, ou bombardement de notifications push, cible les méthodes où l'utilisateur n'a qu'à appuyer sur « Approuver ». Elle suppose que l'attaquant connaisse déjà le mot de passe, obtenu par hameçonnage, réutilisation ou fuite de données. Chaque tentative de connexion déclenche une notification sur le téléphone de la victime, et il suffit d'une approbation, volontaire ou accidentelle, pour que l'attaquant obtienne une session.
Un point est souvent négligé : si un utilisateur reçoit des demandes MFA qu'il n'a pas initiées, son mot de passe est compromis. La réponse ne s'arrête donc pas à refuser la notification.
La correspondance des nombres
Pour les notifications de Microsoft Authenticator, la correspondance des nombres est désormais imposée par Microsoft. L'écran de connexion affiche un nombre que l'utilisateur doit saisir dans l'application pour approuver. Un appui machinal ne suffit plus : l'utilisateur doit voir l'écran de connexion, ce qui neutralise une grande partie du bombardement aveugle.
Ce n'est pas une protection complète. Si l'attaquant appelle la victime en se faisant passer pour le support et lui dicte le nombre, ou s'il utilise un proxy de hameçonnage qui affiche la vraie page de connexion, la correspondance des nombres ne l'arrête pas.
Le contexte supplémentaire
Authenticator peut afficher dans la notification le nom de l'application demandée et l'emplacement géographique estimé de la connexion. Un utilisateur à Lyon qui voit une demande provenant d'un autre continent a une raison concrète de refuser. Ces options se configurent dans la stratégie des méthodes d'authentification ; vérifiez qu'elles sont activées pour tous les utilisateurs plutôt que laissées à la valeur gérée par Microsoft sans contrôle.
Exploiter les signalements des utilisateurs
La fonctionnalité « Signaler une activité suspecte » permet à l'utilisateur d'indiquer, depuis la notification ou l'appel, qu'il n'est pas à l'origine de la demande. Le signalement est enregistré et, avec Microsoft Entra ID Protection, élève le risque de l'utilisateur. Couplé à une stratégie d'accès conditionnel fondée sur le risque utilisateur, il peut imposer un changement de mot de passe sécurisé ou bloquer l'accès.
Fermer la boucle. Un signalement qui n'aboutit à aucune action décourage les utilisateurs de recommencer. Définissez qui traite ces alertes, dans quel délai, et assurez-vous que le mot de passe est systématiquement réinitialisé.
Viser des méthodes résistantes au hameçonnage
La correspondance des nombres corrige un défaut de la notification push, mais ne la rend pas résistante au hameçonnage. Les méthodes liées au domaine d'origine, comme les clés d'accès (FIDO2), qu'elles soient sur clé physique ou dans Authenticator, Windows Hello Entreprise ou l'authentification par certificat, rendent inopérants le bombardement comme les proxys de hameçonnage. La trajectoire raisonnable consiste à :
- imposer ces méthodes d'abord aux administrateurs, via les forces d'authentification de l'accès conditionnel ;
- les déployer ensuite aux populations exposées : direction, finance, support ;
- réduire progressivement l'usage des méthodes plus faibles, en commençant par les SMS et les appels vocaux.
Ce qu'un audit vérifie
- Les méthodes d'authentification activées et leur répartition réelle parmi les utilisateurs.
- L'activation du contexte supplémentaire dans les notifications Authenticator.
- La configuration de « Signaler une activité suspecte » et le traitement des signalements.
- Les stratégies de risque utilisateur et leur action de correction.
- L'exigence de méthodes résistantes au hameçonnage pour les comptes privilégiés.