Pendant des années, activer la double authentification a suffi à rassurer utilisateurs et responsables informatiques. Un code reçu par SMS, une validation par application, et le compte était considéré comme sécurisé. Cette croyance mérite aujourd’hui d’être sérieusement révisée.
Les techniques d’attaque ont évolué plus vite que les habitudes de sécurité. Le SIM swapping, le phishing en temps réel et le détournement de session permettent désormais de contourner des mécanismes de 2FA parfaitement configurés. Comprendre ces failles est la première étape pour choisir des protections réellement efficaces.
Pourquoi la 2FA par SMS reste vulnérable aujourd’hui
Ce type de fraude touche de nombreux secteurs numériques où la 2FA par SMS est appliquée de manière souple. Les plateformes de e-commerce permettent souvent de finaliser un achat avec un simple code SMS sans second facteur renforcé. Les applications de livraison à domicile authentifient leurs utilisateurs par SMS sans exiger d’application d’authentification dédiée. Les services de billetterie en ligne envoient des codes par SMS pour valider des commandes sans vérification supplémentaire. Les sites de jeux en ligne suivent la même logique — les utilisateurs consultant le classement casino en ligne retrait immédiat recherchent des plateformes offrant des processus de connexion rapides et des retraits sécurisés sans friction inutile.
L’ampleur du phénomène est frappante. Au Royaume-Uni, les cas de SIM swapping ont explosé ces dernières années, illustrant à quel point les attaquants ciblent spécifiquement la couche SMS, une menace documentée par le panorama de la cybermenace 2024 de l’ANSSI. Cette explosion illustre à quel point les attaquants ciblent spécifiquement la couche de sécurité que beaucoup considèrent comme acquise.
Les attaques de phishing en temps réel expliquées
Le SIM swapping n’est qu’une partie du problème. Les attaques dites Adversary-in-the-Middle représentent une menace plus sophistiquée encore. Le principe est simple : la victime clique sur un lien de phishing qui la redirige vers un proxy transparent, imitant parfaitement le vrai service. L’utilisateur y saisit son mot de passe et son code de vérification, pensant se connecter normalement.
Le proxy intercepte alors le cookie de session authentifiée et le transmet à l’attaquant, qui accède au compte sans jamais avoir à contourner la MFA elle-même. Ce mécanisme explique pourquoi de nombreuses campagnes ont réussi à compromettre des comptes professionnels malgré une authentification à deux facteurs active. Ce mécanisme explique pourquoi de nombreuses campagnes ont réussi à compromettre des comptes professionnels malgré une authentification à deux facteurs active, une tendance confirmée par le rapport d’activité 2024 de Cybermalveillance.gouv.fr.
Comment les plateformes exigeantes sécurisent leurs accès
Face à ces menaces, certains secteurs ont commencé à revoir leurs exigences d’authentification. Les institutions financières européennes, soumises aux cadres NIS2 et DORA, sont particulièrement scrutées sur ce point. Pourtant, la transition reste incomplète dans de nombreux secteurs réglementés, qui documente une menace croissante pesant sur les systèmes d’authentification des organisations françaises et européennes.
Ce chiffre montre que même dans des environnements fortement réglementés, l’adoption de méthodes robustes progresse lentement. Les organisations qui souhaitent réellement protéger leurs utilisateurs doivent aller au-delà des obligations minimales et repenser leur architecture d’authentification dans son ensemble.
Passer aux passkeys : la solution recommandée en 2025
Les clés FIDO2 et les passkeys apportent une réponse structurelle à ces failles. Contrairement aux codes SMS ou aux notifications push, elles reposent sur une paire de clés cryptographiques : la clé privée reste stockée localement sur l’appareil, tandis que le serveur ne conserve qu’une clé publique inutilisable en cas de fuite.
Surtout, ces méthodes lient l’authentification au domaine exact du service concerné. Un site de phishing, même visuellement identique à l’original, ne pourra jamais obtenir une signature valide. Cette caractéristique rend les passkeys intrinsèquement résistantes aux attaques de proxy qui ont mis à mal la 2FA traditionnelle. Adopter ces technologies n’est plus une option réservée aux experts en cybersécurité, mais une évolution nécessaire pour quiconque souhaite protéger durablement ses comptes en ligne.
