Attaque par fatigue MFA expliquée : comment les invitations répétées mettent en péril la sécurité de Microsoft 365 et d’Azure

By Mirko Peters · 2026-04-26

Dans les environnements de travail centrés sur Microsoft, l’authentification multifacteur (MFA) est censée jouer le rôle de serrure de votre porte d’entrée, en empêchant les cybercriminels de s’introduire simplement en dérobant votre mot de passe…

Automatically translated with AI from the original post. Read the English original

Dans les environnements de travail centrés sur Microsoft, l’authentification multifacteur (MFA) est censée jouer le rôle de serrure de votre porte d’entrée : elle empêche les cybercriminels de s’introduire simplement en dérobant votre mot de passe. Mais une nouvelle technique apparaît : l’attaque par fatigue MFA. Cette stratégie bombarde les utilisateurs d’invitations de vérification incessantes, dans l’espoir que l’un d’eux finisse par en avoir assez et clique simplement sur « Approuver ».

À mesure que de plus en plus d’organisations s’appuient sur Microsoft 365 et Azure, les attaquants visent directement le cloud, où l’identité est la clé de tout. Le risque tient au fait que les attaques par fatigue MFA ne compromettent pas le système lui-même ; elles épuisent la patience des utilisateurs et contournent vos défenses en usant les personnes réelles. Elles représentent donc une menace sérieuse, aussi bien dans les environnements de bureau que dans les configurations en télétravail.

Cet article présente ce que sont ces attaques, leur fonctionnement réel, et pourquoi il faut aller au-delà de la MFA traditionnelle pour mettre votre environnement numérique à l’abri.

Qu’est-ce qu’une attaque par fatigue MFA et pourquoi devriez-vous vous en préoccuper ?

Les attaques par fatigue MFA sont une forme de cyberattaque d’ingénierie sociale qui exploite le processus d’authentification multifacteur en vous submergeant d’invitations de connexion répétées. On les appelle « fatigue » parce qu’après un nombre suffisant de notifications, la plupart des utilisateurs finissent par baisser leur garde et en approuver une, ce qui offre aux criminels un accès sans qu’aucune faille technique ne soit nécessaire.

Cette approche se distingue des menaces classiques comme la pulvérisation de mots de passe ou le vol de jetons. Les attaques par fatigue MFA reposent spécifiquement sur la saturation des utilisateurs d’invitations, en exploitant la confiance et les habitudes liées à l’authentification par notification push. Contrairement au hameçonnage, qui vous incite à livrer vos identifiants, ces attaques misent sur la fatigue décisionnelle et les erreurs humaines, un phénomène particulièrement répandu dans les grandes entreprises, où la fatigue liée aux invitations peut passer inaperçue à grande échelle.

Vous entendrez peut-être aussi parler de « MFA bombing » ou de « MFA spamming » : il s’agit simplement de sous-types qui reposent sur un volume élevé de requêtes pour obtenir le même résultat. Cette tactique est particulièrement efficace dans des environnements comme Microsoft 365 et Azure, où l’accès au cloud et l’authentification unique sont omniprésents. Lors d’une violation de Microsoft 365 récente, les attaquants ont combiné la fatigue MFA au vol de consentement OAuth et à l’abus de jetons de session, ce qui leur a permis de contourner même des contrôles de sécurité robustes.

En résumé : si votre organisation s’appuie sur des notifications push ou sur des méthodes MFA faibles, vous êtes une cible privilégiée de ces attaques. Plus l’activité professionnelle se déroule hors des bureaux traditionnels, plus le risque augmente. Comprendre la fatigue MFA est la première étape pour la verrouiller durablement.

Comment fonctionnent concrètement les attaques par fatigue MFA

1. L’attaque commence par des identifiants volés : l’attaquant obtient d’abord un nom d’utilisateur et un mot de passe valides, souvent par hameçonnage, au moyen d’un logiciel malveillant voleur d’informations (infostealer) ou en les achetant sur le dark web.
2. L’attaquant déclenche des demandes MFA répétées : à l’aide des identifiants dérobés, il tente immédiatement de se connecter, ce qui déclenche le système MFA. Mais au lieu de s’arrêter, il envoie sans relâche des demandes d’authentification, parfois des dizaines, voire des centaines d’affilée, visant la notification push ou l’application téléphonique de la victime.
3. L’utilisateur subit des interruptions constantes : la cible est désormais assaillie d’invitations MFA inattendues, où qu’elle se trouve : au travail, à domicile, parfois même tard le soir. Cela devient agaçant, déplacé et épuisant.
4. La fatigue cognitive et la nature humaine entrent en jeu : à mesure que le flot se poursuit, un utilisateur pourtant attentif peut se laisser distraire, s’habituer ou simplement s’agacer. Il suffit d’un geste accidentel ou d’une approbation donnée « juste pour que ça s’arrête » pour briser la protection.
5. L’attaquant accède aux ressources Microsoft 365 et Azure : une fois la demande approuvée, l’attaquant est dans la place. Il peut alors élever ses privilèges, exfiltrer des données ou effectuer un déplacement latéral, et établir rapidement sa persistance. Dans les cas réels, cette technique est souvent combinée à des méthodes plus avancées, comme l’abus d’OAuth ou les failles de l’accès conditionnel.
6. L’impact s’étend à l’ensemble de l’environnement : si votre équipe n’a pas défini de stratégies claires ou si elle doit encore gérer d’anciennes exceptions, les dégâts peuvent se multiplier. Pour en savoir plus sur le nettoyage de la dette de sécurité liée aux accès conditionnels, afin que vos défenses restent réellement efficaces et ne se limitent pas au papier.

Les attaques par fatigue MFA sont efficaces car elles exploitent le maillon le plus faible de la chaîne : des personnes réelles qui tentent simplement de faire leur travail. La chaîne d’attaque est simple, mais ses conséquences peuvent être considérables.

Comprendre l’authentification multifacteur et ses vulnérabilités

L’authentification multifacteur (MFA) est aujourd’hui au cœur des contrôles de sécurité de la plupart des organisations, en particulier pour les utilisateurs de Microsoft 365 et d’Azure. Le principe est assez simple : vous prouvez votre identité en utilisant plusieurs facteurs d’authentification, comme un mot de passe associé à autre chose (votre téléphone ou une empreinte digitale, par exemple), plutôt qu’un seul.

Elle fonctionne parce que contourner deux facteurs ou plus est censé être bien plus difficile que de deviner un seul mot de passe. Mais la réalité rattrape vite la théorie : même avec ces étapes supplémentaires, les attaquants font preuve d’imagination. Les habitudes humaines, la fatigue face aux notifications et la dépendance croissante aux appareils mobiles ouvrent aux attaquants une nouvelle voie, qui n’a rien à voir avec le fait de casser des codes et tout à voir avec la manipulation des utilisateurs.

Ainsi, si la MFA constitue une ligne de défense essentielle et une bonne pratique pour la sécurité du cloud, elle n’est pas infaillible. Comme vous le verrez, des attaques d’ingénierie sociale telles que la fatigue MFA transforment un outil de sécurité robuste en point de faiblesse si les utilisateurs ne sont pas préparés et si les systèmes ne sont pas bien gouvernés. Si vous souhaitez rendre votre MFA inviolable sans frustrer vos équipes, consultez les recommandations sur les configurations de sécurité efficaces pour Microsoft 365 afin de protéger à la fois les utilisateurs et les données.

Qu’est-ce que l’authentification multifacteur et comment fonctionne-t-elle ?

L’authentification multifacteur, ou MFA, ajoute des couches supplémentaires de vérification d’identité, afin de s’assurer que vous êtes bien celui que vous prétendez être. Elle exige que les utilisateurs fournissent deux types de preuves différents ou plus, appelés facteurs d’authentification, avant d’accéder à un système ou à un compte.

Au lieu de se limiter à un mot de passe, la MFA demande également un code d’appareil, une empreinte digitale ou une autre confirmation. Cette évolution simple déjoue la plupart des attaques basiques sur les identifiants, et c’est pourquoi Microsoft, les banques et les services cloud s’appuient si fortement sur elle. Bien mise en œuvre, la MFA réduit considérablement les accès non autorisés et soutient les principes du zero trust.

Types de facteurs d’authentification

• Quelque chose que vous connaissez : il s’agit de votre mot de passe ou de votre code PIN. C’est un secret que vous seul connaissez, mais un mot de passe faible peut facilement être volé.
• Quelque chose que vous possédez : par exemple un appareil mobile, un jeton matériel ou une clé de sécurité. Ce sont des éléments physiques uniques en votre possession, généralement utilisés comme second facteur.
• Quelque chose que vous êtes : la biométrie, telle que l’empreinte digitale, la reconnaissance faciale ou l’identification vocale. Ces facteurs vérifient votre identité physique et sont donc difficiles à imiter ou à voler.
• Vérification via une application : les applications d’authentification qui génèrent ou reçoivent des codes et des demandes d’approbation, offrant aux utilisateurs une réponse souple et rapide.
• Clés de sécurité (FIDO2) : clés matérielles utilisant la cryptographie à clé publique ; ce sont les solutions les plus performantes contre l’hameçonnage et la fatigue MFA, en particulier lorsqu’elles sont associées à des plateformes cloud comme Microsoft 365.

Méthodes d’attaque : du bombardement MFA aux tactiques d’ingénierie sociale

Il ne suffit plus de se préoccuper uniquement de mots de passe robustes : les attaquants qui ciblent la MFA de votre organisation savent que leur véritable arme secrète consiste à exploiter les habitudes quotidiennes de vos équipes et leur envie naturelle de se débarrasser des contraintes. Cette section présente les méthodes principales à l’origine des attaques par fatigue MFA réussies, en se concentrant sur la technique du « bombardement », fondée sur un volume élevé de sollicitations, et sur des stratégies d’ingénierie sociale habiles.

Dans les environnements très orientés Microsoft, les attaquants combinent technologie et psychologie pour contourner même les dispositifs de sécurité les mieux conçus. Ils peuvent commencer par une approche de spam basique, en envoyant des rafales de demandes d’authentification, ou monter en puissance pour vous piéger avec des sollicitations ciblées et des signaux d’urgence. Comme de nombreux administrateurs sont occupés à gérer des urgences, telles que le Shadow IT, le risque lié aux OAuth ou la prolifération des applications, ces tactiques peuvent passer inaperçues si vous ne restez pas vigilant.

Nous allons détailler comment les attaquants combinent techniques informatiques et manipulations sociales, en exploitant tout, de la lassitude face aux invites cloud à la confusion des utilisateurs. Vous voulez d’autres moyens de colmater les brèches ? Consultez ce guide sur la gouvernance des applications non autorisées et des risques d’accès dans M365.

Explication des attaques MFA Bombing et MFA Spamming

Le MFA bombing, également appelé MFA spamming, consiste pour un attaquant à déclencher de façon répétée des demandes MFA par notification push sur l’appareil d’un utilisateur. L’objectif est de submerger la personne de notifications au point qu’elle soit agacée, désorientée ou qu’elle abandonne et approuve finalement une demande frauduleuse.

Même avec une authentification multifacteur parfaitement configurée sur les comptes Microsoft, cette attaque fonctionne, car la plupart des systèmes autorisent plusieurs tentatives d’authentification en peu de temps. L’utilisateur est confronté à un flux continu d’invites, ce qui conduit à la fatigue puis à la capitulation. Il ne s’agit pas de force brute, mais de la force de l’agacement.

Comment les attaquants exploitent le comportement humain dans les attaques par fatigue MFA

La véritable puissance des attaques par fatigue MFA ne réside pas seulement dans les invites répétées, mais dans la manipulation psychologique. Les attaquants tirent parti de vos réactions naturelles au stress, à l’urgence et à la frustration. Ils savent que, si l’on perturbe votre journée de travail par suffisamment de notifications, vous risquez d’agir par habitude ou par irritation.

Par exemple, un attaquant peut concentrer ses vagues de requêtes aux heures de pointe ou tard le soir, lorsque les utilisateurs sont fatigués. Il peut même faire suivre le spam d’un message d’hameçonnage (« C’est le service informatique, veuillez approuver le MFA pour des mises à jour urgentes ») afin de pousser l’utilisateur à cliquer sur Accepter pour une connexion frauduleuse. La fatigue décisionnelle s’installe, et une seule erreur suffit.

L’écosystème cloud de Microsoft, où l’authentification unique et les demandes d’authentification constantes sont courantes, peut rendre ce phénomène encore plus difficile à repérer. Avec des flux de travail liés à des applications comme Teams, SharePoint ou Exchange, la fatigue liée aux invites ou la banalisation des alertes s’installe facilement, exactement ce sur quoi comptent les attaquants pour contourner vos défenses.

Risque de fatigue MFA pour les effectifs en télétravail et en mode hybride

Aujourd’hui, le télétravail et le travail hybride étant devenus la norme, la donne change. Travailler depuis son domicile, un café ou un hôtel peut exposer bien davantage les utilisateurs aux attaques par fatigue MFA. Lorsqu’ils passent d’appareils personnels à des appareils professionnels, ou se connectent à Microsoft 365 depuis des lieux inhabituels, les attaquants disposent de davantage d’occasions d’agir.

Vos collaborateurs se connectent probablement depuis partout : réseaux domestiques, Wi-Fi public ou points d’accès mobiles. Ces connexions ne sont pas toujours aussi sûres que celles de vos bureaux. De plus, les appareils personnels ne bénéficient pas forcément des mêmes protections, ce qui crée de petites brèches dans votre armure que les attaquants adorent sonder.

Par ailleurs, les organisations qui gèrent des équipes hybrides peinent souvent à maintenir à jour leurs stratégies d’accès et à faire respecter la conformité des appareils pour chaque utilisateur et chaque scénario. Trop d’exceptions ou de règles d’accès conditionnel trop larges deviennent des failles exploitables, non seulement par les utilisateurs, mais aussi par les attaquants. Renforcer ces stratégies et apprendre aux collaborateurs en télétravail à reconnaître les fausses invites est donc essentiel. Pour approfondir les stratégies de référence et les déploiements Zero Trust, consultez le guide sur la création d’un accès conditionnel inclusif et fiable dans Microsoft 365.

Surface d’attaque accrue dans les environnements distants

Lorsque votre infrastructure est dispersée (pensez au Wi-Fi domestique, aux VPN et aux appareils personnels), il est plus facile pour les attaquants de s’infiltrer sans être repérés. Le BYOD (bring your own device, ou apportez votre propre appareil) prive les équipes informatiques de visibilité et de contrôle, et les utilisateurs risquent de manquer des mises à jour critiques ou d’installer des applications dangereuses.

Les réseaux non sécurisés, les tablettes partagées et les terminaux non gérés élargissent votre surface d’attaque. C’est particulièrement vrai pour les collaborateurs hybrides et en télétravail qui se connectent aux systèmes cloud en dehors de l’environnement de bureau sécurisé. Les attaquants ciblent activement ces utilisateurs, sachant que leurs défenses sont plus faibles hors du périmètre de l’organisation.

Stratégies pour atténuer la fatigue MFA dans les équipes hybrides

• Application de l’accès conditionnel : utilisez les stratégies Microsoft Entra ou Azure AD pour exiger des emplacements vérifiés, la conformité des appareils ou des invites fondées sur le risque avant d’accorder l’accès. Pour des approches concrètes, découvrez le Entra ID Conditional Access Security Loop.
• Contrôles de conformité des appareils : n’autorisez l’accès que depuis les appareils respectant les normes de sécurité. Cela réduit le risque lié aux équipements obsolètes ou non gérés.
• Intégration du modèle Zero Trust : adoptez un modèle Zero Trust qui combine identité, état de santé des appareils et contrôles dynamiques des sessions. Vous trouverez des conseils pratiques de conception dans ce podcast sur Zero Trust by Design for Microsoft 365.
• Formation continue et sensibilisation : formez régulièrement les équipes à reconnaître et à signaler toute activité MFA suspecte, en particulier pour le personnel en télétravail et en mode hybride.

Détecter et prévenir les attaques par fatigue MFA : bonnes pratiques

Une fois le fonctionnement des attaques par fatigue MFA compris, l’étape suivante consiste à apprendre à les repérer, puis à les stopper, avant qu’elles ne tournent à la catastrophe. La détection précoce repose avant tout sur la reconnaissance de pics inhabituels de demandes MFA, de volumes élevés de sollicitations pour des comptes individuels ou de tentatives de connexion depuis des emplacements ou des appareils anormaux.

Dans les environnements Microsoft, l’exploitation de journaux d’audit détaillés et d’alertes en temps réel, via des outils comme Microsoft Purview ou Entra ID, peut aider les équipes de sécurité à cibler les signes de problème. La détection ne se limite pas à la recherche de force brute : les attaques par fatigue MFA peuvent être discrètes ou étalées sur plusieurs jours, ce qui exige des analyses plus fines et une surveillance tenant compte du contexte.

La prévention combine technologie et bonnes habitudes. L’authentification basée sur le risque, la correspondance de nombres et la connexion sans mot de passe peuvent limiter l’usage abusif des méthodes MFA héritées. Par ailleurs, la sensibilisation des utilisateurs reste votre meilleur pare-feu humain : les collaborateurs doivent savoir reconnaître une demande suspecte. Pour mettre en pratique l’audit et la gouvernance, consultez le guide pas à pas sur l’audit avec Microsoft Purview ainsi que les bonnes pratiques de gouvernance de la plateforme.

Pratiques éprouvées de prévention et d’atténuation contre la fatigue MFA

• Adoptez l’authentification basée sur le risque : déployez des systèmes qui analysent le contexte de connexion (emplacement, heure ou appareil) pour ne déclencher une sécurité renforcée que lorsque c’est nécessaire, ce qui complique la tâche des attaquants qui tentent d’imiter l’activité d’un utilisateur légitime.
• Activez la correspondance de nombres et la connexion sans mot de passe : privilégiez les méthodes de vérification par notification qui exigent la saisie d’un nombre ou l’utilisation d’une clé de sécurité FIDO2, plutôt qu’un simple clic sur « Approuver ». Ces approches découragent les approbations automatiques et réduisent les confirmations accidentelles.
• Ajustez les paramètres de notification : affinez les seuils d’alerte et d’escalade dans Microsoft Defender et Entra ID, afin que les volumes suspects de demandes MFA retiennent immédiatement l’attention des équipes de sécurité.
• Renforcez la sensibilisation à la sécurité : organisez régulièrement des formations pour apprendre aux utilisateurs à repérer les demandes MFA suspectes et à ne jamais approuver une demande inconnue, en particulier pour les équipes réparties.
• Durcissez les stratégies d’accès conditionnel : examinez les stratégies afin d’en retirer les exceptions obsolètes, et imposez des règles claires et inclusives. Pour vous guider, consultez le Entra ID Conditional Access Security Loop, qui détaille une gestion rigoureuse du cycle de vie des stratégies.

Solutions de sécurité avancées : FIDO2, protection pilotée par l’IA et plateformes de sécurité des identités

Si vous souhaitez aller au-delà des correctifs ponctuels, il est temps de vous intéresser à des solutions de sécurité avancées, résistantes à la fatigue, pour vos locataires Microsoft 365 et Azure. Le premier candidat est FIDO2, une norme d’authentification matérielle conçue pour stopper net à la fois l’hameçonnage et les sollicitations MFA incessantes. Nous verrons également comment l’intelligence artificielle (IA) et l’analyse comportementale identifient les schémas de connexion anormaux et bloquent automatiquement les demandes suspectes.

Les plateformes unifiées de sécurité des identités, comme Exabeam, poussent ces défenses encore plus loin. Elles réunissent la détection des menaces liées aux identités, l’analyse et la réponse rapide au sein des grands environnements Microsoft. Chacun de ces outils offre un avantage distinct lorsque l’objectif est de bloquer aussi bien les cybercriminels que les erreurs des utilisateurs, avant qu’elles ne surviennent, et non après.

Restez attentif aux détails sur le déploiement de FIDO2 et sur la protection par IA qui signale de manière proactive les demandes d’authentification suspectes, afin de vous éloigner de l’authentification MFA par simple notification, dépassée, au profit de systèmes plus intelligents et plus sûrs.

Les clés FIDO2 sont-elles la solution à la fatigue MFA ?

Les clés FIDO2 sont souvent considérées comme la référence en matière d’authentification moderne. Ces clés de sécurité physiques s’appuient sur la cryptographie à clé publique, ce qui les rend pratiquement insensibles au hameçonnage et aux attaques par fatigue MFA. Avec une clé FIDO2, aucune notification push n’est à approuver : il suffit d’appuyer rapidement sur la clé ou de l’insérer pour prouver votre présence.

Microsoft 365 et Azure prennent nativement en charge les clés FIDO2, si bien que les entreprises peuvent les déployer grâce à l’intégration à la plateforme. Et les inconvénients ? Un déploiement à grande échelle peut exiger d’investir dans de nouveaux matériels et de former les utilisateurs, mais la plupart des équipes de sécurité estiment que le compromis en vaut la peine pour les comptes sensibles et les dirigeants.

Utiliser la sécurité pilotée par l’IA et l’analyse comportementale pour stopper les attaques

L’intelligence artificielle est un allié puissant contre les attaques par fatigue MFA. Les systèmes de sécurité pilotés par l’IA, comme ceux de Microsoft Defender et d’Entra ID, détectent automatiquement les schémas anormaux dans les tentatives de connexion, en signalant les emplacements suspects, les déplacements impossibles ou les rafales soudaines de demandes.

L’analyse comportementale s’adapte au fil du temps : elle apprend ce qui est « normal » pour chaque utilisateur et repère rapidement tout ce qui sort de ce schéma. Ces plateformes ne se contentent pas de détecter les signaux d’attaque connus ; elles peuvent aussi rejeter des demandes d’authentification répétées ou inhabituelles avant même que l’utilisateur ne les voie. Pour la surveillance continue et la conformité, consultez les bonnes pratiques de surveillance de Microsoft Defender for Cloud.

Exabeam et la sécurité d’identité unifiée pour les environnements Microsoft

Exabeam est un exemple de plateforme qui unifie la détection et la réponse liées aux identités dans les environnements Microsoft. Grâce à son intégration avec Microsoft 365 et Azure, Exabeam offre une visibilité centralisée, une analyse avancée et un confinement automatisé des menaces liées aux identités, y compris les attaques par fatigue MFA.

Ces plateformes aident les équipes de sécurité à gagner en efficacité opérationnelle et à réduire les délais de réponse, en corrélant les événements d’identité dans le cloud. Plutôt que de traquer chaque alerte manuellement, les équipes SOC obtiennent des informations priorisées et exploitables sur les utilisateurs ciblés et sur la manière de les protéger, à l’aide de playbooks de détection d’attaques éprouvés dans la pratique et adaptés aux écosystèmes Microsoft.

Questions fréquentes, conseils d’experts et prochaines étapes pour se défendre contre les menaces de demain

Vous avez maintenant compris pourquoi la fatigue MFA grimpe dans les classements des risques, et vous vous demandez sans doute ce que vous pouvez faire pour sécuriser votre environnement. Cette dernière partie répond aux questions les plus courantes sur les attaques par fatigue MFA, vous livre des recommandations appuyées par des experts et indique les prochaines étapes concrètes.

Vous vous demandez si le MFA est toujours efficace ? Vous voulez savoir comment distinguer une demande normale d’une attaque ? Ou vous recherchez peut-être des conseils d’experts pour sécuriser les utilisateurs de Microsoft 365 sans leur compliquer la vie ? Nous avons tout couvert, de la détection à la récupération après incident, en passant par les technologies et les stratégies qui transforment une configuration vulnérable en forteresse.

Si vous souhaitez un aperçu des paramètres essentiels et des bonnes pratiques pour concilier sécurité et confort des utilisateurs, consultez ce guide sur une sécurité Microsoft 365 à toute épreuve sans agacer les utilisateurs. Les questions fréquentes, les conseils d’experts et la synthèse ci-dessous vous donnent un plan d’action clair pour neutraliser la fatigue MFA, aujourd’hui comme à mesure que les menaces continueront d’évoluer.

Questions fréquentes sur les attaques par fatigue MFA

• Comment repérer les signes d’une attaque par fatigue MFA ? Surveillez une hausse soudaine des demandes MFA, des demandes répétées en dehors des heures de travail, ou des utilisateurs qui signalent des notifications « étranges ».
• Le MFA est-il toujours efficace ? Oui : le MFA reste un contrôle de sécurité essentiel, mais les méthodes fondées sur la validation (en particulier les notifications push) peuvent être vulnérables sans protections supplémentaires.
• Que doivent faire les utilisateurs s’ils reçoivent une avalanche de demandes ? Refuser et signaler immédiatement. Ne jamais approuver une demande que vous n’avez pas initiée, et prévenir le service informatique afin qu’il puisse agir rapidement.
• Les attaquants peuvent-ils entrer sans mon mot de passe ? Seulement s’ils ont déjà compromis vos identifiants, mais combiner les tactiques de fatigue MFA avec l’hameçonnage, le vol de jetons ou le détournement d’appareils augmente nettement leurs chances de réussite.

Conseils des experts en sécurité et recommandations finales

• Déployez la correspondance de numéros et les clés FIDO2 : abandonnez l’ancienne méthode du « il suffit d’appuyer sur Approuver » au profit d’outils résistants à l’hameçonnage et à la fatigue.
• Appliquez des stratégies d’accès conditionnel strictes et inclusives : cessez de vous abriter derrière les exclusions et examinez toutes vos stratégies sous l’angle du risque.
• Organisez régulièrement des sessions de sensibilisation des utilisateurs : apprenez aux collaborateurs à reconnaître les activités MFA suspectes et à les signaler.
• Auditez les journaux et surveillez les anomalies : utilisez Microsoft Purview et Sentinel pour une détection avancée.
• Préparez un playbook de réponse aux incidents : connaissez les étapes de confinement, d’investigation et de restauration avant qu’une attaque ne survienne.

Conclusion : agir dès maintenant face aux menaces de demain

Les rapports de sécurité font état d’une montée en puissance : plus de 15 % des grandes compromissions d’identité survenues en 2023 impliquaient une forme de fatigue MFA ou d’attaque par notification push. Le facteur humain reste la clé de voûte : les attaquants gagnent lorsque les défenses ne reposent que sur la technologie, sans préparation ni sensibilisation.

Les enseignements sont clairs. Associer les technologies (comme FIDO2, l’analyse par IA et des stratégies de contrôle robustes) à une formation continue des utilisateurs offre un avantage décisif aux organisations. La réussite passe par une démarche proactive : des configurations solides, des stratégies claires et un plan de réponse aux incidents qui ne laisse aucune place à la fatigue ni à la confusion.

Ne considérez pas la fatigue MFA comme une simple gêne : c’est un vecteur d’attaque en constante évolution, qui vise vos utilisateurs, vos données et l’ensemble de votre entreprise. Agissez dès maintenant et restez prêts pour ce qui vient.