Pourquoi l’authentification multifacteur par SMS n’est plus sécurisée pour Microsoft 365

By Mirko Peters · 2026-10-26

Découvrez pourquoi l’authentification multifacteur par SMS expose les locataires Microsoft 365 au SIM swapping et au phishing, et ce que vous devriez utiliser à la place.

Automatically translated with AI from the original post. Read the English original

L’authentification multifacteur par SMS constitue depuis longtemps la deuxième étape par défaut, tant pour les administrateurs informatiques que pour les utilisateurs finaux. Pourtant, sa dépendance au réseau téléphonique traditionnel la rend dangereusement vulnérable aux cyberattaques modernes, comme le SIM swapping et le phishing ciblé.

Points clés

• L’authentification multifacteur par SMS repose sur le réseau téléphonique public, ce qui la rend vulnérable à l’interception et au SIM swapping.
• Les recherches de Google et de Verizon montrent que les codes SMS échouent beaucoup plus souvent face au phishing ciblé que les notifications push modernes ou les clés d’accès.
• Les rapports de Verizon sur les violations de données recommandent explicitement de ne pas utiliser les codes SMS pour la vérification de connexion.
• Abandonner le SMS exige de prévoir des méthodes de vérification double afin d’éviter la surcharge du service d’assistance et les verrouillages définitifs de comptes.

L’illusion de sécurité des codes SMS

Lorsque les organisations mettent en place l’authentification multifacteur pour la première fois, les messages texte semblent souvent être une bonne solution. Ils sont universellement pris en charge, ne nécessitent aucune installation logicielle et fonctionnent sur pratiquement tous les appareils mobiles. Toutefois, du point de vue de l’architecture de sécurité, le SMS enfreint une règle fondamentale d’une vérification d’identité robuste : son mécanisme de livraison est intrinsèquement défaillant.

Un SMS transite par le réseau de télécommunications standard avant d’atteindre votre téléphone. Comme cette infrastructure a été conçue il y a plusieurs décennies avec très peu de préoccupations de sécurité, elle peut être interceptée, redirigée ou manipulée. Les criminels exploitent régulièrement cette faille grâce à une technique appelée SIM swapping. En manipulant par ingénierie sociale le personnel d’assistance des opérateurs mobiles, les attaquants peuvent transférer votre numéro de téléphone vers une carte SIM insérée dans leur propre smartphone. Une fois ce transfert effectué, chaque code d’authentification destiné à votre compte parvient directement à l’attaquant.

Ce que disent les recherches sur l’authentification multifacteur par SMS

Les données de sécurité dressent un tableau sévère de l’efficacité de la vérification par SMS. Si les codes envoyés par message offrent une défense suffisante contre les attaques automatisées et peu sophistiquées de bourrage d’identifiants, leur efficacité chute nettement lorsque de véritables adversaires humains entrent en jeu.

Des études de sécurité majeures menées par Google ont révélé que, si les codes SMS bloquaient environ quatre-vingt-seize pour cent des tentatives de phishing de masse, leur efficacité diminuait fortement face aux campagnes ciblées. Lorsqu’un attaquant concentre ses efforts sur une personne ou une organisation précise, les codes SMS n’offrent plus une protection fiable. En conséquence, les principaux référentiels de cybersécurité et les enquêtes annuelles sur les violations de données, y compris les rapports de Verizon, recommandent désormais d’abandonner progressivement les messages texte et les appels vocaux pour la vérification de connexion.

Attaques de type adversary-in-the-middle

Le principal inconvénient de tout code saisi manuellement est qu'il peut être détourné. Dans une attaque de type adversaire au milieu, un acteur malveillant déploie un clone d'une page de connexion Microsoft 365 d'une fidélité parfaite au pixel près. Lorsque vous saisissez votre mot de passe et votre code SMS dans ce faux portail, le proxy transmet immédiatement vos identifiants au service réel. Le système vous accorde l'accès, et l'attaquant capture un jeton de session actif, contournant entièrement vos défenses alors même que vous avez saisi un code valide.

Passer du SMS à des alternatives modernes

S'éloigner des messages texte exige de comprendre la hiérarchie des deuxièmes facteurs disponibles. Pour protéger réellement votre environnement Microsoft 365, les organisations doivent faire migrer leurs utilisateurs vers des méthodes qui éliminent les secrets réutilisables et la dépendance aux opérateurs télécoms.

Applications d'authentification et correspondance des numéros

Les applications d'authentification représentent un progrès considérable par rapport au SMS. En générant localement sur l'appareil des mots de passe à usage unique basés sur le temps et renouvelés en continu, elles contournent entièrement le réseau téléphonique. De plus, avec des solutions d'entreprise comme l'application Microsoft Authenticator, des fonctionnalités telles que la correspondance des numéros neutralisent les attaques par bombardement de notifications. Les utilisateurs doivent regarder l'écran de connexion, lire un numéro aléatoire et le saisir dans leur application mobile, ce qui garantit qu'ils approuvent consciemment une tentative de connexion qu'ils ont eux-mêmes initiée.

Clés d'accès résistantes au hameçonnage et clés de sécurité

La référence en matière d'authentification moderne est constituée par les clés matérielles résistantes au hameçonnage ou les clés d'accès de plateforme. Ces mécanismes reposent sur la cryptographie à clé publique. Votre appareil détient une clé cryptographique privée qui ne quitte jamais le matériel. Lors de l'authentification, le site émet un défi cryptographique que votre appareil signe. Un faux site d'hameçonnage ne peut pas forger cette signature, ce qui rend les attaques de type adversaire au milieu totalement inopérantes. Les propres indicateurs de Microsoft montrent que les connexions par clé d'accès sont nettement plus rapides que la combinaison traditionnelle mot de passe et invite MFA standard, ce qui prouve que une sécurité renforcée n'a pas nécessairement de conséquences sur l'expérience utilisateur.

Gérer la transition au sein de votre organisation

Imposer une stratégie qui interdit l'authentification par SMS peut susciter des réticences si l'on n'y prend pas garde. Les administrateurs informatiques doivent planifier les déploiements de façon stratégique. Commencez par cibler les comptes à haut risque, comme les administrateurs globaux, le personnel financier et les utilisateurs ayant accès aux portails d'infrastructure critiques. Fournissez aux utilisateurs au moins deux méthodes de vérification valides, ainsi que des procédures de récupération claires et testées, afin d'éviter de bloquer des utilisateurs légitimes hors de leurs comptes lorsqu'un téléphone est perdu ou remplacé.

Conclusion et prochaines étapes

Si toute forme d'authentification multifacteur est indéniablement préférable à un simple mot de passe, le maintien des codes SMS expose les environnements cloud modernes à des risques évitables. Passer aux applications d'authentification avec correspondance des numéros, ou aux clés d'accès entièrement résistantes au hameçonnage, transforme votre posture de sécurité d'un dos-d'âne fragile en une défense résiliente.

Pour approfondir les mécanismes de protection des identités, les configurations de sécurité cloud et les stratégies d'authentification modernes, n'hésitez pas à consulter la discussion associée sur notre podcast. Écoutez l'épisode complet et rejoignez-nous pour découvrir tout ce dont vous avez besoin pour sécuriser vos environnements Microsoft 365 et Azure.

Questions fréquentes

Pourquoi le SMS est-il considéré comme une méthode d'authentification multifacteur faible ?

Les codes SMS transitent par le réseau de télécommunications et non par un canal applicatif chiffré. Ils sont donc vulnérables aux attaques de type échange de carte SIM, au cours desquelles des criminels trompent les opérateurs mobiles pour transférer votre numéro de téléphone vers un appareil qu'ils contrôlent.

Microsoft 365 permet-il aux administrateurs de désactiver l'authentification par SMS ?

Oui, les administrateurs Microsoft 365 peuvent utiliser les contrôles de stratégie des méthodes d'authentification dans Entra ID pour restreindre ou désactiver les options SMS et appel vocal, orientant ainsi les utilisateurs vers des options plus sûres comme l'application Microsoft Authenticator ou les clés FIDO2.

Comment les méthodes de correspondance des numéros des applications d'authentification empêchent-elles l'hameçonnage ?

La correspondance des numéros oblige l'utilisateur à saisir dans son application d'authentification un numéro précis affiché sur son écran de connexion. Cela empêche les utilisateurs d'approuver aveuglément une demande par simple réflexe, lors d'une fatigue liée aux notifications ou d'une attaque de type adversaire au milieu.

Quelle est la meilleure alternative aux codes SMS pour les utilisateurs d'entreprise ?

Les clés de sécurité FIDO2 et les passkeys modernes offrent le niveau de sécurité le plus élevé, car elles sont totalement résistantes à l’hameçonnage et reposent sur la cryptographie à clé publique plutôt que sur des codes réutilisables.