Pourquoi l’authentification multifacteur n’est pas exigée alors qu’elle devrait l’être dans les environnements Microsoft

By Mirko Peters · 2026-04-22

L’authentification multifacteur (MFA) est censée constituer votre filet de sécurité dans Microsoft 365 et Azure, en bloquant les attaquants même lorsqu’ils volent un mot de passe. Mais que se passe-t-il lorsque ce filet est tout simplement absent alors qu’il devrait être là…

Automatically translated with AI from the original post. Read the English original

L’authentification multifacteur (MFA) est censée constituer votre filet de sécurité dans Microsoft 365 et Azure, en bloquant les attaquants même lorsqu’ils volent un mot de passe. Mais que se passe-t-il lorsque ce filet est absent alors qu’il devrait être là ? Le mot « devrait » désigne ces moments critiques : connexions à risque, connexions de comptes administrateurs ou accès depuis des emplacements inhabituels. Si la MFA ne se déclenche pas dans ces cas, votre exposition est réelle, tout simplement.

Ces lacunes apparaissent souvent à cause d’un mélange de problèmes techniques, de paramètres de stratégie confus et même de contournements mis en place par les utilisateurs finaux. Elles résultent parfois d’applications à authentification héritée, de stratégies d’accès conditionnel insuffisantes ou d’une couverture incomplète des utilisateurs. Quelle qu’en soit la cause, l’absence de MFA là où elle compte le plus ouvre la porte aux attaquants et engendre de sérieux problèmes de sécurité.

Comprendre ces défaillances d’application, et les corriger, est essentiel pour garder vos données verrouillées. Si vous souhaitez un aperçu concret de la manière dont les attaquants exploitent ces failles avec le vol de jetons et les manœuvres OAuth, cette analyse d’une compromission de Microsoft 365 montre précisément ce qui est en jeu.

Comprendre où la MFA ne se déclenche pas et pourquoi

La MFA n’est aussi solide que les stratégies et les technologies qui la sous-tendent. Le plus frustrant, c’est que, même lorsque vous êtes certain d’avoir tout bien configuré, il existe de nombreux scénarios dans lesquels la MFA ne s’affiche pas discrètement, y compris pour des utilisateurs critiques ou lors de connexions à risque.

Une cause fréquente est la mauvaise configuration des stratégies d’accès conditionnel. Peut-être un utilisateur VIP a-t-il été exclu « par commodité », ou des comptes de test subsistent-ils avec des autorisations étendues et sans MFA. Ces exclusions peuvent sembler anodines lors de la mise en place, mais elles peuvent percer de véritables brèches dans vos défenses. Si vos stratégies ne sont pas revues régulièrement, vous risquez de vous retrouver avec des failles invisibles qu’aucun tableau de bord ne signalera.

Les applications héritées constituent un autre problème insidieux. Des outils comme Exchange ActiveSync ou certains clients de messagerie de bureau utilisent souvent une authentification obsolète, contournant la MFA moderne par défaut. Ces applications non basées sur un navigateur reposent sur l’authentification de base, qui n’est pas compatible avec votre configuration MFA récente, ce qui peut entraîner des connexions échappant totalement à votre contrôle.

N’oubliez pas non plus le comportement des utilisateurs. Certains génèrent des « mots de passe d’application » pour connecter d’anciennes applications, ce qui contourne entièrement la MFA. D’autres accordent involontairement des autorisations OAuth à des applications tierces via des invites de consentement risquées, offrant ainsi aux attaquants une porte dérobée qui ne sera jamais soumise à la MFA. C’est là que la gouvernance prend toute son importance, car les utilisateurs peuvent contourner la MFA sans même mesurer le risque.

Pour les organisations évoluant dans des environnements hybrides ou multicloud, ces lacunes se multiplient. Si vous n’auditez pas systématiquement qui et quoi est soumis à la MFA, vous risquez de passer à côté d’expositions critiques. Examiner les tableaux de bord d’identité de toutes les plateformes est le seul moyen de cartographier votre couverture réelle. Comprendre où la MFA échoue constitue le socle du renforcement de vos contrôles et de la protection de chaque connexion, quels que soient son mode ou son emplacement.

Mettre en œuvre des méthodes MFA résistantes à l’hameçonnage pour une authentification sécurisée

La MFA standard est efficace, jusqu’à ce que les attaquants trouvent comment piéger les utilisateurs par lassitude face aux notifications push, invites d’hameçonnage ou vol de jetons. C’est pourquoi le passage à une MFA résistante à l’hameçonnage compte réellement si vous voulez claquer la porte aux attaques modernes.

La correspondance de nombres dans les applications d’authentification constitue une amélioration solide. Au lieu d’approuver une notification push générique, l’utilisateur doit saisir un code, ce qui rend presque impossible qu’un attaquant le piège par bombardement de notifications. Microsoft et d’autres acteurs poussent fortement dans ce sens et l’activent par défaut pour les nouvelles configurations MFA. Cela répond directement aux astuces de bombardement de notifications utilisées lors de compromissions très médiatisées.

Les clés de sécurité physiques comme YubiKey et les jetons FIDO2 vont encore plus loin. Ces clés ne peuvent pas être hameçonnées et ne reposent pas sur des secrets partagés. Dans les environnements très sensibles, ou pour les administrateurs et les dirigeants, c’est presque un « mode verrouillage » : une authentification matérielle qui bloque net la plupart des techniques d’attaque réelles.

Vous n’avez pas non plus à sacrifier l’ergonomie. Grâce aux options d’authentification sans mot de passe modernes et à l’intégration poussée avec des plateformes comme Microsoft 365 et Defender, vous pouvez intégrer une MFA résistante à l’hameçonnage directement dans vos processus existants. Pour des exemples concrets d’intégration de l’accès conditionnel à la protection contre les menaces avancées, tout en préservant une expérience utilisateur fluide, consultez ce guide sur les paramètres de sécurité renforcés de M365. Passer à une MFA résistante à l’hameçonnage n’est pas simplement un « plus » : elle devient rapidement la nouvelle référence minimale pour se protéger contre des attaquants sophistiqués.

MFA sans coût supplémentaire pour les petites entreprises avec Microsoft Entra ID

Si vous dirigez une petite entreprise, vous n’avez pas besoin d’un budget considérable ni de licences sophistiquées pour mettre en place une MFA efficace. Microsoft Entra ID (anciennement Azure AD) propose des paramètres de sécurité par défaut que chaque entreprise peut activer en quelques clics.

Activez les paramètres de sécurité par défaut depuis le Centre d’administration Microsoft Entra. La MFA est alors immédiatement imposée à tous les utilisateurs, sans construction complexe de stratégies ni licence complémentaire. Le plus intéressant ? Ces paramètres préconfigurés fonctionnent dès le départ : ils offrent une protection de base contre la compromission de comptes et bloquent par défaut les protocoles d’authentification héritée.

Le déploiement doit être mené avec soin. Prévenez vos utilisateurs à l’avance pour que personne ne soit pris au dépourvu par les nouvelles invites. Accompagnez ceux qui connaissent moins bien les outils MFA ou les applications d’authentification. Si possible, testez d’abord la configuration auprès d’un groupe pilote, afin de vous assurer qu’aucune mauvaise surprise ne survient avec les applications métier critiques ou les comptes de service.

L’essentiel est de ne pas se contenter d’un « on configure et on oublie ». Vérifiez régulièrement qui est soumis aux paramètres de sécurité par défaut, et recherchez les comptes qui pourraient passer entre les mailles du filet. Si vous avez besoin à terme de contrôles plus granulaires, envisagez d’ajouter l’accès conditionnel par étapes, en commençant simplement et de manière sécurisée. Pour un plan de déploiement sûr et des pistes pour combler les lacunes invisibles, ce guide pratique sur l’accès conditionnel présente les pièges à éviter et les stratégies à connaître.

MFA pour les entreprises : bonnes pratiques d’application des stratégies et d’atténuation des risques

1. Appliquez la MFA de manière universelle, sans exception de confort. Assurez-vous que tous les comptes utilisateurs (pas seulement ceux des administrateurs) sont couverts par les stratégies MFA, y compris les comptes du personnel temporaire, des prestataires et des dirigeants. Les exclusions doivent rester rares, toujours limitées dans le temps et solidement justifiées sur le plan métier.
2. Sécurisez les comptes de service et les comptes non humains avec des solutions modernes. Les comptes de service traditionnels constituent souvent d’importantes lacunes en matière de MFA. Modernisez-les à l’aide d’outils comme les Entra Workload Identities, qui assurent une authentification gérée, ainsi que la gestion du cycle de vie et la traçabilité. Pour en savoir plus sur cette approche, consultez cette analyse des risques liés aux identités non humaines.
3. Accompagnez les utilisateurs avec une formation et un support adaptés. Aidez les utilisateurs à configurer les applications d’authentification ou les jetons physiques, et expliquez-leur pourquoi la MFA est importante. Assurez un support du service d’assistance pendant le déploiement, en particulier pour les utilisateurs peu familiers des nouvelles invites MFA, comme la correspondance de nombres.
4. Surveillez les tentatives de contournement de la MFA et les connexions anormales. Configurez des alertes et des journaux pour détecter l’absence de MFA dans des scénarios à risque élevé attendus, ou l’utilisation de protocoles hérités qui passent à travers les mailles. Automatisez la réponse aux incidents dans la mesure du possible, par exemple en réinitialisant les mots de passe ou en déclenchant une vérification MFA renforcée lors de connexions à risque.
5. Auditez régulièrement la couverture MFA et la conformité des stratégies. Ne considérez pas la couverture comme acquise. Utilisez les tableaux de bord et les rapports d’identité dans Microsoft 365, ainsi que sur les autres plateformes si votre environnement est multicloud. Traduisez les constats en rapports clairs afin que la DSI et la direction voient où subsistent les risques. Une gouvernance efficace ne se limite pas aux boutons et aux bascules ; pour aller plus loin, étudiez les enseignements tirés des échecs de gouvernance de M365.

En suivant cette liste de contrôle, vous réduisez fortement le risque que des attaquants contournent la MFA, quelle que soit leur technique. La cohérence, des stratégies claires et des revues régulières permettent de maintenir une protection solide et de refermer les failles.