MFA : pourquoi un mot de passe ne suffit plus

Les mots de passe fuient par les brèches de services tiers, se devinent quand ils sont réutilisés, se volent par hameçonnage et s’essaient par millions grâce aux attaques automatisées. Même un « bon » mot de passe ne protège plus un compte important à lui seul : il suffit qu’il ait été utilisé sur un site compromis pour qu’il soit tenté ailleurs.

L’authentification multifacteur (MFA) ajoute une seconde preuve — quelque chose que vous avez (téléphone, clé de sécurité) ou que vous êtes (empreinte) — en plus du mot de passe. Un attaquant qui vole le mot de passe se retrouve bloqué, car il n’a pas le second facteur.

Toutes les MFA ne se valent pas. Le code reçu par texto vaut mieux que rien, mais reste vulnérable au transfert de numéro (SIM swapping) et à l’interception. L’application d’authentification (Microsoft Authenticator, Google Authenticator ou équivalent) génère des codes locaux à durée limitée : c’est le bon standard pour une PME. Les clés de sécurité physiques et les méthodes dites « résistantes à l’hameçonnage » offrent le niveau le plus élevé pour les comptes critiques.

Annoncez le changement, fixez une date, accompagnez la configuration poste par poste et prévoyez une méthode de secours (codes de récupération conservés en lieu sûr, second téléphone de confiance). Le principal écueil n’est pas technique : c’est l’employé qui perd son téléphone sans méthode de repli et se retrouve verrouillé hors de ses outils.

Dans Microsoft 365, la MFA s’impose par des politiques de sécurité plutôt que par la bonne volonté de chacun. SolutionsCW configure ces politiques, documente les méthodes de récupération et vérifie qu’aucun compte — y compris les comptes de service — ne reste sans protection.

La MFA ne remplace ni les mises à jour, ni les sauvegardes, ni la vigilance face à l’hameçonnage : certaines attaques récentes tentent de faire approuver la connexion par la victime elle-même (fatigue par notifications). La règle est simple : n’approuvez jamais une demande de connexion que vous n’avez pas vous-même déclenchée, et signalez les demandes répétées à votre support.