Incident en cours ? Signalez-le immédiatement — prise en charge sous 1 heure.Signaler un incident
La fatigue MFA exploite le facteur humain pour contourner l’authentification à deux facteurs. Découvrez les mécanismes d’attaque et les mesures de défense comme le number matching ou les clés FIDO2.
Publié le 26 août 2026 — Ingénierie sociale
La fatigue MFA, ou MFA fatigue, désigne une technique d’ingénierie sociale où l’attaquant inonde la cible de multiples demandes d’authentification, exploitant la tendance à approuver rapidement pour éviter d’être dérangé. En pratique, l’assaillant déclenche plusieurs tentatives de connexion simultanées, générant une avalanche de notifications push sur le smartphone ou l’application d’authentification. Sous la pression du volume, l’utilisateur peut accepter une demande sans vérifier son origine, ouvrant ainsi une porte d’entrée au compte. Cette méthode ne requiert aucune faille technique, seulement la manipulation du facteur humain, ce qui la rend particulièrement efficace contre des équipes de sécurité surchargées ou des utilisateurs peu formés aux risques de l’authentification multifacteur.
Les attaquants utilisent souvent des scripts automatisés pour lancer des tentatives de connexion depuis différents points d’accès, chaque tentative déclenchant une notification MFA. En ciblant des comptes à privilèges élevés, ils augmentent la valeur de la compromission. Un scénario fréquent implique le phishing préalable pour obtenir l’identifiant de l’utilisateur, suivi d’une vague de requêtes MFA visant à épuiser la vigilance de la victime. D’autres variantes exploitent des services cloud ou des VPN où la MFA est obligatoire, multipliant les alertes jusqu’à ce que l’utilisateur accepte par défaut. Ces attaques sont difficiles à détecter car chaque requête apparaît légitime du point de vue du système d’authentification.
Pour contrer la fatigue MFA, il est recommandé d’activer le number matching, qui oblige l’utilisateur à saisir un code affiché sur l’écran de connexion dans l’application d’authentification, rendant l’approbation à distance plus difficile. L’usage de clés de sécurité FIDO2, basées sur le standard WebAuthn, supprime la dépendance aux notifications push en exigeant une authentification physique via un dispositif USB, NFC ou Bluetooth. En complément, la mise en place de limites de taux sur les tentatives d’authentification et l’analyse comportementale des flux MFA permettent de détecter des patterns anormaux. EBH Security conseille d’allier ces mesures techniques à une sensibilisation continue des utilisateurs pour réduire le risque d’erreur humaine.
Au niveau organisationnel, il est essentiel de définir des politiques claires sur la gestion des notifications MFA, incluant des procédures de vérification de l’origine avant toute approbation. Limiter le nombre de comptes disposant d’un accès privilégié et appliquer le principe du moindre privilège réduit l’impact d’une éventuelle compromission. La rotation régulière des dispositifs d’authentification et la désactivation des méthodes de MFA obsolètes (SMS, appels) renforcent la posture de sécurité. Enfin, intégrer des exercices de simulation de fatigue MFA dans les programmes de formation permet de préparer les équipes à reconnaître et à réagir face à ce type d’attaque.
Le number matching consiste à afficher un code numérique sur l’écran de connexion que l’utilisateur doit saisir dans son application d’authentification. Cette étape empêche l’approbation à distance et nécessite la possession du dispositif. La plupart des fournisseurs d’identité (Okta, Azure AD, Duo) proposent ce paramètre dans les options de MFA, généralement sous la rubrique « Authentification push sécurisée ».
Les clés FIDO2 reposent sur le standard WebAuthn, supporté par les navigateurs modernes (Chrome, Edge, Firefox, Safari) et les systèmes d’exploitation récents (Windows 10/11, macOS, Linux, Android, iOS). Elles peuvent être intégrées aux solutions d’identité d’entreprise via des fournisseurs d’identité compatibles ou directement via les API WebAuthn.
Surveiller les logs d’authentification pour repérer un nombre anormal de demandes MFA provenant d’une même adresse IP ou d’un même compte en peu de temps. L’analyse comportementale, associée à des alertes de taux de requêtes élevées, permet d’identifier les tentatives de saturation. En cas de suspicion, il faut bloquer temporairement le compte et alerter l’utilisateur via un canal sécurisé.
