Risques de contournement de MFA

La MFA réduit considérablement les prises de contrôle de comptes, mais ce n’est pas une solution miracle.

Les attaquants ont mis au point plusieurs techniques pour contourner les formes moins robustes de MFA.

L’échange de carte SIM trompe un opérateur mobile pour qu’il transfère le numéro de téléphone d’une victime vers la carte SIM de l’attaquant.

Tous les codes fondés sur les SMS parviennent alors à l’attaquant. C’est pourquoi les SMS constituent le facteur secondaire le plus faible.

Des outils tels que les proxys d’interposition contrôlés par l’adversaire s’interposent entre l’utilisateur et le véritable site.

Ils relaient la connexion et le code OTP en temps réel, puis volent le cookie de session ainsi obtenu. Cela permet de contourner les SMS, TOTP et même les notifications push.

Si un attaquant vole un jeton ou cookie de session authentifié après la MFA, il contourne entièrement la MFA.

Des logiciels malveillants, des données de navigateur volées ou XSS peuvent divulguer ces jetons.

Avec une MFA fondée sur les notifications push, les attaquants qui possèdent déjà le mot de passe envoient des demandes d’approbation en masse.

Un utilisateur épuisé ou désorienté finit par toucher Approuver, accordant ainsi l’accès. La correspondance de nombres protège contre ce type d’attaque.

Les processus de récupération de compte constituent souvent un point faible. Si la réinitialisation d’un mot de passe ou de la MFA ne nécessite qu’un lien envoyé par e-mail ou une question de sécurité, les attaquants ciblent plutôt ce point.

La récupération doit être aussi robuste que la connexion principale.

La défense la plus robuste est une MFA résistante à l’hameçonnage : les clés de sécurité FIDO2 et les clés d’accès.

Comme les identifiants sont liés à l’origine réelle, un site d’hameçonnage servant de proxy ne peut pas relayer une authentification valide.

L’hameçonnage en temps réel échoue face à FIDO2, car la clé de sécurité signe un défi lié au domaine frauduleux, que le véritable serveur rejette.

L’utilisateur n’a aucun code à saisir de nouveau et aucun secret réutilisable ne peut être volé.

Associez la MFA à d’autres contrôles :

• Authentification renforcée fondée sur le risque
• Durées de vie courtes des sessions et réauthentification pour les actions sensibles
• Liaison à l’appareil et liaison au jeton
• Surveillance des déplacements impossibles

Pour combler la faille de récupération :

• Évitez les questions de sécurité.
• Exigez une deuxième clé enregistrée pour réinitialiser la MFA.
• Ajoutez des délais et des notifications lors des tentatives de récupération.

Même une MFA robuste bénéficie d’utilisateurs vigilants :

• N’approuvez jamais une notification push que vous n’avez pas initiée.
• Méfiez-vous des demandes de connexion urgentes.
• Signalez immédiatement les demandes de MFA inattendues.

Quelle méthode MFA résiste le mieux à un proxy d’hameçonnage en temps réel qui relaie les codes et vole les cookies de session ?

Vous avez appris comment la MFA est contournée et comment la renforcer.

• L’échange de carte SIM, l’hameçonnage en temps réel, le vol de sessions et la fatigue liée à la MFA sont des menaces majeures.
• La MFA résistante à l’hameçonnage (FIDO2 / clés d’accès) constitue la défense la plus robuste.
• Renforcez les processus de récupération et appliquez une défense en profondeur.

Module suivant : gestion des identités et des accès.