La menace qui est passée en tête

Dans le communiqué accompagnant son rapport d'activité, le 26 mars 2026, Cybermalveillance.gouv.fr place le piratage de comptes en ligne en tête des menaces touchant les professionnels, en hausse de 45 % sur l'année 2025. Tous publics confondus, l'hameçonnage occupe le premier rang avec +70 %, et les demandes d'assistance liées aux violations de données bondissent de 107 %. Le dispositif a assisté plus de 500 000 victimes sur l'année, soit 20 % de plus qu'en 2024.

Ces chiffres racontent une seule mécanique. Des bases de données fuitent, les identifiants circulent, et l'attaquant n'a plus besoin de « pirater » quoi que ce soit : il se connecte. Le mot de passe n'est plus un secret, c'est une donnée en vente. Le second facteur devient donc la seule chose qui reste entre un inconnu et votre messagerie professionnelle.

D'où la question qui nous est posée en clientèle, presque toujours dans ces termes : « on a mis la double authentification, on est bon ? » La réponse honnête est : cela dépend entièrement de laquelle.

Multifacteur n'est pas synonyme de fort

L'ANSSI consacre à cette confusion tout un passage de son guide Recommandations relatives à l'authentification multifacteur et aux mots de passe (référence ANSSI-PG-078, publié le 8 octobre 2021). Le texte est net : une authentification multifacteur fait simplement intervenir plusieurs catégories de facteurs, et ces facteurs « pris indépendamment ou ensemble, ne sont pas forcément considérés comme étant forts ». L'exemple que l'agence donne pour illustrer ce cas est très exactement celui que la plupart des PME utilisent : « un mot de passe associé à un code temporaire reçu par SMS ».

Une authentification forte, dans le vocabulaire de l'agence, repose sur un mécanisme cryptographique robuste — typiquement un protocole défi-réponse où le secret ne quitte jamais l'appareil de l'utilisateur. Ce que l'ANSSI reproche au SMS n'est donc pas le format du code, mais le canal par lequel il arrive : le guide range d'ailleurs les codes temporaires d'application (TOTP, HOTP) parmi ses exemples d'authentification forte reposant sur un facteur de possession, au même titre que les protocoles FIDO2 — parce que la clé qui les engendre, elle, ne circule pas.

Ses deux premières recommandations sont d'ailleurs distinctes et cumulatives : R1, privilégier l'authentification multifacteur ; R2, privilégier l'utilisation de moyens d'authentification forts. Cocher la première sans regarder la seconde, c'est la moitié du travail.

Pourquoi le SMS a été écarté

La recommandation R8 du même guide ne s'embarrasse pas de nuance : « Ne pas utiliser le SMS comme moyen de réception d'un facteur d'authentification ». Un encadré d'avertissement va plus loin encore et qualifie de méthode « à proscrire » toute authentification reposant sur la réception d'une valeur par un canal peu ou pas sécurisé.

Trois raisons, toutes documentées dans le guide :

Le guide date de 2021, et c'est un point qui compte : ce n'est pas une alerte de la semaine, c'est une position stable de l'agence nationale depuis près de cinq ans. Elle est simplement restée sans effet dans beaucoup d'entreprises.

Le problème que le SMS ne résout pas — et l'application non plus

Remplacer le SMS par une application d'authentification est un progrès réel. Ce n'est pas une solution complète, et il faut le dire clairement plutôt que de vendre une fausse tranquillité.

La technique la mieux documentée aujourd'hui pour contourner le multifacteur s'appelle adversary-in-the-middle — ce que le guide de l'ANSSI nomme, dans son glossaire, une attaque de l'homme-du-milieu. Le principe est d'une simplicité désarmante : la fausse page de connexion n'imite pas le service, elle s'y connecte en direct. Vous saisissez votre identifiant, il est relayé au vrai serveur ; celui-ci demande le code, la fausse page vous le demande à son tour, vous le donnez, il est relayé. Le service authentifie la session — et l'attaquant, placé au milieu, récupère le cookie de session. À partir de là, il est connecté, et n'a plus besoin ni de votre mot de passe ni de votre second facteur. Changer le mot de passe ensuite ne suffit pas toujours : il aura pu enregistrer sa propre application d'authentification ou poser une règle de transfert dans la boîte mail.

Ces kits ne relèvent pas du cas d'école. Microsoft, qui a annoncé en mars 2026 avoir contribué avec Europol à la désorganisation de l'infrastructure de l'un des plus répandus d'entre eux, décrit une plateforme vendue comme un service, dirigée contre les comptes Microsoft 365 et Gmail — c'est-à-dire contre la messagerie de n'importe quelle PME. Microsoft est ici partie prenante : l'éditeur documente une menace qui vise ses propres produits et promeut ses propres réponses. Le mécanisme, lui, est décrit à l'identique par l'éditeur français de renseignement sur la menace Sekoia.io, qui suit ce kit depuis 2023.

Retenons la conséquence pratique : tout facteur que l'utilisateur peut recopier ou approuver peut être relayé. Code SMS, code d'application, notification « c'est bien vous ? » — les trois tombent devant la même attaque.

Le classement, du moins bon au meilleur

C'est là qu'il faut arrêter de penser le MFA comme une case à cocher, et le penser comme un classement.

Une réserve, et elle est décisive en pratique : cette résistance ne vaut que si les méthodes plus faibles ont été retirées du compte. Tant qu'un code par SMS ou une application reste enregistré en secours, c'est lui que l'attaquant visera — on ne remplace pas une serrure en laissant l'ancienne porte ouverte à côté. Et aucune passkey ne protège un poste déjà compromis, où le cookie de session peut être volé après une connexion parfaitement légitime.

Une passkey n'est pas nécessairement un objet à acheter : elle peut vivre dans le téléphone, dans l'ordinateur ou dans un gestionnaire de mots de passe d'entreprise. La clé physique garde un avantage pour les comptes d'administration, parce qu'elle se range dans un coffre et ne suit pas un salarié qui part.

Ce qui tient dans une matinée

Rien de ce qui suit ne demande de budget significatif.

1. Faire la liste des comptes qui font mal. Pas tous les comptes : ceux dont la perte serait grave. En pratique, presque toujours les mêmes six — la messagerie, la banque, le compte chez le bureau d'enregistrement du nom de domaine, l'hébergeur, la comptabilité, et la console d'administration Microsoft 365 ou Google Workspace. Le compte de domaine est celui qu'on oublie le plus souvent et celui dont la perte est la plus difficile à rattraper.

2. Commencer par les comptes d'administration. Ce sont eux qui donnent accès à tous les autres, et ils sont peu nombreux. Comptez deux clés par personne — une principale, une de secours rangée à part : avec une clé unique, la perdre revient à se verrouiller dehors. À 25 à 60 € pièce, équiper trois administrateurs représente quelques centaines d'euros, une fois.

3. Remplacer le SMS par une application partout où la clé n'est pas encore possible. L'opération prend deux minutes par compte. Pensez à retirer ensuite le numéro de téléphone des méthodes de secours : le laisser en place, c'est laisser la porte que l'on vient de condamner.

4. Traiter les codes de secours comme des clés de bureau. Imprimés, rangés dans le coffre ou l'armoire fermée — jamais dans la boîte mail qu'ils sont censés protéger, jamais dans un fichier sur le bureau. Nous appliquons aux comptes la même logique qu'aux données dans notre article sur la règle de sauvegarde 3-2-1 : ce qui n'existe qu'à un seul endroit n'existe pas vraiment.

5. Ne pas oublier les comptes qui n'appartiennent à personne. La boîte contact@, le compte partagé du logiciel de facturation, l'accès laissé à un prestataire. Ce sont ceux dont personne ne se sent responsable, donc ceux qui n'ont jamais de second facteur.

6. Que faire quand un service n'offre que le SMS ? Cela arrive encore, notamment chez certaines banques. Dans ce cas, garder le SMS reste très supérieur à ne rien avoir — l'ANSSI elle-même reconnaît que ces mécanismes permettent de limiter ou de détecter des tentatives frauduleuses en l'absence d'alternative. Mais on l'inscrit sur la liste des points faibles connus, et on le redemande à l'éditeur à chaque renouvellement de contrat.

Notre lecture

La double authentification a été présentée pendant dix ans comme un interrupteur : activé, donc protégé. Cette lecture n'est plus tenable. Ce qui protège aujourd'hui un compte professionnel, ce n'est pas la présence d'un second facteur, c'est lequel — et l'écart entre le bas et le haut du classement est plus grand que l'écart entre « rien » et « SMS ».

La bonne nouvelle, c'est que la marche à franchir est courte. Une PME de vingt personnes qui passe ses six comptes sensibles en clé FIDO2 ou en passkey se retire de la trajectoire de la famille d'attaques la plus courante — pour quelques centaines d'euros de matériel et une demi-journée de mise en place. C'est l'un des rares endroits de la sécurité informatique où le rapport entre l'effort et le résultat est aussi favorable.

Le second facteur ne dispense évidemment pas de reconnaître un message frauduleux : nous détaillons les signaux à apprendre dans notre article sur la vague de faux remboursements d'impôts. Et si vous préférez que quelqu'un fasse le tour avec vous, c'est le quotidien de notre offre Matériel professionnel & cybersécurité.

Sources : guide ANSSI-PG-078 « Recommandations relatives à l'authentification multifacteur et aux mots de passe » du 8 octobre 2021, pour la distinction entre authentification multifacteur et authentification forte, les recommandations R1, R2 et R8, les exemples d'authentification forte reposant sur un facteur de possession et les trois faiblesses du SMS ; communiqué de presse de Cybermalveillance.gouv.fr du 26 mars 2026 accompagnant son rapport d'activité, pour les chiffres 2025 (piratage de comptes en tête des menaces professionnelles, +45 % ; hameçonnage, +70 % ; violations de données, +107 % ; plus de 500 000 victimes assistées). Le fonctionnement des kits d'hameçonnage par interception de session est décrit par l'éditeur Microsoft dans une publication du 4 mars 2026 — éditeur partie prenante, dont les produits sont visés et qui promeut ses propres solutions — et, indépendamment, par l'éditeur français Sekoia.io, qui analyse ce kit depuis 2023. Nous n'avons repris aucun chiffre que nous n'ayons pu lire dans sa source d'origine.