Un mot de passe, même long et complexe, peut se retrouver dans une base de données volée en quelques heures. Le problème ne vient pas toujours de sa robustesse : il suffit qu’un site où vous l’utilisez subisse une fuite pour que l’accès à votre compte soit compromis. L’authentification à double facteur ajoute une barrière concrète à ce scénario, mais toutes les méthodes ne se valent pas, et les attaquants ont appris à en contourner plusieurs.
Kits de phishing et contournement de la double authentification : ce qui a changé
Vous avez peut-être activé la vérification en deux étapes sur votre messagerie ou votre banque en ligne. Un code par SMS arrive, vous le saisissez, et l’accès est validé. Ce mécanisme a longtemps été considéré comme suffisant.
Les kits de phishing récents ont changé la donne. En juillet 2026, le kit Kratos, spécialisé dans le contournement de la MFA, a été démantelé après avoir ciblé massivement des comptes Microsoft 365. Son fonctionnement reposait sur des attaques dites « Adversary-in-the-Middle » (AiTM) : le kit intercepte le code à usage unique en temps réel, entre l’utilisateur et le vrai site, puis l’utilise avant expiration.
Ce type d’attaque ne vise pas la faiblesse du mot de passe. Il exploite le fait que le code SMS ou OTP transite par un canal interceptable. Le résultat est le même : l’attaquant accède au compte malgré la double authentification activée.
Une autre technique, le « device code phishing », va encore plus loin. Documentée en août 2026, elle détourne le flux d’autorisation OAuth 2.0 (RFC 8628) pour obtenir un jeton de session déjà authentifié. L’utilisateur clique sur une URL parfaitement légitime (par exemple login.microsoftonline.com), autorise un appareil, et l’attaquant récupère un accès sans jamais toucher au mot de passe ni au second facteur. Codes OTP, jetons matériels, clés FIDO2 : cette méthode les rend tous inopérants dans ce scénario précis.
SMS, application, clé physique : hiérarchie réelle des facteurs de sécurité
Tous les seconds facteurs d’authentification ne protègent pas de la même façon. Voici comment les situer, du moins résistant au plus résistant face aux attaques actuelles :
- Le code par SMS reste le plus répandu. Il protège contre le vol simple de mot de passe, mais il est vulnérable au SIM swapping (détournement de carte SIM) et aux kits de phishing AiTM comme Kratos.
- L’application d’authentification (type Google Authenticator ou Microsoft Authenticator) génère des codes localement sur le téléphone. Elle supprime le risque lié au réseau mobile, mais reste exposée aux attaques AiTM si l’utilisateur saisit le code sur un faux site.
- Les clés physiques FIDO2 et les passkeys vérifient l’identité du site avant d’envoyer la réponse cryptographique. Seules les clés FIDO2 résistent au phishing AiTM, car elles refusent de s’authentifier si le domaine ne correspond pas exactement au service légitime.
Le choix du second facteur dépend du niveau de risque. Pour un compte de réseau social personnel, une application d’authentification suffit largement. Pour une messagerie professionnelle ou un accès bancaire, une clé FIDO2 ou une passkey offre une protection nettement supérieure.
Passkeys et norme FIDO2 : le second facteur qui vérifie le site à votre place
Le principe d’une passkey est simple à comprendre. Quand vous vous connectez, votre appareil (téléphone, ordinateur, clé USB) vérifie automatiquement que le site qui demande l’authentification est bien celui auquel vous vous êtes inscrit. Si un site de phishing imite l’apparence de votre banque mais utilise un domaine différent, la passkey refuse de répondre.
Concrètement, aucun code n’est saisi manuellement. La vérification se fait par empreinte digitale, reconnaissance faciale ou code PIN local. Le secret cryptographique ne quitte jamais l’appareil, ce qui supprime le risque d’interception pendant le transit.
Cette technologie repose sur la norme FIDO2, développée par l’alliance FIDO avec le soutien des principaux éditeurs (Microsoft, Apple, Google). Elle est déjà proposée sur la plupart des navigateurs récents et des systèmes d’exploitation mobiles.
L’adoption reste progressive. Beaucoup de sites ne proposent pas encore les passkeys, et la configuration initiale demande quelques minutes d’attention. Le gain en sécurité justifie l’effort, surtout pour les comptes qui concentrent des données personnelles sensibles.
Réglementation européenne et authentification forte : ce que prévoient eIDAS 2 et DSP2
Le cadre réglementaire européen pousse à généraliser l’authentification forte. La directive DSP2, déjà en vigueur, impose aux banques une vérification à deux facteurs pour les paiements en ligne et l’accès aux comptes. C’est la raison pour laquelle votre banque vous demande systématiquement une confirmation via son application mobile.
Le règlement eIDAS 2 va plus loin. Il prévoit le déploiement d’un portefeuille d’identité numérique européen (EUDI Wallet), qui intégrera des mécanismes d’authentification forte directement dans un outil officiel. L’objectif est de lier identité vérifiée et authentification dans un seul dispositif, utilisable aussi bien pour les démarches administratives que pour les services privés.
Pour les entreprises, la directive NIS2 renforce les obligations de sécurité des accès, en particulier pour les secteurs jugés critiques. L’authentification multifacteur devient une exigence réglementaire, pas seulement une bonne pratique.
La tendance est claire : le mot de passe seul ne satisfait plus les exigences légales européennes pour les services qui traitent des données sensibles ou financières. Activer la double authentification aujourd’hui, c’est anticiper ce que la réglementation rendra obligatoire à court terme. Le choix du type de facteur, lui, reste entre vos mains, et c’est là que la différence de protection se joue réellement.
