Vous n'avez pas d'inventaire, vous avez une intuition.
Toute mission de sécurité bute tôt ou tard sur la même question : qu'est-ce qu'on protège, exactement ? Comment construire un inventaire qui tient dans la durée.
Un mot de passe, aussi long soit-il, reste un secret : le jour où il fuite - et il fuite, par hameçonnage, réutilisation, ou rachat en gros sur un marché criminel - la porte s'ouvre. C'est une porte blindée avec la clé sous le paillasson : impressionnante, mais inutile dès que quelqu'un connaît la cachette. La grande majorité des intrusions commencent exactement là : par un identifiant volé.
L'authentification multifacteur (MFA) casse cette logique. Elle transforme le « je connais le mot de passe, j'entre » en « il faut la clé et le badge ». C'est aujourd'hui la mesure au meilleur rapport effort/protection qui existe.
En résumé
- Un mot de passe, aussi long soit-il, reste un secret : une porte blindée avec la clé sous le paillasson. La grande majorité des intrusions commencent par un identifiant volé.
- Le MFA exige deux preuves de natures différentes : ce que l'on sait, ce que l'on possède, ce que l'on est. Voler un secret se fait à distance et en masse ; voler l'objet dans la poche de la victime est une tout autre affaire.
- Tous les MFA ne se valent pas. Le code par SMS est un code crié dans un couloir - interceptable, et vulnérable au détournement de carte SIM. L'application d'authentification suffit à la plupart des usages.
- Le MFA résistant à l'hameçonnage (FIDO2, passkeys) est le seul qui tienne sur une fausse page parfaitement imitée : la preuve est liée cryptographiquement au vrai site. Indispensable sur les accès à privilèges.
- L'attaque par fatigue consiste à sonner cent fois jusqu'à ce que la victime approuve pour que ça s'arrête. Parade : la validation par correspondance de numéro, qu'on ne peut pas accepter par réflexe.
- Par où commencer : la messagerie d'abord (elle réinitialise tous les autres mots de passe), puis les accès distants, les comptes à privilèges et les consoles d'administration.
Le MFA, en une phrase
Le MFA exige au moins deux preuves d'identité de natures différentes, piochées parmi trois familles : quelque chose que l'on sait (le mot de passe), quelque chose que l'on possède (le téléphone, une clé de sécurité), quelque chose que l'on est (empreinte, visage). L'idée est simple : voler un secret, ça se fait à distance et en masse ; voler en plus l'objet physique dans la poche de la victime, c'est une tout autre affaire. Même si votre mot de passe traîne sur le dark web, il manque à l'attaquant le second facteur. C'est pourquoi le MFA bloque l'écrasante majorité des attaques automatisées.
Tous les MFA ne se valent pas
Attention : mettre « du » MFA ne suffit pas, encore faut-il le bon. Du plus faible au plus robuste :
- Le code par SMS. Mieux que rien, mais c'est un code crié dans un couloir : interceptable, et vulnérable au détournement de numéro (l'attaquant se fait réémettre votre carte SIM). À éviter sur les comptes sensibles.
- L'application d'authentification (codes à usage unique ou notifications). Bon niveau, largement suffisant pour la plupart des usages.
- Le MFA résistant à l'hameçonnage (clés FIDO2, passkeys). Le plus solide, et de loin. La preuve est liée cryptographiquement au vrai site : c'est une clé qui refuse tout simplement de tourner dans une serrure contrefaite. Même si vous saisissez tout sur une fausse page parfaitement imitée, elle ne donnera rien. Indispensable pour les accès à privilèges.
La fatigue, cette faille humaine
Une attaque redoutable consiste à sonner à la porte cent fois : l'attaquant, qui a déjà le mot de passe, déclenche des demandes de validation en rafale jusqu'à ce que la victime, agacée ou distraite, finisse par appuyer sur « Approuver » pour que ça s'arrête. Parades : préférer la validation par correspondance de numéro (il faut recopier un chiffre affiché à l'écran, impossible à faire par réflexe), sensibiliser les équipes, et passer au MFA anti-hameçonnage sur les comptes critiques.
Par où commencer : les portes qui donnent sur tout le reste
Inutile de tout activer d'un coup. Commencez par les serrures qui, une fois forcées, ouvrent l'immeuble entier :
- La messagerie. C'est le trousseau maître : qui la contrôle peut réinitialiser presque tous vos autres mots de passe. Point d'entrée n°1, à protéger en priorité.
- Les accès distants : VPN, bureaux à distance, connexions externes - les portes qui donnent sur la rue.
- Les comptes à privilèges et les consoles d'administration (cloud, annuaire, sauvegardes) - les passe-partout.
- Les applications métier exposées et les outils SaaS sensibles.
Le MFA n'est pas une baguette magique
Il ferme la porte la plus utilisée, pas toutes les fenêtres. Il s'inscrit dans un ensemble : mots de passe longs et uniques (idéalement via un gestionnaire, pour ne plus avoir à les retenir), suppression des comptes dormants, revue des accès à privilèges, et surveillance des connexions anormales pour repérer un compte détourné malgré tout. Le MFA élève énormément le mur ; il ne dispense pas de regarder qui rôde autour.
Généraliser le MFA sans bloquer les équipes
Kenawek vous aide à prioriser, choisir la bonne technologie et déployer le MFA là où il compte, sans friction inutile. Parlons-en.