Contournement de la double authentification

Définition

Le contournement de la double authentification vise le second facteur lui-même : plutôt que de le franchir techniquement, l'attaquant obtient de la victime qu'elle le transmette ou qu'elle l'approuve.

Comment ça fonctionne

L'attaquant possède déjà le mot de passe et déclenche une connexion, ce qui envoie un code ou une notification à la victime. Il agit ensuite selon deux voies. Dans la première, il appelle ou écrit dans la seconde qui suit, en se présentant comme le service concerné, et demande de lui communiquer « le code de vérification » — le code est authentique, ce qui rend la demande crédible. Dans la seconde, il relance des dizaines de demandes d'approbation jusqu'à ce que la victime, lassée ou réveillée la nuit, en accepte une pour faire cesser les notifications. Dans les deux cas la protection fonctionne : c'est le consentement qui est obtenu, pas le mécanisme qui est cassé.

Pourquoi ça marche

Le code est authentique et arrive au moment exact où l'interlocuteur en parle : cette coïncidence tient lieu de preuve. Les rafales de notifications misent sur la lassitude, car accepter paraît le seul moyen d'avoir la paix, surtout en pleine nuit.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Code de vérification reçu sans avoir tenté de vous connecter
• Demande d'approbation répétée, en rafale ou pendant la nuit
• Interlocuteur qui demande de lui lire un code, quel que soit le motif invoqué
• Message rappelant qu'il faut « valider pour annuler » une connexion suspecte
• Contact survenant immédiatement après la réception du code

Comment vérifier

Un code reçu que vous n'avez pas déclenché signifie une seule chose : quelqu'un connaît déjà votre mot de passe. C'est le signal qu'il faut le changer immédiatement. Aucun service, aucune banque, aucun support ne demande jamais de communiquer un code de vérification, quel que soit le canal.

Les questions à se poser, dans l'ordre

1. 1

   Avez-vous reçu un code ou une demande d'approbation sans avoir essayé de vous connecter ?

   Si oui : Ne le transmettez pas et refusez la demande : quelqu'un connaît votre mot de passe. Changez-le maintenant.

2. 2

   Quelqu'un vous demande-t-il de lui lire ou de lui envoyer ce code ?

   Si oui : Raccrochez. Aucun service ne le demande, quel que soit le motif.

3. 3

   Avez-vous déjà communiqué le code ou validé la demande ?

   Si oui : Changez le mot de passe, déconnectez toutes les sessions et vérifiez l'adresse et le numéro de secours du compte.

Que faire

Ne transmettez jamais un code et refusez toute demande d'approbation que vous n'avez pas initiée à la seconde même. Changez ensuite le mot de passe du compte concerné. Privilégiez une application d'authentification ou une clé de sécurité physique plutôt qu'un code par SMS.

Si c'est déjà arrivé

Changez le mot de passe, révoquez toutes les sessions actives et vérifiez les paramètres de récupération du compte — adresse de secours, numéro de téléphone, règles de transfert — que l'attaquant modifie en priorité pour conserver l'accès. Régénérez les codes de secours.

• Checklist d'urgence : « Vous n'avez plus accès à un compte, ou il envoie des messages sans vous »
• L'assistant « J'ai cliqué » : les gestes après un appel, dans l'ordre

Pour que ça ne se reproduise pas

• Donnez à chaque compte un mot de passe unique : sans mot de passe connu, il n'y a pas de code à obtenir.
• Passez à une application d'authentification ou à une clé de sécurité là où le service le permet.
• Retenez la règle : un code se saisit, il ne se dicte jamais.

Les gestes qui déjouent cette attaque

• Analyseur de message suspect : ce SMS ou cet email est-il une arnaque ?Collez un SMS, un email ou un message : l'outil montre les procédés d'arnaque qu'il contient, lit chaque lien et nomme les attaques qui y ressemblent. Rien n'est envoyé.
• Comment un mot de passe est réellement voléComment les pirates obtiennent-ils un mot de passe ?
• Activer la double authentification, et bien la choisirComment protéger mes comptes avec la double authentification ?
• J'ai saisi mon mot de passe sur un faux site : que faireJ'ai cliqué sur un lien et saisi mon mot de passe sur une fausse page, que faire ?
• J'ai donné mes coordonnées bancaires ou un code : que faireJ'ai communiqué ma carte bancaire ou un code de validation à un escroc, que faire ?

Questions fréquentes

La double authentification sert-elle encore à quelque chose ?

Oui, et elle reste indispensable : c'est précisément parce qu'elle bloque l'attaquant qu'il doit vous demander votre aide pour la franchir. Une clé de sécurité physique ou une application d'authentification résiste nettement mieux qu'un code par SMS.

J'ai approuvé une notification par erreur, que faire ?

Changez le mot de passe immédiatement, puis déconnectez toutes les sessions actives depuis les paramètres du compte. Vérifiez ensuite l'adresse de récupération et les règles de transfert de la messagerie : ce sont les premières choses modifiées après une intrusion.

Attaques liées

• Bourrage d'identifiants
• Échange de carte SIM
• Faux conseiller bancaire
• Piratage de messagerie
• Stalkerware (logiciel de surveillance par un proche)
• Pulvérisation de mots de passe
• Détournement de session
• Enregistreur de frappe (keylogger)

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement