MFA en 2026 : le mirage du second facteur face aux attaquants modernes

Pendant des années, l'authentification multi-facteurs a été vendue comme la réponse définitive au vol de credentials. Vous activez le MFA, vous êtes protégé. Sauf que Gunra ransomware vient de démontrer, devant six agences gouvernementales internationales, qu'il sait contourner le MFA sans même avoir à casser le facteur en question. Il le neutralise côté serveur. Et Gunra n'est pas seul.

Le MFA n'a jamais été conçu pour résister à ça

L'authentification à deux facteurs repose sur un principe simple et solide : même si un attaquant vole votre mot de passe, il lui manque le second facteur — le téléphone, la clé physique, le code TOTP. La combinaison « quelque chose que vous savez + quelque chose que vous possédez » est mathématiquement bien plus robuste qu'un simple mot de passe.

Ce principe reste valide. Le problème n'est pas dans le concept, mais dans l'implémentation systémique. Le MFA a été conçu pour protéger un canal d'authentification. Il n'a pas été conçu pour résister à une compromission de la couche qui traite ce canal. C'est exactement là qu'attaquent les groupes modernes.

Revenons sur les statistiques. Selon le rapport Verizon DBIR 2026, 68 % des compromissions impliquent un élément humain (phishing, credential theft, social engineering). Parmi les organisations victimes disposant du MFA, 31 % ont quand même été compromises en 2025 — contre 19 % en 2023. La courbe monte. Parce que les attaquants se sont adaptés.

Le MFA a généré une fausse confiance qui a conduit les organisations à sous-investir dans d'autres couches de sécurité. Si vous avez le MFA, vous n'avez pas besoin de surveiller aussi attentivement les connexions. Si vous avez le MFA, vous pouvez exposer plus de services sur Internet. Ces raccourcis de raisonnement ont créé des angles morts béants que les groupes offensifs exploitent méthodiquement.

Six techniques de contournement que tout RSSI doit connaître

Il n'existe pas une seule façon de contourner le MFA, mais une famille de techniques distinctes, chacune adaptée à un contexte et à un niveau de sophistication différent. Les connaître, c'est pouvoir les anticiper dans son architecture de sécurité.

1. L'AiTM (Adversary-in-the-Middle) — le phishing qui vole la session

La technique la plus documentée en 2025-2026. Des plateformes comme Evilginx2, Modlishka ou les kits de phishing basés sur Caffeine permettent à un attaquant de se positionner comme proxy entre la victime et le service légitime. La victime s'authentifie normalement, fournit son second facteur, et l'attaquant intercepte le cookie de session authentifié. Le MFA a fonctionné parfaitement — mais le résultat de l'authentification a été volé.

Microsoft a observé plus de 10 000 campagnes d'hameçonnage de type AiTM dans le seul premier semestre 2025, ciblant principalement Office 365 et Azure AD. Le délai moyen entre le vol de session et le premier mouvement latéral est de 47 minutes selon les données Microsoft Security Response Center. Les filiales françaises de groupes industriels cotés ont été particulièrement ciblées.

2. La fatigue MFA (Push Bombing)

L'attaquant possède les credentials et bombarde l'utilisateur de notifications push d'authentification jusqu'à ce qu'il accepte par erreur, fatigue ou confusion. La technique a été utilisée par Lapsus$ pour compromettre Uber en septembre 2022, par Scattered Spider pour frapper MGM Resorts en 2023, et elle reste opérationnelle en 2026 contre les organisations qui n'ont pas migré vers des méthodes MFA résistantes au phishing.

La parade est connue : désactiver les notifications push simples, passer à des méthodes requérant une action positive avec correspondance de numéro (number matching), ou mieux, déployer des clés FIDO2. Le problème : en France, moins de 12 % des ETI ont déployé FIDO2 selon une estimation de l'ANSSI pour 2025. La quasi-totalité reste sur des apps d'authentification avec push simple.

3. La compromission SIM (SIM Swapping)

Un attaquant convainc — ou corrompt — un opérateur télécom de transférer le numéro de téléphone de la victime vers une SIM qu'il contrôle. Toutes les notifications SMS et les appels d'authentification sont redirigés. Le MFA par SMS devient nul et non avenu. La technique est moins sophistiquée techniquement mais redoutable contre les cibles à haute valeur. Les groupes cybercriminels disposent souvent de complices internes dans des centres d'appel télécom, recrutés via des forums clandestins contre des commissions de 1 000 à 5 000 euros par numéro transféré.

4. Le vol de seed TOTP

Les codes TOTP sont générés à partir d'une graine secrète partagée lors de l'enrollment. Si cette graine est extraite — depuis le téléphone compromis, depuis la base de données du service, ou depuis les sauvegardes cloud non chiffrées — l'attaquant peut générer des codes TOTP valides à volonté. Rare mais redoutable, notamment lors de compromissions de plateformes d'authentification centralisées.

5. Les tokens de session persistants non révoqués

De nombreux services émettent des tokens de longue durée (refresh tokens) qui maintiennent l'authentification active pendant des jours ou des semaines. Une fois un token volé via malware, XSS ou man-in-browser, l'attaquant s'en sert longtemps après que la victime ait changé son mot de passe et re-enrôlé son MFA. Le changement de credentials ne révoque pas automatiquement les tokens actifs dans beaucoup d'implémentations. C'est une faille architecturale, pas une faille MFA au sens strict, mais le résultat est identique : l'attaquant reste authentifié.

6. La compromission de la couche d'authentification serveur — la technique Gunra

C'est la technique la plus aboutie et la plus difficile à détecter. Gunra, après avoir obtenu un accès initial via une faille Fortinet (CVE-2024-55591), a modifié directement les fichiers de traitement de l'authentification sur les portails VDI ciblés. Le mécanisme MFA fonctionne toujours normalement pour les utilisateurs légitimes — mais le code modifié accepte également un OTP supplémentaire contrôlé par les attaquants. C'est une backdoor MFA au niveau du code serveur.

Aucun utilisateur ne voit rien. Aucune alerte SOC ne se déclenche sur le plan de l'authentification. L'authentification « réussit » pour tout le monde. Pour détecter cette technique, il faut surveiller l'intégrité des fichiers d'authentification en temps réel — ce que très peu d'organisations font aujourd'hui.

Ce que ça change concrètement dans votre architecture

La leçon de ces six techniques n'est pas « le MFA est inutile, abandonnez-le ». Le MFA reste indispensable et réduit considérablement la surface d'attaque pour les techniques les plus communes. Mais il doit être intégré dans un modèle de défense en profondeur, pas positionné comme une barrière unique derrière laquelle on peut se reposer.

Voici ce que j'observe sur le terrain en 2026, dans des organisations de taille intermédiaire entre 500 et 5 000 employés :

L'erreur la plus fréquente : considérer le MFA comme une finalité

L'organisation active le MFA sur Office 365, considère la case cochée, et ne fait pas évoluer les autres contrôles. Le reste de l'infrastructure — VPN, accès SSH, API internes, portails de gestion — fonctionne encore avec des credentials simples. Les attaquants ciblent exactement ces points d'entrée secondaires. Dans 4 incidents sur 5 que j'ai analysés en 2025-2026, l'entrée initiale ne s'est pas faite via un service protégé par MFA.

La seconde erreur : des méthodes MFA non résistantes au phishing

Le SMS OTP et les notifications push simples sont insuffisants face aux attaques AiTM et push bombing. La migration vers FIDO2 et passkeys, ou vers du MFA avec correspondance de numéro, est la priorité absolue pour les comptes à hauts privilèges. L'ANSSI le recommande explicitement dans son guide d'authentification de 2024 ; en 2026, c'est devenu une exigence de baseline pour les entités soumises à NIS2.

La troisième erreur : ne pas surveiller l'authentification elle-même

Si vous ne monitorez pas les tentatives d'authentification échouées en volume, les connexions depuis des géolocalisations inhabituelles, et surtout les modifications de configuration des systèmes d'authentification — vous ne verrez pas venir les techniques de type Gunra. La surveillance d'intégrité des fichiers (FIM) sur les composants d'authentification n'est pas une option avancée. C'est une exigence de base que la majorité des organisations ignore.

Le cadre réglementaire pousse dans la bonne direction, mais trop lentement

NIS2, transposée en France par la loi du 17 octobre 2024, impose des exigences minimales en matière d'authentification pour les entités essentielles et importantes. L'article 21 de la directive exige des mesures techniques incluant explicitement l'authentification multifactorielle ou des solutions d'authentification continue.

DORA, applicable depuis le 17 janvier 2025 pour le secteur financier européen, va plus loin en imposant des tests réguliers des mécanismes d'authentification dans le cadre des exercices de résilience opérationnelle. Les entités soumises à DORA doivent être en mesure de démontrer que leurs contrôles MFA résistent aux techniques connues de contournement.

Sur le terrain, l'application reste inégale. L'ANSSI a ouvert des procédures d'audit auprès d'une quarantaine d'entités NIS2 en 2025-2026 ; les résultats préliminaires indiquent que 60 % n'ont pas encore déployé de MFA résistant au phishing sur l'ensemble de leurs accès critiques. La complaisance réglementaire — « on a le MFA, on est conformes » — est aussi un problème ici. NIS2 ne demande pas juste d'activer le MFA. Elle demande de démontrer son efficacité.

Cinq actions concrètes pour renforcer votre posture MFA en 2026

Voici les actions que je recommande systématiquement en mission, par ordre de priorité et d'impact :

1. Migrer les comptes administrateurs vers FIDO2 en priorité absolue. Les clés de sécurité physiques (YubiKey, clés FIDO2 intégrées aux laptops) sont les seules méthodes MFA réellement résistantes au phishing et à l'AiTM. Coût : entre 25 et 60 euros par clé. ROI : incalculable. Commencez par les 20 comptes les plus critiques — admin domaine, admin cloud, admin SIEM, accès firewall.

2. Activer le number matching sur les applications d'authentification. Microsoft Authenticator, Okta Verify, Duo et la quasi-totalité des apps modernes supportent cette fonctionnalité. Elle empêche le push bombing en forçant l'utilisateur à valider un numéro affiché sur l'écran de connexion. Déploiement sans matériel supplémentaire, en moins d'une heure dans la plupart des IdP.

3. Mettre en place la surveillance d'intégrité des fichiers sur tous les composants d'authentification. Serveurs IAM, portails VPN, fichiers de configuration des IdP. Toute modification non planifiée doit déclencher une alerte immédiate dans votre SIEM. C'est la contre-mesure directe à la technique Gunra. Outils open source : AIDE, Tripwire, Wazuh FIM. Intégration native dans CrowdStrike Falcon et SentinelOne.

4. Réduire les durées de validité des tokens et implémenter la révocation active. Tokens de session : maximum 8 heures pour les accès sensibles. Refresh tokens : maximum 24 heures. Déclencher une révocation globale des tokens à chaque incident de sécurité, même mineur. Implémenter le Continuous Access Evaluation Protocol (CAEP) si votre IdP le supporte.

5. Tester votre MFA dans vos exercices de red team. Un pentest sans simulation de phishing AiTM et de push bombing n'est plus complet en 2026. Demandez à votre prestataire d'inclure ces techniques dans le scope explicitement. Si les résultats vous surprennent, c'est qu'il était temps de tester.

Conclusion

L'ère du MFA comme bouclier unique est terminée. Ce n'est pas une raison de le désactiver — c'est une raison de l'intégrer correctement dans une stratégie de sécurité multicouche, de choisir des méthodes résistantes au phishing, et de surveiller l'infrastructure qui le fait fonctionner. Gunra, Scattered Spider, Lapsus$ et les dizaines de groupes qui utilisent les techniques AiTM nous ont collectivement appris la même leçon depuis 2022. Il est temps de la transformer en architecture opérationnelle.