L'authentification multifactorielle devient un enjeu incontournable en matière de cybersécurité :les assureurs spécialisés dans la cybersécurité l'exigent, les responsables de la sécurité en entreprise prévoient d'y consacrer davantage de moyens, et même si l'authentification multifactorielle peut agacer les utilisateurs, la plupart d'entre eux reconnaissent qu'elle contribue à protéger leurs comptes. En effet, Microsoft affirme que la méthode d'authentification en deux étapes permet de bloquer plus de 99,9 % des tentatives d'attaque, tandis que Google estime ce taux de réussite à 76 % à 100 %.
Alors, qu’est-ce qu’il y a à redire ?
Eh bien, comme c'est souvent le cas avec la plupart des mesures de sécurité, les pirates trouvent de plus en plus de moyens détournés pour contourner l'authentification multifactorielle.
« Les pirates informatiques s'adapteront toujours, et je ne suis pas encore convaincu que l'authentification multifactorielle (MFA) — même à long terme — soit la panacée que la plupart des gens croient qu'elle sera », déclare Roger Grimes, analyste en cyberdéfense chez KnowBe4, une entreprise qui propose des formations de sensibilisation à la sécurité d' . « Le MFA est présenté comme une solution extrêmement, extrêmement sûre qui résoudra les problèmes de piratage de tout le monde… et ce n’est tout simplement pas vrai. »
Pour être clair, des experts tels que M. Grimes affirment que l’authentification multifactorielle (MFA) — qui nécessite le nom d’utilisateur et le mot de passe, ainsi qu’un code ou une clé temporaire envoyée sur l’appareil de l’utilisateur — reste l’une des méthodes de vérification les plus efficaces et devrait faire partie intégrante de toute stratégie d’ de la sécurité des terminaux de type « ». De plus, les nouvelles formes d'authentification multifactorielle (MFA) basées sur un cadre appelé « FIDO2 » ( ) utilisent des identifiants de connexion cryptographiques afin de minimiser les risques d', de hameçonnage (), de vol de mot de passe ( ) et d'attaques par rejeu (). De plus, ce cadre permet d'intégrer des innovations telles que les lecteurs d'empreintes digitales, les caméras et les clés de sécurité dans ce processus.
Mais la plupart des organisations s'appuient encore sur des approches plus anciennes basées sur les SMS — c'est-à-dire le service de messages courts, ou SMS — et ce sont précisément ces systèmes que les pirates informatiques ciblent avec un succès croissant.
Ils procèdent de plusieurs manières, notamment : par le biais de l'ingénierie sociale ; en exploitant les failles dans les mécanismes d'envoi des codes à usage unique aux utilisateurs ; et en tirant parti de comptes Microsoft inactifs pour accéder à des réseaux publics et privés.
Comment le MFA succombe à l'ingénierie sociale
L'une des tactiques les plus courantes est ce qu'on appelle une « attaque par fatigue MFA » ( ). Également appelé « attaque MFA », cette faille consiste pour un pirate à inonder l'appareil d'un utilisateur final de messages répétés lui demandant d'approuver une tentative de connexion. Ce procédé consiste essentiellement à prendre quelqu’un au dépourvu ou à lui faire croire à tort qu’il doit valider une demande d’authentification.
«Les employés doivent considérer les demandes d’authentification MFA avec une méfiance accrue [comme si] quelqu’un venait frapper à la porte d’entrée pour demander des informations de carte bancaire. »Chris Prewitt, responsable de la sécurité des systèmes d'information (RSSI), Inversion6
En septembre dernier, le tristement célèbre groupe de pirates informatiques Lapsus$ a eu recours à une attaque par « MFA bombing » pour s'introduire dans l'application de covoiturage Uber. Uber a indiqué que les cybercriminels avaient obtenu les identifiants d'un VPN auprès d'un prestataire externe, probablement en les achetant sur le dark web, puis avaient tenté à plusieurs reprises de se connecter au compte Uber de l'utilisateur. À chaque fois, le prestataire recevait une demande d'autorisation de connexion à deux facteurs, ce qui bloquait dans un premier temps l'accès. Finalement, cependant, le prestataire en a accepté une, et le pirate a pu se connecter, a indiqué Uber. À partir de là, le pirate a accédé à d'autres comptes d'employés et a obtenu des droits d'accès privilégiés à plusieurs outils, notamment G-Suite et Slack.
Bien que le pirate ait pu publier des messages sur le canal Slack commun à l'ensemble de l'entreprise, Uber a déclaré ne pas penser que les pirates aient eu accès aux données personnelles des clients ni apporté de modifications au code source.
Dans une récente enquête menée par « » et « Beyond Identity », 62 % des utilisateurs ont déclaré avoir été victimes d’un « MFA bombing », et près d’un sur 10 n’a jamais pu récupérer l’accès à un compte qui avait été verrouillé à la suite de ces attaques. Selon le rapport, les cinq principaux types de comptes MFA visés par cette tactique étaient les comptes bancaires (62 %), Facebook (45 %), Instagram (39 %), les cryptomonnaies (36 %) et Twitter (34 %).
3 façons de contrer les attaques par « fatigue MFA »
Afin de réduire le risque qu'une attaque de type MFA aboutisse, les experts recommandent de prendre certaines mesures :
1. Renforcez les paramètres d’authentification multifactorielle (MFA) : BeyondTrust recommande d’optimiser la configuration de vos processus d’authentification MFA en : réduisant le délai entre les étapes d’authentification ; limitant le nombre de tentatives d’accès infructueuses autorisées au cours d’une période donnée ; ajoutant des exigences de géolocalisation ou biométriques ; augmentant le nombre de facteurs requis pour l’accès ; et signalant les tentatives de connexion excessives à un analyste de sécurité. D'autres experts suggèrent de limiter ou de désactiver les notifications push relatives aux demandes d'authentification multifactorielle.
2. Formez votre personnel : Chris Prewitt, responsable de la sécurité des systèmes d'information (RSSI) chez Inversion6, recommande de former régulièrement votre personnel afin de vous assurer qu'il soit informé de l'existence des attaques par « fatigue de l'authentification multifactorielle » (MFA) et qu'il sache comment y faire face.
« Les employés doivent faire preuve d’une vigilance accrue face aux demandes d’authentification par authentification multifactorielle », déclare-t-il. « Si quelqu’un venait frapper à votre porte et vous demandait vos informations de carte bancaire, la plupart des gens ne les lui communiqueraient pas. » « Mais sur Internet, nous semblons un peu plus enclins à cliquer sur des liens et à partager des informations que nous ne devrions pas, et cela doit changer. »
3. Appliquer le principe du « privilège minimal » : Une autre mesure consiste à limiter les droits d'accès des personnes, des comptes et des machines au strict nécessaire pour chaque utilisateur. De cette manière, les attaques par « fatigue » de l'authentification multifactorielle (MFA) ont du mal à obtenir un accès étendu aux comptes ou aux données. En gros, ils sont interceptés près de leurs points d'entrée.
Les attaques MFA qui exploitent les failles des SMS
Une autre façon pour les pirates informatiques de contourner l'authentification à plusieurs facteurs (MFA) consiste à déjouer le système même des codes à usage unique envoyés par SMS.
«Une sécurité mal mise en œuvre n’est jamais la solution. »John Pescatore, responsable des tendances émergentes en matière de sécurité, SANS Institute
La plupart des experts s'accordent à dire que le fait de fonder le deuxième facteur de l'authentification multifactorielle (MFA) sur l'authentification par SMS n'est pas très sûr, car les pirates informatiques maîtrisent très bien les techniques d'usurpation d'identité et d'hameçonnage pour intercepter et lire les SMS. Ils ont également recours à une arnaque d'ingénierie sociale appelée « » (sim swapping), qui consiste à obtenir des informations personnelles vous concernant, à contacter votre opérateur de téléphonie mobile, à lui raconter une histoire inventée de toutes pièces concernant un téléphone perdu ou volé, et à le convaincre de transférer votre ancien numéro vers un nouveau téléphone qu'ils contrôlent. Une fois cette opération effectuée, ils peuvent intercepter les SMS, y compris les codes d'authentification à deux facteurs. Il existe même une technique appelée « smishing par SMS », qui consiste en une attaque de hameçonnage lancée par SMS.
M. Grimes souligne que certaines solutions d'authentification multifactorielle (MFA) sont de plus en plus efficaces pour contrer les tentatives de phishing ou de smishing, et ajoute : « Chacun devrait recourir à une authentification multifactorielle résistante au phishing dès que possible afin de protéger ses données et ses systèmes sensibles. » Mais il met en garde : « Au mieux, même un bon système d’authentification multifactorielle (MFA) ne bloque peut-être que 30 % à 50 % des attaques actuelles. »
De leur côté, Microsoft et d’autres acteurs majeurs du secteur exhortent les entreprises à abandonner l’authentification multifactorielle (MFA) par téléphone, qu’ils qualifient de « méthode d’authentification multifactorielle la moins sûre parmi celles disponibles aujourd’hui », et à recourir plutôt à des clés de sécurité ou à des applications d’authentification. Microsoft a même annoncé son intention d'améliorer l'authentification à deux facteurs sous Windows 11 en ajoutant un chiffre au code du deuxième facteur envoyé depuis son application Microsoft Authenticator. Cette fonctionnalité est encore en phase de test. De la même manière, Twitter a informé les utilisateurs qui ne sont pas abonnés à son service payant Twitter Blue qu'il cessera d'envoyer des SMS contenant des codes de connexion à compter du 20 mars. L'entreprise a encouragé les utilisateurs non payants à recourir à des applications d'authentification gratuites ou à des clés de sécurité.
« Je pense que c'est un grand pas dans la bonne direction », déclare M. Prewitt. « Le SMS est la cible d'attaques depuis longtemps. »
Utiliser l'authentification multifactorielle (MFA) pour attaquer l'authentification multifactorielle (MFA) ? Découvrez le piratage des comptes inactifs
L'une des méthodes les plus sournoises utilisées par les pirates pour contourner l'authentification multifactorielle (MFA) consiste à prendre le contrôle de comptes Microsoft inactifs. Mandiant, une entreprise spécialisée dans la cybersécurité, indique avoir récemment observé une tendance dans laquelle des pirates informatiques, notamment le groupe d'espionnage russe « APT29 », exploitent le processus d'auto-inscription à l'authentification multifactorielle (MFA) dans Azure Active Directory et d'autres plateformes.
Dans un cas précis, le groupe « APT29 » aurait mené une attaque par devinette de mot de passe contre une liste de boîtes mail qu'il avait obtenue d'une manière ou d'une autre. Ils ont réussi à deviner le mot de passe d'un compte qui avait été créé mais qui n'avait jamais été utilisé. Selon Mandiant, comme ce compte était inactif, Azure AD a invité l'utilisateur « APT29 » à s'inscrire à l'authentification à plusieurs facteurs (MFA) ; une fois cette procédure effectuée, le groupe de pirates a pu accéder à l'infrastructure VPN qui utilisait Azure AD pour l'authentification et la MFA.
Pour lutter contre ce type d'attaques, Mandiant recommande de s'assurer que tous les comptes actifs disposent d'au moins un dispositif d'authentification multifactorielle (MFA) enregistré et de collaborer avec le fournisseur de votre plateforme afin d'ajouter des vérifications supplémentaires au processus d'enregistrement de l'authentification multifactorielle.
John Pescatore, directeur chargé des tendances émergentes en matière de sécurité au SANS Institute, affirme que la plupart des attaques de contournement de l'authentification multifactorielle (MFA) de ce type ont un point commun : elles exploitent des processus mal mis en œuvre plutôt que de compromettre directement la solution MFA.
« Une mesure de sécurité mal mise en œuvre n’est jamais la solution », affirme-t-il. « Cependant, la mise en place de contrôles de sécurité rigoureux, tels que l’authentification multifactorielle (MFA) , la gestion des privilèges, le contrôle des applications , la gestion des correctifs et la mise à jour rapide des , ainsi que la réalisation de tests d’intrusion par un personnel qualifié, a permis à de nombreuses entreprises d’éviter des dommages majeurs liés aux cyberattaques, sans que cela n’ait d’impact sur leurs activités. »
