MFA résistante à l'hameçonnage
Authentification multi-facteurs dont la preuve est liée au domaine légitime, clé FIDO2, passkey ou carte à puce, et qu'un faux site ne peut donc ni relayer ni extorquer, à la différence du SMS ou de la notification.
La MFA résistante à l'hameçonnage est une authentification multi-facteurs dont le second facteur ne peut être ni relayé par un faux site ni extorqué à l'utilisateur, parce que la preuve est liée cryptographiquement au domaine légitime. Deux familles entrent dans la définition : les authentificateurs FIDO2/WebAuthn (clé matérielle, passkey) et les cartes à puce à certificat, dites PIV (personal identity verification) dans l'administration américaine. Le code SMS, le mot de passe à usage unique et la notification à approuver n'en font pas partie. Un proxy d'hameçonnage du type Evilginx relaie le code en temps réel et repart avec le cookie de session. Août 2022 : la même campagne vise Twilio et Cloudflare. Chez Cloudflare, des salariés saisissent leur mot de passe sur la fausse page, mais les clés FIDO2 imposées à tout le personnel bloquent la connexion. Le mois suivant, Uber tombe par fatigue MFA : l'attaquant bombarde un prestataire de notifications, puis le contacte par WhatsApp en se présentant comme le support informatique. Le mémorandum M-22-09 de l'Office of Management and Budget, en janvier 2022, impose ce niveau aux agences fédérales américaines. Côté assurance, la plupart des questionnaires demandent encore seulement si la MFA couvre l'accès distant, la messagerie et les comptes à privilèges. Les plus récents distinguent le type de facteur, et certains souscripteurs créditent dans leur cotation les clés FIDO2 sur les comptes administrateurs. Réserve de praticien : la clé protège la connexion, et rien d'autre. En septembre 2023, chez MGM Resorts, les attaquants disent avoir obtenu une réinitialisation par un simple appel au support ; un parcours de récupération qui retombe sur le SMS rend la clé décorative.
Cas d'école, chiffres inventés : deux assurés comparables déclarent la MFA partout. Le premier utilise des notifications à approuver ; le second des clés FIDO2 sur ses 40 comptes administrateurs et des passkeys pour le reste. Le souscripteur raisonne sur le scénario de l'administrateur hameçonné, qu'il estime à une chance sur dix par an chez le premier. Chez le second, la fausse page ne suffit plus. Reste l'appel au support, que l'assuré dit traiter par rappel vidéo et validation du manager. Le souscripteur classe le second dans une meilleure catégorie de risque, le reste du dossier inchangé.
authentification résistante à l'hameçonnage, MFA anti-hameçonnage, clé de sécurité matérielle, clé d'accès (passkey)
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.