L'authentification multifacteur reste l'une des mesures les plus rentables de la cybersécurité d'entreprise. Elle n'est simplement plus, depuis longtemps, une garantie. Les modes opératoires observés en 2025 et 2026 par l'ANSSI, Microsoft et Europol ne cassent pas la cryptographie : ils contournent le facteur en s'attaquant à ce qu'il produit — une session valide — ou à la personne qui le manipule. Panorama des techniques réellement documentées et de celles qui y résistent.
Le relais en temps réel, technique dominante
La technique dite adversary-in-the-middle (AiTM) consiste à placer un proxy inverse entre l'utilisateur et le service légitime. La victime saisit ses identifiants sur une page contrôlée par l'attaquant, qui les retransmet en direct au fournisseur d'identité. Le service renvoie une demande de second facteur ; la victime la valide de bonne foi ; l'attaquant capte le code puis, surtout, le cookie de session émis à l'issue de l'authentification.
Ce cookie est la vraie cible. Il donne un accès complet au compte, et il reste valable même après une réinitialisation du mot de passe — un point que Microsoft souligne explicitement dans son analyse de mars 2026. Beaucoup d'équipes découvrent ce détail au pire moment : l'utilisateur a changé son mot de passe, l'incident semble clos, et l'attaquant est toujours dans la boîte aux lettres.
Tycoon2FA : anatomie d'un service industriel
Le cas le mieux documenté est celui de Tycoon2FA, développé et commercialisé depuis août 2023 par l'acteur que Microsoft désigne sous le nom de Storm-1747. Il ne s'agit pas d'un outil confidentiel réservé à des spécialistes, mais d'un service sur abonnement.
Ses caractéristiques, telles que décrites par Microsoft, donnent la mesure du phénomène : un tableau de bord web facturé entre 120 et 350 dollars pour une durée de dix jours à un mois ; des modèles prêts à l'emploi imitant Microsoft 365, Outlook, SharePoint, OneDrive et Gmail ; des domaines à durée de vie très courte, de 24 à 72 heures, répartis sur des extensions variées ; et une portée mesurée en dizaines de millions de messages d'hameçonnage atteignant chaque mois plus de 500 000 organisations dans le monde. Les secteurs les plus touchés sont l'éducation, la santé, la finance, le secteur associatif et le secteur public.
Le 4 mars 2026, la Digital Crimes Unit de Microsoft, Europol et plusieurs partenaires de l'industrie ont conduit une opération de démantèlement de l'infrastructure. Microsoft relie cette action à une baisse d'environ 15 % des volumes d'hameçonnage par courriel au premier trimestre 2026. Plusieurs éditeurs ont toutefois signalé, dans les semaines suivantes, la persistance et la dispersion de l'activité, ainsi qu'un basculement d'une partie des opérations vers d'autres méthodes de vol de jeton. Ces observations post-démantèlement reposent sur de la télémétrie d'éditeurs et non sur une source institutionnelle : elles doivent être lues comme telles.
La leçon opérationnelle est indépendante du sort de cette plateforme précise : le contournement de la MFA n'est plus une compétence, c'est un abonnement.
Les contournements qui visent la personne
Le Panorama de la cybermenace 2025 de l'ANSSI, publié le 11 mars 2026, décrit un registre complémentaire, et parfois plus efficace, qui ne passe pas par une page piégée. L'agence indique avoir observé en 2025 l'emploi de techniques d'ingénierie sociale avancées : le SIM swapping, la fatigue MFA, l'usurpation d'identité et l'hameçonnage vocal.
Elle décrit aussi plusieurs cas d'arnaques au faux support informatique incitant des employés à installer des outils d'administration à distance, utilisés ensuite comme vecteur initial de compromission — avec, à l'installation, des manipulations destinées à contourner les règles de pare-feu et à éviter la détection par les antivirus et les solutions de type EDR.
Le mode opératoire Scattered Spider s'est distingué par sa maîtrise de ces techniques. L'ANSSI attribue son efficacité à sa connaissance des processus internes des entreprises et à une phase de reconnaissance poussée sur les employés ciblés, et souligne explicitement ses capacités de contournement des mesures relatives à l'authentification multifactorielle. Plusieurs entreprises françaises, dont des entités du secteur du luxe, ont été compromises en 2025 par ce biais ; dans au moins un cas, les attaquants auraient usurpé le service informatique pour obtenir les accès d'une application de gestion de la relation client.
Ce point mérite d'être retenu par les RSSI : le maillon attaqué n'est pas toujours l'utilisateur final. C'est souvent le service d'assistance, qui réinitialise un facteur sur la base d'une identification téléphonique.
Tableau des techniques et de leurs parades
| Technique | Ce qu'elle contourne | Ce qui la neutralise |
|---|---|---|
| Relais AiTM (proxy inverse) | OTP, notification push, SMS | FIDO2 / passkeys (liaison au domaine), liaison du jeton à l'appareil |
| Fatigue MFA (bombardement de notifications) | Push par simple approbation | Correspondance de numéro, limitation des demandes, alerte au-delà d'un seuil |
| SIM swapping | SMS et appel vocal | Abandon du SMS comme facteur pour les comptes sensibles |
| Ingénierie sociale du service d'assistance | Tout le dispositif, par réinitialisation | Procédure de vérification d'identité renforcée, second valideur, enregistrement |
| Vol de cookie de session (infostealer) | L'authentification elle-même | Durées de session courtes, révocation, conformité de l'appareil |
| Abus du flux d'autorisation par code d'appareil | La vigilance de l'utilisateur, pas le facteur | Restriction du flux device code par stratégie d'accès conditionnel |
Microsoft recommande explicitement le passage à des méthodes résistantes à l'hameçonnage — clés de sécurité FIDO2, Windows Hello Entreprise, passkeys — plutôt que le recours aux mots de passe ou à la MFA par SMS, complétées par des stratégies d'accès conditionnel exigeant un niveau d'authentification donné. La CNIL a de son côté publié une recommandation dédiée à l'authentification multifacteur, qu'elle range parmi ses ressources d'accompagnement des professionnels.
Ce qui se joue en amont : les identifiants déjà volés
Un chiffre du DBIR 2026 de Verizon remet la MFA à sa place dans la chaîne d'attaque : 50 % des victimes de rançongiciel avaient connu, dans les 95 jours précédents, un événement de compromission d'identifiants ou d'infostealer. L'abus d'identifiants apparaît à un moment ou un autre dans 39 % de l'ensemble des compromissions, et constitue 13 % des vecteurs d'accès initial.
Autrement dit, la question n'est pas seulement « ma MFA est-elle contournable ? » mais « des identifiants et des sessions valides de mon organisation circulent-ils déjà ? ». Une surveillance des fuites d'identifiants et une politique de révocation de session font partie du même sujet que le choix du second facteur.
Phishia teste ces scénarios de bout en bout : simulation de page relayée, tentative d'ingénierie sociale du service d'assistance, puis revue des stratégies d'accès conditionnel et des durées de session avec l'équipe IAM. Ce sont trois angles différents d'un même sujet.
Questions fréquentes
La MFA est-elle encore utile si elle se contourne ?
Oui, et largement. Elle élimine l'immense majorité des attaques opportunistes fondées sur des mots de passe réutilisés. Ce qui change, c'est qu'elle ne suffit plus face à un attaquant ciblé et outillé.
Par quoi commencer si l'on ne peut pas tout déployer ?
Par les comptes à privilèges et les accès aux applications critiques : administrateurs, direction financière, service d'assistance, accès distants. Une authentification résistante à l'hameçonnage sur ce périmètre restreint apporte plus qu'un déploiement partiel généralisé.
Comment détecter une session volée ?
Par la surveillance des anomalies d'authentification (nouvelle géolocalisation, appareil inconnu, empreinte de navigateur incohérente) et par la révocation systématique des sessions actives lors de tout soupçon de compromission — pas seulement par une réinitialisation de mot de passe.
Sources
- Microsoft Security Blog, « Inside Tycoon2FA: how a leading AiTM phishing kit operated at scale », 4 mars 2026
- Microsoft Security Blog, « Email threat landscape: Q1 2026 trends and insights », 30 avril 2026
- ANSSI, « Panorama de la cybermenace 2025 », 11 mars 2026
- Verizon, « 2026 Data Breach Investigations Report »
- Trend Micro, « Europol, Microsoft and collaborators halt Tycoon2FA operations », mars 2026
- CNIL, « Cybersécurité — édition 2026 »
Liens consultés le 23 septembre 2026.