MFA bombing : les notifications push MFA peuvent devenir un risque de sécurité
Un pare-feu bloque les intrusions réseau. Un antivirus détecte les fichiers malveillants. Un système de détection d'intrusion repère les comportements anormaux sur le réseau. Et pourtant, aucun de ces outils ne se déclenche quand un employé, à bout de patience, appuie sur "Accepter" à la vingtième notification MFA de la soirée.
C'est là tout le paradoxe de l'attaque par MFA bombing. Ce n'est pas une faille technique qu'on peut corriger avec un correctif. C'est une attaque conçue spécifiquement pour ne rencontrer aucune des défenses qu'une entreprise a mises en place.
Le problème : cette attaque ne ressemble à rien de ce que vos outils cherchent
La plupart des dispositifs de sécurité sont construits pour repérer des signaux précis : une signature de malware connue, un trafic réseau suspect, une tentative d'exploitation d'une vulnérabilité. Le MFA bombing ne coche aucune de ces cases.
Pas de malware à détecter : l'attaquant utilise des identifiants valides, obtenus par phishing ou fuite de données. Rien à scanner, rien à mettre en quarantaine.
Pas d'exploitation technique : aucune vulnérabilité logicielle n'est exploitée. L'attaque cible directement le comportement humain, pas le code.
Un trafic qui semble légitime : chaque tentative de connexion ressemble, une par une, à une tentative de connexion normale. C'est seulement leur volume et leur fréquence qui trahissent l'attaque — un signal que peu d'organisations surveillent réellement.
Une action finale "autorisée" : quand la victime approuve la notification, elle le fait elle-même, avec ses propres identifiants et son propre appareil. Aux yeux du système, il ne s'est rien passé d'anormal : un utilisateur légitime vient de s'authentifier.
Autrement dit, l'attaque exploite précisément la partie du système que personne ne surveille : le moment où l'humain devient le dernier maillon de la chaîne de décision.
Pourquoi le MFA lui-même devient le point faible
L'authentification multifacteur a été conçue comme une couche de défense supplémentaire, pas comme un mécanisme de décision instantanée sous pression. Le format "notification push" pensé pour être rapide et pratique devient justement ce qui rend l'attaque possible :
Une notification push demande une réponse binaire, en quelques secondes, sans contexte détaillé sur l'origine de la demande.
Elle interrompt l'utilisateur à des moments où il n'est pas nécessairement attentif la nuit, en réunion, en dehors du poste de travail.
Elle ne fournit souvent aucune information exploitable en un coup d'œil : pas de localisation claire, pas d'appareil identifié, pas de niveau de risque affiché.
Le MFA reste efficace contre le vol de mot de passe seul. Mais face à une attaque qui vise directement le facteur humain de validation, la commodité qui a fait le succès des notifications push devient, ironiquement, leur principale faiblesse.
Ce qui permet réellement de neutraliser cette attaque
Plutôt que de compter uniquement sur la vigilance des utilisateurs une défense qui finit toujours par céder sous la répétition les entreprises disposent de plusieurs leviers techniques plus robustes :
La correspondance de numéro : l'utilisateur doit saisir un code affiché sur l'écran de connexion, et non simplement appuyer sur "Accepter". Cela élimine la possibilité de valider une demande par réflexe.
La limitation du taux de tentatives : bloquer ou ralentir automatiquement un compte après un nombre anormal de demandes MFA en peu de temps, avant que l'utilisateur ne soit même sollicité.
L'authentification résistante au phishing : les clés de sécurité physiques (FIDO2) ou les passkeys suppriment purement et simplement la notification push comme méthode de validation, rendant ce vecteur d'attaque inopérant.
L'authentification contextuelle et adaptative : évaluer automatiquement la localisation, l'appareil et l'heure de la demande, et exiger une vérification renforcée ou bloquer la tentative en cas d'anomalie.
La supervision du volume de demandes MFA : contrairement au trafic réseau classique, peu d'organisations surveillent le nombre de notifications MFA envoyées par utilisateur. Un pic soudain constitue pourtant un signal d'alerte clair et exploitable.
Conclusion
Le MFA bombing ne contourne pas les défenses traditionnelles parce qu'il est particulièrement sophistiqué sur le plan technique. Il les contourne parce qu'il ne cherche jamais à les affronter directement il vise le seul maillon que ces outils ne surveillent pas encore assez : la décision humaine sous pression, prise en quelques secondes. Tant que le MFA reposera uniquement sur des notifications push binaires, cette faille restera exploitable. La véritable protection ne consiste donc pas à former les utilisateurs à "faire plus attention", mais à retirer purement et simplement la possibilité de céder à la fatigue grâce à des mécanismes qui ne dépendent plus d'un simple clic.