Votre mot de passe a été récupéré lors d’une tentative de phishing. Il apparaît dans une fuite de données. Ou un tiers a réussi à le deviner. Votre compte est-il forcément compromis ? Pas nécessairement, si une authentification multifacteur est activée.
L’authentification multifacteur, souvent appelée MFA pour Multi-Factor Authentication, consiste à ne plus faire reposer l’accès à un compte sur un seul élément. En plus du mot de passe, une autre vérification est nécessaire pour confirmer l’identité de la personne qui tente de se connecter.
Du point de vue d’un CSIRT, cette protection supplémentaire peut réellement changer la donne : la compromission d’un mot de passe ne signifie plus nécessairement la compromission du compte associé.
Alors, comment fonctionne le MFA ? Pourquoi renforce-t-il réellement la sécurité d’un compte ? Et quels réflexes adopter lorsqu’une demande d’authentification inhabituelle apparaît ?
Qu’est-ce que l’authentification multifacteur ?
Lorsque vous vous connectez à un service avec uniquement un identifiant et un mot de passe, la sécurité de l’accès repose essentiellement sur la connaissance de ce mot de passe. S’il est compromis, un attaquant peut alors tenter de l’utiliser pour accéder au compte.
Ces facteurs peuvent notamment reposer sur :
- Quelque chose que vous connaissez, comme un mot de passe ou un code PIN.
- Quelque chose que vous possédez, comme un téléphone, une application d’authentification ou un dispositif physique.
- Selon les solutions, une caractéristique propre à la personne, par exemple utilisée dans un mécanisme biométrique.
L’objectif est simple : un seul élément compromis ne doit plus suffire à permettre l’authentification.
Pourquoi un mot de passe seul peut-il ne pas suffire ?
Même robuste et unique, un mot de passe peut être compromis. Il peut notamment être récupéré lors d’un phishing, exposé lors d’une fuite de données ou obtenu par un autre moyen. Comme nous l’avons vu dans notre article consacré aux mots de passe, sa robustesse ne constitue plus une protection dès lors qu’un attaquant le connaît.
Avec une authentification simple, la sécurité repose sur un seul facteur. La Commission nationale de l’informatique et des libertés (CNIL) souligne qu’en cas de compromission de cet unique facteur, un attaquant peut être en mesure d’accéder au compte et aux données qu’il contient.
Le MFA part donc d’un principe différent : ne pas mettre toute la sécurité du compte entre les mains d’un seul secret.
Concrètement, qu’est-ce que le MFA change ?
Prenons une situation simple : un attaquant parvient à récupérer votre identifiant et votre mot de passe, par exemple à la suite d’une tentative de phishing. Lorsque l’accès au compte repose uniquement sur ces identifiants, leur compromission peut permettre à l’attaquant de se connecter au compte.
Avec l’authentification multifacteur, la situation est différente. La connaissance de l’identifiant et du mot de passe ne suffit plus à elle seule : une vérification supplémentaire est nécessaire pour valider l’authentification. Si l’attaquant ne dispose pas de ce facteur supplémentaire, la tentative de connexion peut alors être bloquée.
C’est précisément là que l’authentification renforcée prend tout son intérêt : elle ajoute une barrière entre la compromission du mot de passe et l’accès effectif au compte. Autrement dit, le mot de passe peut avoir été compromis sans que le compte le soit nécessairement. C’est cette différence qui, du point de vue du CSIRT, peut réellement changer la donne lors d’une tentative de compromission.
Du point de vue du CSIRT : une barrière supplémentaire qui compte
Lorsqu’un CSIRT analyse une compromission, une question est essentielle : jusqu’où l’attaquant a-t-il réussi à aller ?
A-t-il seulement obtenu des identifiants ? A-t-il réussi à ouvrir une session ? A-t-il ensuite accédé à des informations ou réalisé des actions depuis le compte ?
Dans ce scénario, le MFA ajoute une barrière entre la récupération du mot de passe et l’accès effectif au compte. Cela ne signifie pas qu’un compte protégé par MFA devient invulnérable. Mais cela permet de réduire la dépendance au seul mot de passe et d’ajouter une difficulté supplémentaire pour un attaquant.
Tous les facteurs d’authentification ne fonctionnent pas de la même manière
Le facteur supplémentaire peut prendre différentes formes selon le service utilisé.
Il peut s’agir, par exemple :
- D’un code temporaire ;
- D’une confirmation depuis une application ;
- D’un dispositif physique ;
- D’une méthode biométrique, selon le contexte et le service.
L’important est de comprendre que toutes les solutions ne présentent pas les mêmes caractéristiques ni le même niveau de protection. Le choix du mécanisme d’authentification doit être adapté au contexte, aux risques et à la sensibilité du service concerné.
Le MFA protège-t-il contre toutes les attaques ?
Non. L’authentification multifacteur constitue une protection supplémentaire, mais elle ne dispense pas de rester vigilant. Un attaquant peut toujours chercher à manipuler un utilisateur pour lui faire valider une action ou communiquer des informations. Une demande de validation MFA inattendue doit donc être considérée comme un signal à ne pas ignorer.
De manière générale, le MFA doit faire partie d’un ensemble de bonnes pratiques :
- Utiliser des mots de passe uniques ;
- Rester vigilant face aux tentatives de phishing ;
- Maintenir ses équipements et logiciels à jour ;
- Protéger ses moyens d’authentification ;
- Signaler rapidement une activité inhabituelle.
L’authentification multifacteur complète les autres mesures de sécurité, elle ne les remplace pas.
Je reçois une demande d’authentification que je n’ai pas déclenchée : que dois-je faire ?
Votre téléphone affiche une demande de connexion ou de validation alors que vous n’essayez pas de vous connecter ? Ne la validez pas. Une demande inattendue peut signifier qu’un tiers tente d’utiliser vos identifiants.
Dans ce cas :
- Refusez la demande d’authentification si cette possibilité vous est proposée.
- Ne communiquez aucun code de validation reçu par téléphone, message ou application à la suite d’une sollicitation suspecte.
- Changez votre mot de passe si vous pensez qu’il a pu être compromis.
- Vérifiez l’activité récente du compte, lorsque le service permet de consulter les connexions et appareils associés.
- Dans un contexte professionnel, prévenez votre équipe informatique, votre responsable de la sécurité des systèmes d’information (RSSI) ou votre CSIRT, selon la procédure prévue par votre organisation.
Une demande MFA inhabituelle ne doit donc pas être validée par automatisme. Prenez quelques secondes pour vous demander si vous êtes réellement à l’origine de la connexion.
Et si mon mot de passe a déjà été compromis ?
Le MFA peut avoir empêché l’accès à votre compte, mais cela ne signifie pas que vous pouvez conserver le mot de passe compromis.
Si vous pensez qu’un tiers connaît votre mot de passe : changez-le rapidement, même si l’authentification multifacteur a bloqué la tentative de connexion. Vérifiez également si ce mot de passe est utilisé sur d’autres services et, si c’est le cas, remplacez-le par un mot de passe différent pour chaque compte.
Dans un environnement professionnel, le signalement reste également essentiel, même si l’accès semble avoir été bloqué. Il peut permettre aux équipes compétentes de vérifier la situation et de déterminer si d’autres actions sont nécessaires.
Le bon réflexe : ne pas laisser le mot de passe être votre seule ligne de défense
L’authentification multifacteur repose finalement sur un principe simple : si une première protection est compromise, une autre doit encore empêcher l’accès au compte.
Retenez donc trois réflexes :
- Activez l’authentification multifacteur dès qu’elle est proposée, en particulier pour vos comptes sensibles et professionnels ;
- Ne validez jamais une demande d’authentification que vous n’avez pas déclenchée ;
- Si votre mot de passe est compromis, changez-le rapidement, même si le MFA a empêché l’accès au compte.
L’Agence nationale de la sécurité des systèmes d’information (ANSSI) recommande de privilégier l’authentification multifacteur, tandis que la CNIL souligne son intérêt pour renforcer la sécurité d’accès aux comptes.
Un mot de passe peut être compromis. Ne le laissez pas être votre seule ligne de défense.
Sources et références
- Agence nationale de la sécurité des systèmes d’information (ANSSI), Recommandations relatives à l’authentification multifacteur et aux mots de passe, consulté le 8 octobre 2026.
- Commission nationale de l’informatique et des libertés (CNIL), Authentification multifacteur : les recommandations de la CNIL pour mieux protéger les données, consulté le 8 octobre 2026.
- Commission nationale de l’informatique et des libertés (CNIL), Sécurité : utilisez l’authentification multifacteur pour vos comptes en ligne, consulté le 8 octobre 2026.
- Cybermalveillance.gouv.fr, Comment protéger ses comptes en ligne avec la double authentification ?, consulté le 8 octobre 2026.
- Cybermalveillance.gouv.fr, Violation ou fuite de données personnelles, que faire ?, consulté le 8 octobre 2026.
Crédit image de couverture : rawpixel.com sur Magnific