Comptes et identités
Fatigue MFA
MFA bombing, push bombing
La fatigue MFA multiplie les notifications d’approbation pour pousser la victime à autoriser une connexion non sollicitée.
Fiche de sensibilisationPrête à diffuser à vos équipes ou clients
VOUS PENSEZ ÊTRE CONCERNÉ ?
Passez de la compréhension à l’action.
Comment cela fonctionne ?
La fatigue MFA multiplie les notifications d’approbation pour pousser la victime à autoriser une connexion non sollicitée. Il faut confirmer l’impact en croisant les journaux d’accès, les événements système et le parcours réellement concerné.
EXEMPLE CONCRET
« Après de nombreux refus, un salarié approuve une notification imprévue. »
Déroulement habituel
- 1Obtenir le premier facteur ou déclencher une demande de connexion.
- 2Provoquer une rafale de notifications d'approbation MFA.
- 3Compter sur la lassitude ou sur un faux appel de support.
- 4Faire accepter à la victime une demande non initiée.
- 5Finaliser l'accès au compte avant révocation.
Signes d’alerte
- Demandes MFA non initiées
- Rafale de notifications
- Appel de support simultané
- Activité inhabituelle dans les journaux.
- Nouvel appareil, processus ou réseau non reconnu.
- Modifications inattendues des paramètres ou privilèges.
- Alertes de sécurité concordantes.
- Consultation ou modification de données non autorisée.
Comment se protéger
- Refuser et signaler
- Changer immédiatement le mot de passe
- Utiliser la correspondance de nombres ou une clé physique
- Réduire les privilèges et protéger les comptes.
- Appliquer les mises à jour et revoir les configurations.
- Utiliser des méthodes d’authentification robustes adaptées au contexte.
- Surveiller les journaux et traiter les alertes.
- Sensibiliser les utilisateurs aux sollicitations trompeuses.
- Conserver des sauvegardes indépendantes et testées.
Si vous pensez être victime
Conserver les éléments de preuve, contenir les systèmes et comptes concernés, examiner la portée des accès et révoquer les secrets exposés. Corriger la cause, vérifier les autres ressources et respecter les obligations de notification applicables.
Dernière mise à jour : 8 octobre 2026