La MFA fatigue, aussi appelée push bombing, désigne une technique d’attaque consistant à inonder un utilisateur de notifications d’approbation d’authentification multifacteur jusqu’à ce qu’il en valide une, par lassitude ou par erreur. L’attaquant, qui détient déjà le mot de passe du compte, franchit ainsi la dernière barrière qui le séparait de l’accès.
Un prérequis : des identifiants déjà compromis
Une attaque par MFA fatigue ne part jamais de zéro. Elle suppose que l’attaquant dispose d’un couple identifiant-mot de passe valide, obtenu le plus souvent par hameçonnage, parfois grâce à un mot de passe réutilisé qui a fui d’un autre service ou à un logiciel voleur d’informations installé sur un poste de travail. La fiche réflexe de cybermalveillance.gouv.fr consacrée à l’hameçonnage décrit les mécanismes par lesquels ces identifiants sont dérobés en amont.
L’authentification multifacteur a précisément été déployée pour rendre ces identifiants insuffisants à eux seuls. Le push bombing ne cherche donc pas à casser le second facteur sur le plan technique : il vise la personne qui le valide, ce qui en fait une déclinaison de l’ingénierie sociale appliquée à l’authentification.
Le déroulé d’une campagne de push bombing
Muni des identifiants, l’attaquant enchaîne les tentatives de connexion vers le service visé, une messagerie d’entreprise ou un accès VPN par exemple. Chaque tentative déclenche sur le téléphone de la victime une notification lui demandant d’approuver ou de refuser la connexion. Les sollicitations se répètent, parfois par dizaines, de préférence la nuit ou aux heures où la vigilance baisse. Il suffit d’une seule approbation pour que l’attaque réussisse : certains utilisateurs acceptent pour faire cesser les vibrations, d’autres appuient machinalement en pensant à un dysfonctionnement de l’application.
La pression peut s’accompagner d’un appel téléphonique. L’attaquant se présente alors comme un technicien du support informatique et explique que les notifications proviennent d’une opération de maintenance qu’il convient d’approuver. Ce scénario reprend les ressorts de la fraude téléphonique au faux conseiller, transposés au contexte interne de l’entreprise.
Pourquoi la validation par simple pression est fragile
La notification « Approuver / Refuser » réduit une décision de sécurité à un geste réflexe. Elle n’indique généralement ni le service concerné ni la provenance de la tentative : l’utilisateur valide sans disposer d’éléments pour juger. Le fait que l’application exige une empreinte ou une reconnaissance du visage avant d’approuver ne change rien au problème, comme le montrent aussi les limites de Touch ID et de Face ID face aux fraudes : l’empreinte prouve seulement que le titulaire du téléphone a validé, sans l’éclairer sur l’origine de la tentative de connexion.
S’ajoute l’habituation. Un collaborateur qui approuve chaque jour plusieurs notifications légitimes développe un automatisme, et c’est précisément cet automatisme que le push bombing exploite.
Les parades recommandées par les agences
La CISA a publié des recommandations sur la mise en œuvre du number matching : au lieu d’un simple bouton, l’utilisateur doit saisir dans son application un nombre affiché sur l’écran de connexion. Une approbation à l’aveugle devient impossible, puisque seule la personne qui a réellement initié la connexion voit ce nombre. La même documentation conseille d’afficher dans la notification des éléments de contexte, comme la localisation ou l’application demandeuse, afin de donner à l’utilisateur de quoi repérer une demande anormale.
Côté supervision, les demandes refusées ou échouées en rafale constituent un signal exploitable. Leur plafonnement, avec verrouillage temporaire du compte au-delà d’un seuil, prive l’attaquant de sa force de frappe ; leur remontée vers les analystes d’un SOC permet de repérer la campagne avant qu’un utilisateur ne cède.
Reste le comportement individuel. Les publications de la CISA sur l’authentification multifacteur insistent sur la formation des utilisateurs à refuser toute demande non sollicitée et à la signaler au support. Ce réflexe se construit dans la durée, et les débats sur l’efficacité réelle de la sensibilisation montrent qu’un module annuel ne suffit pas à l’ancrer ; les scénarios de push bombing ont toute leur place dans les exercices internes.
La voie de fond : supprimer la notification à valider
Le number matching rend l’approbation plus exigeante sans remettre en cause son principe. Les standards résistants au phishing, FIDO2 et les passkeys, changent de terrain : l’authentification repose sur une clé cryptographique liée au service légitime, sans code à recopier ni notification à accepter. Faute de demande d’approbation à envoyer, l’attaquant perd son moyen de pression. Les référentiels du NIST consacrés à l’identité numérique décrivent ces mécanismes et les niveaux de garantie associés. Le passage à l’authentification résistante au phishing demande un inventaire des applications compatibles et un accompagnement des utilisateurs, mais il fait disparaître le vecteur d’attaque lui-même.
Une exposition particulière dans le secteur financier
Les établissements bancaires et les assurances concentrent des comptes dont la compromission a une valeur élevée pour un attaquant. Les administrateurs figurent en tête des cibles : leurs accès ouvrent la porte des infrastructures, et la gestion des comptes à privilèges ajoute justement des contrôles renforcés sur ces profils. Les prestataires connectés au système d’information, nombreux dans le secteur, reçoivent eux aussi des notifications d’approbation, souvent hors du périmètre de supervision directe de l’établissement, ce qui en fait un point d’entrée recherché.
La politique d’authentification ne se décide pas isolément. Elle s’inscrit dans la gestion des identités et des accès de l’établissement, et une gestion des habilitations rigoureuse borne ce qu’un compte compromis permet réellement de faire : un attaquant qui arrache une approbation sur un compte aux droits étroits en tire beaucoup moins qu’avec un accès distant largement doté.
Questions fréquentes sur la MFA fatigue
Qu’est-ce qu’une attaque par MFA fatigue ?
Il s’agit d’une méthode où un attaquant, qui connaît déjà le mot de passe d’un compte, déclenche en boucle des demandes d’approbation sur le téléphone du titulaire. Le but est d’obtenir une validation par usure : la victime finit par accepter, pour retrouver la tranquillité ou parce qu’elle croit à un dysfonctionnement. Dès qu’une demande est acceptée, l’attaquant se connecte comme s’il était le titulaire du compte.
Comment les pirates contournent-ils la double authentification ?
Plusieurs procédés coexistent : la saturation de notifications décrite ici, l’appel qui usurpe l’identité du support informatique pour faire accepter une demande, ou encore le vol de jetons de session après un hameçonnage. Le push bombing se distingue par sa faible technicité, puisqu’il repose uniquement sur la répétition de tentatives de connexion une fois le mot de passe en main.
Que faire en cas de notifications de connexion non demandées ?
Ces notifications révèlent qu’un tiers connaît le mot de passe du compte visé. Refuser chaque demande et signaler l’incident au support figurent parmi les recommandations publiées par la CISA sur l’authentification multifacteur. La fiche réflexe hameçonnage de cybermalveillance.gouv.fr conseille également de changer sans délai le mot de passe concerné ; en entreprise, prévenir l’équipe sécurité lui donne l’occasion de rechercher d’autres traces de la compromission.
Le number matching suffit-il à bloquer le push bombing ?
Il neutralise le scénario classique : sans le nombre affiché sur l’écran de connexion, impossible de valider à distance une demande que l’on n’a pas initiée. La protection n’est toutefois pas totale, une victime manipulée au téléphone pouvant saisir un nombre qu’on lui dicte. Les standards de type FIDO2, qui suppriment toute étape d’approbation, couvrent aussi ce cas de manipulation.
