L’authentification multifacteur ne vous protège pas totalement des pirates

Le hack récent d’Uber a montré une fois de plus que les systèmes d’authentification à plusieurs facteurs ne sont pas toujours efficaces pour contrer les cybercriminels, qui usent de nouvelles techniques pour tenter de vous piéger.

On ne le dira jamais assez : il est indispensable d’utiliser l’authentification à plusieurs facteurs sur tous les services en ligne qui la proposent. Pour rappel, cette solution -un tantinet plus contraignante, il est vrai- consiste à créer un second verrou qui limite radicalement les possibilités de piratage de votre compte, par le biais d’une application, d’un SMS ou d’une clé de sécurité.

Ainsi, même si un cybercriminel parvient à récupérer votre mot de passe d’une façon ou d’une autre, il fera face à ce second mur, qu’il est beaucoup plus difficile de franchir pour accéder à votre compte.

« MFA fatigue », une technique brutale, mais efficace

Plus difficile, mais malheureusement pas impossible, comme le montre le piratage récent d’Uber. Le hacker du géant du VTC a en effet réussi à contourner la double authentification qui était pourtant activée sur le smartphone du prestataire qu’il a pris pour cible.

Et sa technique a été pour le moins cavalière. Il est d’abord parvenu à récupérer son mot de passe, qu’il aurait acquis sur un forum louche du Dark Web. Il lui a fallu ensuite contourner la protection du second facteur d’authentification. Pour cela, il n’a pas fait dans la dentelle : il a tout simplement « spammé » sa victime de demandes de connexion : le prestataire les recevait « à la chaîne » sur son mobile, sans doute par le biais d’une application comme Microsoft Authenticator. Le prestataire d’Uber a plusieurs fois refusé ses demandes, mais, sans doute par inattention ou par lassitude de voir toutes ces notifications apparaître, a fini par en approuver une… et a ainsi donné les clés de son compte au pirate.

Cette technique, bien que peu élaborée, est en plein essor. Microsoft, qui a communiqué dans la foulée du piratage d’Uber, montre que le « spam » de demandes MFA (pour Multi Factor Authentication) par des cybercriminels est en progression depuis quelques mois. Et prend des mesures dans la foulée pour tenter de limiter la casse.