Double authentification : pourquoi elle bloque beaucoup d’attaques simples

Un mot de passe qui fuit ou qui se devine suffit souvent à ouvrir une porte. La double authentification ajoute une seconde barrière qui arrête une large part des tentatives, sans demander une expertise technique.

Pourquoi un simple mot de passe ne tient plus

Un compte protégé uniquement par mot de passe repose sur un seul secret, qui circule plus qu’on ne l’imagine. Il peut fuiter lors d’une brèche chez un site où vous vous êtes inscrit des années plus tôt. Réutilisé partout, il transforme une fuite lointaine en accès simultané à plusieurs services. Et il se devine quand il est trop court ou lié à des informations publiques.

La plupart de ces scénarios ne demandent aucun génie informatique : le credential stuffing consiste à tester le même couple identifiant/mot de passe récupéré ailleurs sur des dizaines de sites. Ça fonctionne parce que beaucoup de comptes ont encore un mot de passe réutilisé sans seconde barrière. C’est ce type d’attaque que la double authentification rend la plupart du temps inefficace.

Le mot de passe n’est pas inutile pour autant. Mais le traiter comme seul verrou expose à une fragilité simple : une erreur commise des années plus tôt sur un site sans importance peut ouvrir une adresse mail principale ou un compte bancaire. La double authentification casse ce lien en exigeant une seconde preuve.

Comment fonctionne concrètement la double authentification

Le principe tient en une phrase : demander deux preuves de nature différente, pas deux fois le même mot de passe. Le premier facteur, vous le savez : c’est le mot de passe. Le second, vous le possédez : une application qui génère un code temporaire, une notification sur votre téléphone, ou une clé USB de sécurité. Pour un compte grand public, le second facteur le plus courant reste le téléphone.

Vous faites déjà ce geste sans le nommer : retirer de l’argent au distributeur demande une carte et un code. Sans la carte ou sans le code, on ne tire rien. Ce réflexe bancaire se reproduit à l’identique sur votre messagerie, vos réseaux sociaux ou vos documents partagés.

Le second facteur a une propriété qui change tout : il n’existe que sur votre appareil. Un attaquant qui obtient votre mot de passe ne peut pas produire ce code calculé localement sur un téléphone qu’il ne détient pas. La connexion s’arrête au seuil ; le mot de passe fuité devient simplement insuffisant.

Les trois méthodes : SMS, application, clé physique

Le code reçu par SMS est la version la plus courante, mais la moins robuste. Le problème, c’est le SIM swapping : un attaquant parvient à faire transférer votre numéro vers sa propre carte SIM, par exemple en trompant l’opérateur avec des informations volées. Le code arrive alors sur son téléphone. La protection reste meilleure que rien, mais elle repose sur un canal parfois détournable.

L’application d’authentification (Google Authenticator, Microsoft Authenticator, Authy, ou l’outil intégré aux gestionnaires de mots de passe) génère localement un code qui change toutes les trente secondes. Le code n’est pas envoyé : il est calculé sur votre appareil, à partir d’une clé partagée au moment de l’activation. Il ne transite pas par un canal dévoyé comme le SMS ; il est nettement plus difficile à intercepter et fonctionne même sans réseau.

La clé physique (norme FIDO2/WebAuthn, branchée en USB ou approchée du téléphone) est la méthode la plus solide. La clé vérifie que le site auquel vous vous connectez est bien celui auquel elle a été associée, ce qui rend le phishing par imitation de site très difficile. Elle demande un achat (comptez 25 à 60 euros) et mieux vaut en garder une de secours si la première est perdue. Pour un compte professionnel, ou un compte dont dépendent plusieurs autres, c’est le choix le plus sûr.

Le SMS reste acceptable quand c’est la seule option du service. L’application couvre la plupart des besoins personnels avec un bon équilibre entre protection et simplicité. La clé physique convient aux comptes stratégiques et aux profils professionnels exposés.

Ce qu’elle bloque vraiment, et ce qu’elle n’arrête pas

Ce qu’elle bloque efficacement :

• Le credential stuffing : même si vos identifiants circulent, l’attaquant n’a pas le second facteur, la tentative échoue.
• Le phishing naïf : un faux formulaire qui capture le mot de passe ne récupère pas le code temporaire.
• Le devinage par force brute : les essais de mots de passe ne servent à rien si la seconde barrière exige un code en plus.
• Un mot de passe découvert a posteriori : une note laissée sur le bureau, un papier dans un sac partagé, et l’accès reste bloqué à l’étape suivante.

Ce qu’elle n’arrête pas :

• Le détournement du second facteur lui-même : SIM swapping, session volée via un cookie capté, téléphone déverrouillé. Le téléphone qui sert de second facteur devient alors le point faible : il mérite un code de déverrouillage solide et des mises à jour régulières.
• Un mot de passe trop faible : la 2FA ne compense pas un mot de passe court ; les attaques qui visent directement le mot de passe arrivent bien avant la seconde barrière.
• Les arnaques où vous validez vous-même l’action : dans un piège à QR code frauduleux, l’attaque consiste d’abord à vous faire scanner un code malveillant, puis à valider à l’aveugle une notification au moment où votre attention est ailleurs. Une notification « Confirmez la connexion » reçue sans raison doit être refusée.

Erreurs fréquentes qui ruinent la protection

• Stocker les codes de secours sur la même machine compromise. Dans un fichier texte à côté de vos mots de passe, sur un ordinateur infecté, la liste fournie lors de l’activation ne sert à rien. Imprimez-la, ou rangez-la dans un gestionnaire fiable.
• Confondre vérification en deux étapes et mot de passe plus fort. Deux couches distinctes : l’une ne compense pas l’autre.
• Négliger la récupération. Un compte peut souvent être repris via une adresse mail de secours créée il y a dix ans. Si cette adresse est peu protégée, l’attaquant passe par la porte de derrière. Vérifiez-la et protégez-la par la 2FA à son tour.
• Valider une notification sans la lire. Une alerte de connexion arrivée sans raison doit être refusée, systématiquement.
• Activer la 2FA sur un compte secondaire et laisser la messagerie principale de côté. La messagerie sert souvent à réinitialiser tous les autres comptes : elle mérite la protection la plus solide.
• Changer de téléphone sans réinitialiser la 2FA. L’application ne se réinstalle pas toute seule : désactivez puis réactivez la 2FA, ou utilisez la fonction de transfert prévue.

Où l’activer en priorité

1. La messagerie principale, qui sert à récupérer tous les autres comptes : qui la maîtrise peut demander la réinitialisation de tous vos mots de passe.
2. Les comptes bancaires et de paiement, qui concentrent l’impact financier direct. La plupart des banques proposent une validation par application ou notification.
3. Les outils de travail et les documents partagés : cloud, espace bancaire professionnel, moteur de réservation.
4. Les réseaux sociaux, moins critiques, mais souvent image publique et point d’entrée vers des mails de confirmation d’achat.

Pour une petite structure (association, artisan, TPE), ces comptes deviennent la messagerie professionnelle, la facturation en ligne et le panneau d’administration du site. La 2FA admin y vaut parfois plus que des mesures techniques poursuivies ailleurs.

Cette mesure mérite aussi d’être expliquée aux proches, en particulier aux personnes âgées. Les vols de mot de passe passent d’abord par des méthodes sociales : un appel à une heure improbable, un message urgent, une fausse alerte à cocher. Une notification 2FA refusée à ce moment-là coupe net le scénario. Pour aller plus loin, voir comment installer des garde-fous simples contre les cyberarnaques qui touchent les personnes âgées, ou reconnaître une arnaque SMS de livraison avant de cliquer sur un lien suspect. Ces approches visent des points d’entrée différents mais convergent vers le même but : aucune porte accessible avec une seule preuve.

Questions fréquentes

Est-ce que la double authentification est vraiment indispensable partout ?

Elle est obligatoire sur certains services (la banque en ligne, notamment) et recommandée sur la plupart des autres. L’important : l’activer d’abord sur les comptes dont dépendent les autres.

Que faire si je perds mon téléphone ?

Vous utilisez les codes de secours fournis lors de l’activation, ou contactez le support du service. Préparer la récupération fait partie de l’installation, pas une option après-coup.

Est-ce que ça marche sans réseau ?

Oui : les applications et les clés physiques calculent le code localement. Seul le SMS demande un signal mobile.

Comment faire quand un service ne propose aucune double authentification ?

Utilisez un mot de passe unique et long, jamais réutilisé : dans ce cas, il reste le seul rempart et doit être choisi en conséquence.

« Clé physique », c’est quoi exactement ?

Un petit objet USB ou NFC, à brancher ou approcher à la connexion. Sa puce vérifie que le site visité est le bon, ce qui rend les faux sites inopérants. Définissez un code PIN pour la clé et gardez-en une seconde enregistrée à l’avance.

Concrètement : la double authentification ne rend pas votre mot de passe inutile, elle le rend moins déterminant. Un mot de passe qui fuit n’ouvre plus une porte ; il déclenche seulement une demande de code que l’attaquant n’a pas. C’est une mesure simple, gratuite dans la plupart des cas, et qui cible précisément les attaques les plus massives du web.