MFA en 2026 : pourquoi le SMS et l’OTP ne suffisent plus

MFA en 2026 : pourquoi le SMS et l’OTP ne suffisent plus

Le MFA (authentification multifacteur) reste la mesure la plus efficace contre le vol de comptes. Mais toutes les méthodes MFA ne se valent pas : les attaques par phishing en temps réel (AiTM, « adversary-in-the-middle ») contournent désormais couramment le SMS et les codes OTP classiques. Voici pourquoi, et comment migrer vers des méthodes réellement résistantes au phishing dans un environnement Microsoft 365 / Entra ID.

Le problème avec SMS et OTP

Un code à 6 chiffres reste un secret que l’utilisateur peut, sans le vouloir, transmettre à un attaquant. Avec un kit de phishing AiTM (proxy transparent entre la victime et le vrai site Microsoft), l’attaquant intercepte à la fois le mot de passe et le code MFA en temps réel, puis rejoue la session. Le SMS ajoute un risque supplémentaire : le SIM swapping, où l’attaquant fait transférer votre numéro vers sa propre carte SIM.

Ce qu’est le « phishing-resistant MFA »

Les méthodes résistantes au phishing reposent sur une cryptographie à clé publique liée au domaine exact du site visité (origin binding). Concrètement, même si l’utilisateur est redirigé vers un faux site parfaitement imité, la clé ne fonctionnera pas car le domaine ne correspond pas. Les deux standards principaux :

• FIDO2 / clés de sécurité matérielles (YubiKey, etc.) : le gold standard, notamment pour les comptes à privilèges.
• Passkeys : la même technologie FIDO2, mais stockée dans un gestionnaire (Windows Hello, iCloud Keychain, Google Password Manager) plutôt que sur une clé physique — plus simple à déployer à grande échelle.

Migrer depuis Entra ID : les étapes pratiques

1. Activer les méthodes d’authentification dans Entra ID > Sécurité > Méthodes d’authentification : activer « Clé de sécurité FIDO2 » et « Passkey (FIDO2) ».
2. Cibler les comptes à privilèges en premier : administrateurs globaux, comptes de service sensibles, comptes financiers. Ce sont les cibles prioritaires des attaquants.
3. Déployer Windows Hello for Business sur les postes gérés par Intune : il s’appuie sur la même norme FIDO2 et ne nécessite pas de matériel supplémentaire.
4. Utiliser l’accès conditionnel pour exiger une force d’authentification (« authentication strength ») de type résistant au phishing sur les rôles sensibles, via une stratégie dédiée plutôt qu’une règle globale du jour au lendemain.
5. Prévoir un plan de bascule progressif : garder l’application Microsoft Authenticator en filet de sécurité pendant la transition, puis désactiver SMS/OTP une fois l’adoption suffisante.

Et pour les PME sans budget clés matérielles ?

Les passkeys sur smartphone (Microsoft Authenticator en mode passkey, ou Windows Hello) offrent déjà une résistance au phishing équivalente aux clés FIDO2, sans coût matériel. C’est souvent le point de départ le plus réaliste pour une PME : zéro achat, juste une reconfiguration dans Entra ID et un accompagnement des utilisateurs.