La réponse honnête est nuancée : le SMS-OTP protège encore efficacement contre les attaques de masse fondées sur des identifiants fuités, et il vaut infiniment mieux qu'un mot de passe seul. Mais il échoue sur les deux scénarios qui dominent aujourd'hui les compromissions ciblées — le relais en temps réel et le détournement de numéro. Le NIST SP 800-63B le classe d'ailleurs comme « restricted », c'est-à-dire d'usage déconseillé.
Ce que « restricted » signifie exactement
Le classement du NIST n'est pas une interdiction. Il désigne un mécanisme dont l'usage reste possible mais appelle des obligations : informer les utilisateurs du risque, proposer une alternative, évaluer régulièrement la pertinence du maintien, et prévoir une trajectoire de sortie.
Cette formulation est utile en comité de sécurité, parce qu'elle évite deux caricatures : « le SMS est interdit » et « le SMS est validé par le NIST ». La position exacte est : c'est acceptable faute de mieux, ce n'est pas défendable comme cible.
Ce qu'il protège encore, et ce qu'il ne protège plus
Les attaques qu'il bloque toujours
- Le rejeu d'identifiants fuités. Un mot de passe volé sur un service tiers ne suffit plus. C'est un gain massif en volume, et il concerne la voie d'intrusion la plus constante selon le Verizon DBIR.
- Les attaques automatisées non ciblées. Le coût d'une attaque augmente suffisamment pour décourager l'exploitation industrielle.
- La couverture universelle. Il fonctionne sans application, sans smartphone, sans enrôlement. Pour certaines populations, c'est la seule option réellement disponible, et un facteur imparfait vaut mieux qu'aucun facteur.
Ce dernier point interdit le dogmatisme : retirer le SMS sans alternative pour une population qui n'en a pas d'autre dégrade la posture globale au lieu de l'améliorer.
Les attaques qu'il ne bloque pas
| Attaque | Le SMS-OTP aide-t-il ? | Mécanisme |
|---|---|---|
| Rejeu d'un mot de passe fuité | oui | le code manque à l'attaquant |
| Page contrefaite avec relais immédiat | non | le code est saisi de bonne foi et retransmis |
| Proxy inverse (AiTM) | non | l'attaquant récupère la session ouverte |
| Détournement de numéro (SIM swapping) | non | le code arrive chez l'attaquant |
| Hameçonnage par SMS (smishing) | non | le canal sert lui-même de vecteur |
| Fraude au faux conseiller | non | l'utilisateur transmet le code volontairement |
| Vol du jeton de session | non | l'authentification n'est plus sollicitée |
Deux caractéristiques expliquent l'ensemble de ce tableau. D'abord, un code est une valeur transmissible : rien ne le lie au domaine sur lequel il est saisi. Ensuite, il dépend d'une chaîne — opérateur, réattribution de numéro, service d'acheminement — que votre organisation ne contrôle pas et n'audite pas.
Verdict par cas d'usage
| Cas d'usage | Verdict | Justification |
|---|---|---|
| Second facteur sur un compte grand public sans alternative | acceptable, transitoire | mieux que le mot de passe seul, avec information de l'utilisateur |
| Connexion collaborateur sur un parc équipé | à remplacer | l'alternative existe et coûte peu |
| Accès distant exposé à Internet | à remplacer en priorité | cible permanente d'attaques ciblées |
| Compte d'administration | inacceptable | rendement d'attaque maximal, alternative disponible |
| Récupération de compte | inacceptable | définit le plancher de tout le système |
| Validation d'une opération financière | inadapté | pas de lien dynamique réel avec montant et bénéficiaire |
| Notification d'une opération en cours | usage pertinent | informer n'est pas authentifier |
La dernière ligne mérite d'être retenue. Le SMS reste excellent comme canal d'alerte : prévenir un client qu'un virement est en préparation, avec un moyen simple de s'y opposer, apporte une valeur réelle. Ce qui pose problème, c'est de lui faire porter la preuve d'identité ou de consentement.
Le calendrier de sortie, par ordre de priorité
- Comptes d'administration et accès distants. Populations réduites, exposition maximale, alternative immédiatement disponible.
- Parcours de récupération et changement de coordonnées. C'est le chemin que prend l'attaquant, et le préalable habituel d'une fraude.
- Opérations financières et changements de bénéficiaire. Le sujet n'est plus l'authentification mais la validation de l'action.
- Connexions courantes des collaborateurs, au rythme de l'équipement.
- Populations sans alternative. En dernier, avec un parcours dédié : plafonds réduits, délais de sécurité, validation renforcée pour les opérations importantes.
Deux mesures accompagnent utilement ce calendrier : surveiller les changements récents de numéro associés à un compte et durcir les opérations dans cette fenêtre, et traiter la modification des coordonnées de contact comme une opération sensible à part entière.
Par quoi remplacer, selon la question posée
Le remplacement dépend de ce que le SMS était censé prouver.
- « Un appareil enrôlé répond-il ? » → passkey ou clé physique. La liaison à l'origine supprime le relais, ce que ni le SMS ni le TOTP ne font.
- « La personne est-elle joignable ? » → conservez le SMS, mais comme notification, pas comme facteur.
- « Un humain conscient veut-il cette opération précise ? » → une preuve portant sur l'action. C'est le terrain du 4ᵉ facteur cognitif, qui vise à établir une intention plutôt qu'à vérifier l'acheminement d'un message.
Attention au remplacement en trompe-l'œil : migrer du SMS vers un code temporaire d'application est un progrès — la dépendance à l'opérateur disparaît — mais le relais en temps réel reste entièrement ouvert, puisque la valeur reste transmissible.
FAQ
Le SMS-OTP est-il interdit par la réglementation européenne ?
Aucun texte ne nomme de technologie. La DSP2 fixe des exigences de résultat pour l'authentification forte des paiements, dont un lien dynamique avec le montant et le bénéficiaire. NIS2 et DORA raisonnent en proportionnalité au risque. La question est donc celle de la défendabilité de votre implémentation, pas d'une interdiction.
Faut-il le retirer immédiatement partout ?
Non, un retrait sans alternative disponible dégrade la posture globale. Séquencez par population et par parcours, en commençant par les comptes à privilèges et les parcours de récupération, qui concentrent le risque.
Le SIM swapping est-il vraiment fréquent ?
Il ne s'agit pas d'une attaque de masse, mais d'une attaque ciblée, utilisée quand la valeur de la cible le justifie. C'est précisément pour cela qu'il faut retirer le SMS des comptes à forte valeur en priorité, plutôt que de raisonner sur des volumes moyens.
Peut-on sécuriser le SMS par des mesures complémentaires ?
On peut réduire la probabilité : détection des changements de numéro, plafonnement, délais de sécurité, affichage du contexte en tête de message. On ne change pas sa nature : le code reste une valeur transmissible, acheminée par une chaîne que vous ne maîtrisez pas.
Aller plus loin : pilier : authentification cognitive · SMS-OTP face à l'AiTM · valider un virement avec SMS-OTP · TOTP ou SMS-OTP