La MFA fatigue ne casse aucun algorithme : elle épuise une personne jusqu'à obtenir un clic. C'est une attaque contre l'attention, et c'est pour cette raison que les contre-mesures techniques classiques la limitent sans la supprimer. Un facteur qui exige un raisonnement actif change la nature du geste demandé : on ne résout pas un challenge par réflexe.
Une attaque contre l'ergonomie
Le mécanisme est simple et ne demande aucune sophistication. L'attaquant dispose déjà d'identifiants valides — achetés, rejoués ou collectés. Il lui manque le second facteur. Il déclenche alors des demandes d'approbation en série, jusqu'à ce que la cible cède : par lassitude, par confusion, ou en croyant régler un dysfonctionnement. La compromission d'Uber en 2022 a rendu ce scénario public.
Ce qui rend l'attaque efficace est précisément ce qui rendait la notification push attractive : elle est conçue pour être approuvée vite. Un bouton unique, une action à un doigt, aucune information à traiter. L'ergonomie qui a fait adopter le push est celle que l'attaquant exploite.
Trois biais bien documentés s'additionnent :
- L'habituation : un signal répété cesse d'être traité consciemment.
- La recherche de résolution : face à une gêne persistante, on cherche à la faire cesser, pas à la comprendre.
- L'autorité perçue : si un appel se présente comme venant du support informatique, l'approbation devient une coopération, pas une faute.
Pourquoi les contre-mesures classiques plafonnent
| Contre-mesure | Ce qu'elle apporte | Sa limite |
|---|---|---|
| Limitation du nombre de demandes | coupe les campagnes brutales | l'attaquant ralentit et étale dans le temps |
| Correspondance de numéro (number matching) | force la lecture d'un chiffre | recopier un chiffre reste un geste passif |
| Affichage du contexte (lieu, application) | donne matière à douter | le contexte peut être crédible, ou ignoré |
| Blocage géographique | élimine le bruit lointain | contourné par infrastructure locale ou proxy résidentiel |
| Sensibilisation | crée un réflexe de signalement | dépend de la vigilance à l'instant T |
Chacune est utile. Aucune ne modifie la nature du geste : valider reste plus facile que refuser. Tant que cette asymétrie existe, l'attaquant n'a qu'à insister assez longtemps.
Le raisonnement comme rupture d'automatisme
Le facteur cognitif inverse cette asymétrie. Le geste demandé n'est plus « accepter ou refuser » mais « résoudre » : l'utilisateur applique une méthode de résolution personnelle, établie lors d'un enrôlement hors ligne, à un challenge présenté pour cette occasion.
Trois effets, du plus évident au plus intéressant :
- Un utilisateur qui n'a rien déclenché n'a rien à résoudre. Une sollicitation non sollicitée n'aboutit pas à une validation accidentelle, parce qu'il n'existe pas de geste réflexe qui valide.
- L'attention est réquisitionnée, donc disponible. Pour appliquer sa méthode, la personne doit regarder ce qui est affiché. Le contexte de l'opération cesse d'être ignorable.
- Le harcèlement devient contre-productif pour l'attaquant. Multiplier les demandes rend l'anomalie visible sans jamais rapprocher du succès, puisque la répétition n'use pas une méthode de résolution comme elle use une patience.
Formulé autrement : le coût cognitif, souvent considéré comme un défaut d'ergonomie, est ici la propriété de sécurité. Il ne doit simplement pas être imposé partout.
Déployer sans transformer chaque connexion en épreuve
L'erreur symétrique serait d'exiger le niveau maximal à chaque authentification. La friction produit des contournements, et les contournements produisent des incidents.
Le facteur cognitif se déploie dans un continuum du 2FA au 4FA :
- connexion courante : interaction légère, sans challenge complet ;
- action sensible : challenge complet rattaché au contexte de l'opération ;
- signal de risque : le score de risque contextuel élève l'exigence quand le terminal, le réseau ou l'horaire sortent de l'ordinaire.
Le déploiement peut se faire en overlay d'une MFA existante, ce qui permet de traiter d'abord les populations les plus visées — administrateurs, direction financière — sans refondre l'IdP.
Ce qu'il reste à traiter en parallèle
Une attaque de MFA fatigue suppose que l'attaquant détienne déjà des identifiants valides. Le supprimer à la racine relève de deux autres chantiers : le passage au passwordless, qui retire la matière première, et le durcissement des parcours de réinitialisation, souvent le vrai chemin d'entrée. Un facteur cognitif traite le maillon « approbation » ; il ne dispense pas de traiter le maillon « identifiants ».
FAQ
Faut-il supprimer la notification push ?
Pas forcément, mais elle ne devrait plus servir seule à valider une opération sensible. Assortie de correspondance de numéro et d'un contexte affiché, elle reste acceptable pour des accès courants à faible impact.
La MFA fatigue concerne-t-elle aussi les passkeys ?
Le mécanisme d'approbation en série ne s'applique pas de la même manière, la liaison à l'origine rendant l'attaque par relais inopérante. En revanche, les parcours de secours associés — e-mail, SMS, appel au support — restent des cibles d'ingénierie sociale.
Un challenge cognitif peut-il être dicté par téléphone à un attaquant ?
La réponse produite ne vaut que pour le challenge en cours : la transmettre ne permet pas d'en produire une autre. Cela réduit fortement l'intérêt du scénario « lisez-moi le code », central dans le vishing.
Comment repérer une campagne en cours ?
Les signaux utiles sont la répétition de demandes refusées ou ignorées pour un même compte, les tentatives sur des comptes à privilèges hors horaires, et les authentifications réussies suivies immédiatement d'un changement de paramètres sensibles.
Aller plus loin : comprendre le 4ᵉ facteur · MFA fatigue et push bombing · au-delà de la MFA · la notification push en question