Le principe des quatre yeux repose sur une hypothèse : deux personnes exercent deux jugements indépendants. Dès que cette indépendance disparaît — même canal, même moment, même prétexte, même attaquant à l'origine — le contrôle devient décoratif. Il produit une trace conforme, une piste d'audit satisfaisante, et une protection nulle contre le scénario qu'il était censé traiter.
Trois façons de neutraliser une double validation
| Faille | Comment elle se manifeste | Ce qu'elle révèle |
|---|---|---|
| Approbation de courtoisie | le second valide parce que le premier a validé | le second jugement n'existe pas |
| Canal commun | les deux reçoivent la même notification push | une seule attaque suffit pour les deux |
| Origine commune | les deux sont sollicités par le même appel frauduleux | l'indépendance est apparente, pas réelle |
| Délégation en cascade | les deux approbations remontent au même délégataire | le circuit s'est refermé sur une personne |
La deuxième ligne est la plus fréquente et la moins discutée. Dans beaucoup de circuits, les deux valideurs cliquent « approuver » sur la même application, souvent en quelques secondes d'intervalle, depuis des terminaux comparables, sans avoir consulté l'opération. Deux approbations, un seul geste répété.
La troisième correspond au mode opératoire de la fraude au président : l'attaquant contacte successivement plusieurs personnes du circuit avec un récit cohérent, urgent et confidentiel. Chacune valide de bonne foi. Le contrôle a fonctionné exactement comme prévu, et la fraude a abouti.
Ce qui rend une approbation individuellement probante
Trois conditions, cumulatives.
- Un jugement distinct. Le second valideur doit voir l'opération elle-même — montant, bénéficiaire, pièce justificative — et non un simple résumé de la demande du premier. Le contenu affiché conditionne la qualité du contrôle.
- Un acte non réflexe. Tant que valider est plus facile que refuser, la pression sociale et l'urgence emportent la décision. La résolution d'un challenge cognitif demande une attention active, ce qui rétablit un temps de conscience.
- Une preuve non transférable. Si un valideur peut dicter son code, ou approuver depuis un canal qu'un attaquant contrôle déjà, le second contrôle n'est pas indépendant. Une méthode de résolution personnelle, acquise lors d'un enrôlement hors ligne, ne se transmet pas : la réponse ne vaut que pour le challenge présenté à cette personne.
Le facteur cognitif agit sur les trois conditions à la fois, parce qu'il rattache la validation à une personne, à une opération et à un instant, et non à un appareil.
Le cas particulier de la collusion
Un contrôle à plusieurs vise deux risques différents qu'il vaut mieux ne pas confondre :
- L'erreur ou la manipulation : deux personnes de bonne foi, dont l'une devrait détecter l'anomalie. C'est le cas majoritaire, et celui que la preuve d'intention traite le mieux.
- La collusion volontaire : deux personnes s'entendent. Aucune technologie d'authentification ne résout ce cas, et prétendre le contraire serait faux.
Contre la collusion, les leviers restent organisationnels : rotation des valideurs, séparation des fonctions entre celui qui saisit et celui qui approuve, contrôle a posteriori par sondage, seuils imposant un troisième niveau. Ce que l'authentification apporte, c'est une imputabilité forte : chaque approbation est rattachée à une personne de manière difficilement contestable, ce qui change la nature du risque pris par un collaborateur tenté.
Concevoir un circuit qui résiste
Cinq règles de conception, issues des scénarios ci-dessus :
- Séparer les canaux. Les valideurs ne devraient pas dépendre du même vecteur de sollicitation pour être alertés et pour valider.
- Décaler l'affichage. Le second valideur doit voir l'opération d'origine, pas la validation du premier — sans quoi il valide une validation.
- Imposer un délai minimal sur les opérations à très fort impact. L'urgence est l'ingrédient principal de la fraude au président ; un délai la neutralise mieux qu'une consigne.
- Fermer les dérogations. « En cas d'absence, une seule signature suffit » est la ligne qui annule le dispositif. Prévoir des suppléants nommés, pas des exceptions.
- Tracer ce qui a été montré. En analyse post-incident comme en audit, la question est « qu'a vu le valideur ? », pas « a-t-il cliqué ? ».
Ce que les cadres attendent
DORA (règlement UE 2022/2554), applicable depuis janvier 2025, demande au secteur financier une maîtrise démontrable de ses processus critiques. NIS2 (directive UE 2022/2555) inscrit la gestion des accès et l'authentification parmi les mesures de gestion des risques. ISO/IEC 27001 traite la séparation des tâches dans ses mesures de contrôle. Aucun de ces textes ne prescrit un mécanisme d'approbation ; tous supposent que le contrôle décrit dans les procédures soit effectif, ce qu'un audit vérifie en examinant les contournements réels.
FAQ
Deux approbations valent-elles mieux qu'une ?
Seulement si elles sont indépendantes. Deux approbations obtenues par le même appel frauduleux, sur le même canal, ne constituent pas deux contrôles mais un seul, exécuté deux fois.
Cela alourdit-il les circuits de validation ?
L'exigence renforcée peut être réservée aux opérations à fort impact via un score de risque contextuel. Le volume concerné est généralement faible, ce qui rend la contrainte acceptable.
Comment gérer les absences et les délégations ?
En nommant des suppléants disposant du même niveau de preuve, plutôt qu'en abaissant l'exigence. Les délégations en cascade doivent être détectables : elles referment le circuit sur une seule personne.
Cela protège-t-il contre la fraude au président ?
Cela ne supprime pas la manipulation, mais cela rend le scénario nettement plus coûteux : l'attaquant doit obtenir de plusieurs personnes un acte conscient, rattaché à l'opération affichée, sans pouvoir se contenter d'une approbation réflexe.
Aller plus loin : l'authentification cognitive · prouver une intention humaine · sécuriser la validation d'un virement · DORA et authentification