Une authentification réussie répond à la question « ce facteur a-t-il été fourni ? ». Elle ne répond jamais à celle qui compte dans une fraude : « cette personne voulait-elle faire cela ? ». Cet écart entre validation technique et volonté réelle est le terrain de jeu de la fraude au faux conseiller, du push bombing et de la fraude au président. Aucun contrôle n'y est contourné : ils fonctionnent tous, sur une décision viciée.
Authentifier n'est pas consentir
Les trois facteurs classiques mesurent une possession de preuve : un secret saisi, un appareil qui répond, un gabarit qui correspond. Chacun est un indice de présence, aucun n'est un indice de volonté. Le système en déduit le consentement par convention, et cette convention tient tant que la personne n'est pas manipulée.
Le droit, lui, distingue depuis longtemps ces deux plans. Un consentement n'a de valeur que s'il est libre et éclairé : la personne doit savoir à quoi elle consent, et ne pas y être conduite par tromperie. Un système d'authentification qui ne vérifie ni l'un ni l'autre laisse au métier tout le poids de la preuve en cas de litige.
Trois scénarios où tous les facteurs sont valides
| Scénario | Ce que le système observe | Ce qui manque réellement |
|---|---|---|
| Faux conseiller bancaire | l'utilisateur s'authentifie lui-même, correctement | il croit bloquer un virement, il l'autorise |
| MFA fatigue / push bombing | une approbation légitime sur un appareil enrôlé | l'utilisateur ne sait pas ce qu'il approuve |
| Vol de session après authentification | une session ouverte par un facteur valide | l'action suivante n'a été voulue par personne |
| Fraude au président | un ordre validé par un collaborateur habilité | l'ordre n'émane pas de qui il prétend |
Ces quatre situations ont une propriété commune : les journaux d'authentification sont propres. L'investigation ne trouve aucune anomalie technique, parce qu'il n'y en a pas. Ce qui a échoué n'est pas le contrôle d'accès, c'est le lien entre l'accès et la décision.
Le régulateur a déjà nommé une partie du problème
La DSP2 (directive UE 2015/2366) n'exige pas seulement deux facteurs de catégories distinctes pour l'authentification forte du client. Elle impose aussi le lien dynamique : le code de validation doit être rattaché au montant et au bénéficiaire de l'opération. Autrement dit, le régulateur a reconnu qu'authentifier une personne ne suffisait pas — il fallait authentifier une opération précise.
Le lien dynamique traite la manipulation technique de la transaction. Il ne traite pas la manipulation de la personne : si la victime lit le bon montant et le bon bénéficiaire tout en croyant une histoire fausse, le lien dynamique est respecté et la fraude aboutit. On avance donc d'un cran, mais l'intention reste hors du champ vérifié.
Les cadres plus récents poussent dans la même direction sans la nommer : NIS2 (directive UE 2022/2555) cite l'authentification multifacteur ou continue parmi les mesures de gestion des risques, et DORA (règlement UE 2022/2554), applicable depuis janvier 2025, demande au secteur financier une résilience opérationnelle démontrable, ce qui suppose de savoir qui a voulu quoi.
Comment se prouve une intention
Trois conditions sont nécessaires, et elles se cumulent.
- La vérification doit porter sur l'action, pas sur la session. Une validation demandée au moment du virement, du changement d'IBAN ou de l'élévation de privilèges est la seule qui atteste quelque chose sur cette opération. C'est le principe de l'authentification transactionnelle.
- L'acte doit être coûteux en attention. Un bouton unique s'appuie sur un réflexe ; une épreuve qui demande un raisonnement rompt l'automatisme. Le facteur cognitif « je sais faire » repose sur ce point : la personne applique une méthode de résolution qui lui est propre, ce qui suppose de comprendre où elle se trouve et pourquoi.
- Le contexte de l'opération doit être présent au moment de la décision. Valider dans le vide n'engage rien ; valider en voyant l'opération engage.
Aucune de ces trois conditions ne rend la manipulation impossible — aucune technologie ne le fait. Ce qu'elles visent, c'est d'introduire un temps de conscience là où la fraude compte précisément sur son absence, et de laisser une trace exploitable de ce que la personne a effectivement validé.
Ce que cela change côté organisation
La conséquence pratique est une cartographie : quelles sont, chez vous, les actions dont l'exécution non voulue coûte cher ? Elles ne sont jamais très nombreuses. Virements au-delà d'un seuil, modification de coordonnées bancaires fournisseur, création ou élévation d'un compte à privilèges, signature d'un engagement, export massif de données.
Pour ces actions-là, la question à poser à un fournisseur n'est pas « avez-vous de la MFA ? » mais « que prouvez-vous exactement au moment de l'action ? ». La réponse, chez la plupart des méthodes en place, est : rien de plus qu'au moment de la connexion.
FAQ
Une preuve d'intention protège-t-elle contre l'ingénierie sociale ?
Elle ne supprime pas la manipulation, elle en augmente le coût et le délai. Une personne conduite à résoudre activement une épreuve rattachée à une opération affichée est dans une posture différente de celle qui appuie sur « approuver » pendant un appel téléphonique.
Le lien dynamique DSP2 ne suffit-il pas ?
Il rattache le code à un montant et à un bénéficiaire, ce qui empêche la substitution technique de l'opération. Il ne dit rien de l'état d'esprit de la personne. Les deux mécanismes sont complémentaires, pas redondants.
Faut-il demander une preuve d'intention à chaque action ?
Non, et ce serait contre-productif. Le niveau d'exigence peut suivre la criticité, du 2FA au 4FA, et se déclencher sur un score de risque contextuel plutôt que systématiquement.
Comment le prouver en cas de contestation ?
En conservant la trace de ce qui a été présenté à l'utilisateur au moment de la validation, et du fait qu'une action de résolution a été réalisée. C'est cette combinaison, et non la seule mention « MFA validée », qui a une valeur en analyse post-incident.
Aller plus loin : le 4ᵉ facteur d'authentification · au-delà de la MFA · la fraude au faux conseiller · sécuriser la validation d'un virement