L'authentification par notification push envoie une demande d'approbation sur un téléphone préalablement enrôlé : l'utilisateur voit apparaître « Tentative de connexion — approuver ou refuser ». C'est la méthode la plus confortable de la MFA classique, et c'est précisément d'où vient sa faiblesse : elle transforme la preuve d'identité en un geste réflexe, que l'attaquant n'a qu'à provoquer.
Comment fonctionne le push
Le mécanisme repose sur un canal hors bande : la demande ne transite pas par le navigateur où la connexion est tentée.
- L'utilisateur saisit son identifiant et son mot de passe sur le service.
- Le service demande à la solution de MFA de solliciter l'appareil enrôlé de cet utilisateur.
- Une notification est acheminée via le service de notification du système d'exploitation, puis affichée par l'application d'authentification.
- L'utilisateur approuve ou refuse. La réponse, signée par l'application, remonte au service.
- Le service ouvre la session.
L'atout est réel : aucun code à recopier, aucune erreur de saisie, un enrôlement simple, et une information de contexte affichable — lieu approximatif, application demandée, heure. L'utilisateur dispose théoriquement de tout ce qu'il faut pour décider.
Pourquoi cela cède : la MFA fatigue
La faiblesse n'est ni cryptographique ni protocolaire. Elle est comportementale, et elle s'exploite sans aucun outil sophistiqué.
L'attaquant qui dispose déjà d'identifiants valides — obtenus par fuite, réutilisation ou phishing — déclenche des demandes d'approbation en série. Une, dix, cinquante. La victime finit par approuver : par lassitude, pour faire cesser les notifications, ou en pensant régler un dysfonctionnement. C'est le push bombing, aussi appelé MFA fatigue. La compromission d'Uber en 2022 a rendu ce scénario public : le second facteur n'a pas été cassé, il a été obtenu.
Une variante plus discrète combine le push avec un appel téléphonique : un correspondant se présentant comme le support informatique explique qu'une notification va arriver et demande de l'approuver « pour finaliser une vérification ». L'utilisateur ne subit alors aucune pression répétée — il coopère de bonne foi.
Enfin, le push ne protège pas du relais en temps réel. Sur une page relais, la victime saisit ses identifiants, le vrai service déclenche le push, elle approuve sa propre connexion telle qu'elle la croit, et l'attaquant récupère le cookie de session.
Ce que valent les contre-mesures
| Contre-mesure | Ce qu'elle corrige | Limite persistante |
|---|---|---|
| Correspondance de numéro (number matching) | l'approbation à l'aveugle : il faut recopier un chiffre affiché sur l'écran de connexion | inefficace si l'attaquant est en relais et affiche le bon nombre |
| Affichage du contexte (application, lieu, heure) | les tentatives manifestement anormales | dépend de l'attention réelle de l'utilisateur |
| Limitation du nombre de demandes | le harcèlement par volume | déplace l'attaque vers l'appel de support |
| Blocage temporaire après refus | les salves automatisées | risque de déni de service sur le compte visé |
| Restriction géographique ou par appareil géré | les tentatives depuis des infrastructures inconnues | contournable via un relais résidentiel |
| Alerte après refus répétés | la détection a posteriori | ne bloque pas l'approbation initiale |
La correspondance de numéro constitue l'amélioration la plus nette : elle rétablit une action délibérée là où il n'y avait qu'un bouton. Elle ne change pas la nature du problème — la réponse reste une valeur transmise dans un échange que l'attaquant peut orchestrer.
Faut-il abandonner le push ?
Pas nécessairement, mais il faut le remettre à sa place : c'est un facteur d'usage courant, pas un facteur de validation d'opération sensible. Une trajectoire raisonnable :
- Activer la correspondance de numéro et le contexte partout où c'est disponible. C'est l'amélioration au meilleur rapport effort/résultat.
- Plafonner et journaliser les demandes, et traiter les refus répétés comme un signal d'intrusion, pas comme un bruit de fond.
- Sortir les administrateurs du push au profit d'une méthode liée à l'origine ou d'une preuve d'intention.
- Interdire l'approbation sans contexte sur une opération financière ou administrative : l'action elle-même doit être présentée et validée, ce qui relève de l'authentification transactionnelle.
- Informer clairement les utilisateurs qu'aucun support ne leur demandera jamais d'approuver une notification qu'ils n'ont pas déclenchée. C'est peu coûteux et cela transforme chaque utilisateur en capteur.
La logique du facteur cognitif prolonge ce raisonnement : au lieu de demander un accord binaire, elle demande la résolution d'un challenge selon une méthode personnelle. Une salve de sollicitations n'aboutit alors à rien, puisqu'il n'existe aucun geste réflexe capable de valider l'accès.
FAQ
La correspondance de numéro suffit-elle contre la MFA fatigue ?
Elle la réduit fortement, car un chiffre à recopier ne peut pas être approuvé par inadvertance. Elle ne protège pas contre l'ingénierie sociale téléphonique, où l'utilisateur reçoit le bon nombre de la part de l'attaquant lui-même.
Le push est-il plus sûr que le TOTP ?
Ils échouent différemment. Le TOTP expose un code recopiable, le push expose une décision influençable. Le push affiche en revanche un contexte utile, ce que le TOTP ne fait pas. Aucun des deux ne résiste à un relais en temps réel.
Comment détecter une attaque en cours ?
Les signaux utiles sont les refus multiples suivis d'une approbation, les demandes hors horaires habituels, les tentatives visant plusieurs comptes depuis la même source, et une approbation suivie immédiatement d'un changement de paramètres sensibles.
Que faire si un utilisateur a approuvé par erreur ?
Révoquer les sessions et jetons du compte, sans se limiter à un changement de mot de passe. Vérifier ensuite les modifications de configuration réalisées après l'approbation : ajout de méthodes d'authentification, règles de redirection de messagerie, nouveaux appareils enrôlés.
Aller plus loin : le facteur cognitif face à l'approbation réflexe · MFA fatigue et push bombing · TOTP ou SMS-OTP · MFA résistante au phishing