La MFA fatigue est une attaque qui exploite l'usure de l'attention plutôt qu'une faille technique. Disposant déjà d'identifiants valides, l'attaquant déclenche des demandes d'approbation en série jusqu'à ce que l'utilisateur, lassé ou persuadé d'un dysfonctionnement, valide l'une d'elles. La compromission d'Uber en 2022 en est le cas public le plus documenté.
Pourquoi cela fonctionne
Le facteur push a été conçu pour être simple : un seul geste, sans contexte détaillé. Cette simplicité devient le vecteur.
- L'utilisateur reçoit des notifications identiques, sans savoir laquelle est légitime ;
- L'attaque intervient souvent la nuit ou en pleine réunion, quand l'attention est faible ;
- Elle s'accompagne fréquemment d'un appel se faisant passer pour le support informatique, qui demande d'approuver « pour régler le problème ».
La MFA a fonctionné comme prévu : elle a demandé une approbation, et l'a obtenue.
Les parades, et leur portée
La correspondance de nombre (number matching) impose de recopier un chiffre affiché sur l'écran d'origine : elle supprime l'approbation réflexe. On y ajoute utilement la limitation du nombre de demandes, l'affichage du contexte — lieu, application, adresse IP — et l'alerte automatique au-delà d'un seuil.
Ces mesures réduisent l'exposition sans changer la nature du problème : la décision reste un consentement binaire que l'on peut arracher. Un challenge exigeant un raisonnement, différent à chaque tentative, ne s'accorde pas par lassitude.
Aller plus loin : MFA fatigue et push bombing : l'attaque qui exploite l'habitude · le 4ᵉ facteur cognitif contre la MFA fatigue · définition du push bombing · l'authentification cognitive