Dans le secteur public, l'attaque AiTM (adversary-in-the-middle) exploite une asymétrie particulière : les administrations concentrent des données à très forte valeur d'usurpation — état civil, situation fiscale, droits sociaux — tout en desservant des usagers qu'elles ne peuvent pas équiper. Le proxy inverse relaie l'authentification d'un agent ou d'un usager, capture la session, et l'attaquant agit ensuite avec une légitimité complète dans le système.
Deux périmètres, deux logiques de défense
Les comptes agents. Ils donnent accès aux applications métier : gestion des droits, état civil, subventions, marchés, ressources humaines. La population est identifiée, l'équipement est finançable, et le niveau d'authentification relève d'une décision interne. C'est le périmètre où une bascule vers un facteur lié à l'origine est réaliste à court terme.
Les téléservices usagers. La population est le grand public, avec tous les niveaux d'équipement et de littératie numérique. Imposer un facteur matériel n'est pas envisageable. La réponse passe donc par la détection, la limitation des effets, et la conception des parcours plutôt que par la seule force du facteur.
Confondre ces deux périmètres dans une même politique produit le pire des deux mondes : trop de friction pour les usagers, pas assez de protection pour les agents.
Ce que la fédération d'identité amplifie
Les administrations recourent largement à la fédération d'identité : un point d'authentification central donne accès à un catalogue d'applications. C'est une bonne pratique de gouvernance, et un multiplicateur d'impact en cas d'AiTM. Une seule session volée au niveau du fournisseur d'identité ouvre l'ensemble du catalogue, sans nouvelle authentification.
Trois conséquences pratiques en découlent.
- Le fournisseur d'identité doit disposer du niveau d'authentification le plus élevé du système, pas d'un niveau moyen.
- Les applications les plus sensibles doivent pouvoir exiger une réauthentification plutôt que d'accepter l'assertion telle quelle.
- La révocation doit être centralisée et effective : couper la session au niveau du fournisseur d'identité sans couper les sessions applicatives ouvertes ne referme rien.
Actifs visés et effets recherchés
| Périmètre public | Ce qu'ouvre la session volée | Gain pour l'attaquant | Contre-mesure prioritaire |
|---|---|---|---|
| Compte agent état civil | Actes, identités | Fabrication d'identités support d'autres fraudes | Facteur lié à l'origine, journalisation par acte |
| Compte agent prestations sociales | Dossiers, coordonnées bancaires | Détournement de versements | Verrouillage du changement d'IBAN |
| Chaîne marchés publics | Offres, coordonnées fournisseurs | Fraude au virement, atteinte à l'égalité de traitement | Double validation, canal de référence |
| Messagerie de collectivité | Correspondances, organigramme | Prétexte pour une fraude ultérieure | Alerte sur règles de boîte |
| Téléservice usager | Données personnelles d'un citoyen | Usurpation, fraude aux aides | Détection d'usage, notification hors bande |
| Portail de fédération | Catalogue applicatif complet | Latéralisation immédiate | Réauthentification par application sensible |
L'ordre de virement, point de préjudice le plus direct
Dans les collectivités, la fraude qui aboutit le plus souvent après une compromission de messagerie est le changement de coordonnées bancaires d'un fournisseur ou d'un bénéficiaire. L'attaquant n'a pas besoin d'accéder à la chaîne comptable : il lui suffit d'écrire depuis une boîte légitime, dans un fil existant, au moment où un paiement est attendu.
La parade combine trois éléments simples et rarement tous appliqués : un référentiel de coordonnées bancaires alimenté par un canal distinct de la messagerie, un contre-appel sur un numéro issu de ce référentiel, et un délai de carence avant le premier paiement sur des coordonnées modifiées.
Souveraineté, conformité et choix de la méthode
Le secteur public raisonne aussi en termes de maîtrise. NIS2 (directive (UE) 2022/2555) cite l'authentification multifacteur ou continue parmi les mesures de gestion des risques attendues, et le règlement eIDAS 2 (règlement (UE) 2024/1183) engage le déploiement d'un portefeuille d'identité européen qui structurera les parcours usagers à venir.
Sur le plan des choix techniques, la qualification SecNumCloud de l'ANSSI et la localisation de l'hébergement pèsent dans les marchés. Le facteur cognitif s'inscrit dans cette logique : architecture décentralisée, biométrie traitée localement, aucune donnée identifiante détenue par l'éditeur, conception et hébergement en France, avec une démarche SecNumCloud en cours. Sur le plan fonctionnel, il apporte une preuve d'intention au moment de l'acte — validation d'un mandat de paiement, modification d'un droit, délivrance d'un acte — ce qu'une authentification d'ouverture de session ne fournit pas.
FAQ
Faut-il imposer un facteur matériel aux usagers des téléservices ?
Ce n'est généralement ni finançable ni équitable. La bonne approche consiste à graduer : un niveau courant pour la consultation, une exigence renforcée pour les gestes à effet financier ou identitaire, avec notification systématique sur un canal distinct.
La fédération d'identité augmente-t-elle le risque ?
Elle concentre le risque plus qu'elle ne l'augmente. Bien pilotée, elle améliore la gouvernance ; mal protégée, elle transforme un incident local en incident global. Le niveau d'authentification du fournisseur d'identité doit être aligné sur l'application la plus sensible du catalogue.
Comment prouver la maîtrise des accès lors d'un contrôle ?
En produisant des journaux exploitables : qui s'est authentifié, avec quel facteur, quelles sessions étaient actives, quels facteurs ont été enrôlés, et quand la révocation a eu lieu. Cette capacité se prépare avant l'incident.
Un agent formé peut-il reconnaître une page AiTM ?
Difficilement. Le site affiché est le site légitime, servi à travers l'attaquant, avec un certificat valide. La formation doit donc porter sur les gestes — ne jamais valider une opération non déclenchée, savoir demander une révocation — plutôt que sur la détection visuelle.
Aller plus loin : le 4ᵉ facteur cognitif · anatomie de l'AiTM · NIS2 dans le secteur public · eIDAS 2 et les services publics