L'OTP par e-mail ne constitue pas un second facteur au sens strict. Il repose sur la même catégorie de preuve que le mot de passe qu'il complète : un secret transmis, accessible depuis une boîte de messagerie. Face au spear phishing, cette dépendance est déterminante — l'attaquant qui prépare une campagne ciblée vise justement la boîte mail, parce qu'elle porte simultanément le facteur de connexion et le parcours de récupération.
Le raisonnement caché derrière l'OTP par e-mail
Un dispositif à deux facteurs suppose deux catégories distinctes : ce que l'on sait, ce que l'on possède, ce que l'on est. L'OTP par e-mail est censé apporter la possession — celle de la boîte.
Or l'accès à cette boîte est lui-même protégé par un mot de passe, souvent sur un service grand public, parfois sans authentification forte. La chaîne complète se réduit donc à deux secrets de même nature, dont l'un ouvre l'autre. La DSP2 (directive (UE) 2015/2366) exige d'ailleurs deux facteurs de catégories distinctes, ce qui rend cette configuration difficile à défendre sur les parcours de paiement.
| Hypothèse implicite de l'OTP par e-mail | Réalité observable | Conséquence |
|---|---|---|
| La boîte est un facteur de possession | Elle est protégée par un mot de passe | Un seul type de preuve, dupliqué |
| Seul le titulaire y accède | Délégations, boîtes partagées, règles de transfert | Portée plus large que prévu |
| Le code est éphémère | Il reste lisible dans la boîte | Fenêtre d'exploitation allongée |
| Le canal est distinct | La boîte est souvent ouverte dans le même navigateur | Aucune séparation réelle |
| Le code prouve une intention | Il prouve un accès à un message | Aucune information sur l'action |
| L'attaquant devrait compromettre deux choses | La boîte donne aussi la réinitialisation | Une compromission suffit |
Le spear phishing, préparation avant l'attaque
Le spear phishing ne ressemble pas au phishing de masse. Il vise une personne précise, à un moment précis, avec un prétexte tiré de sa situation réelle : un dossier en cours, un déplacement, un changement de poste, une facture attendue.
Deux mécaniques d'exploitation coexistent, et il est utile de ne pas les confondre.
Le relais en temps réel. Un proxy inverse relaie le code dès sa saisie. Le fait que le code soit valide dix minutes plutôt que trente secondes ne change rien : la fenêtre nécessaire à un automate se compte en secondes. L'OTP par e-mail est ici exactement aussi vulnérable que le TOTP ou le SMS-OTP.
La compromission préalable de la boîte. C'est la mécanique spécifique à ce facteur. Si l'attaquant tient déjà la messagerie — par un phishing antérieur, une réutilisation de mot de passe, ou un accès via un service tiers — alors l'OTP par e-mail ne constitue plus aucun obstacle. Il devient un service rendu à l'attaquant : le système lui envoie, à la demande, les codes dont il a besoin pour tous les services rattachés à cette adresse.
L'effet domino d'une boîte compromise
Cette seconde mécanique produit une escalade silencieuse. L'attaquant qui contrôle une messagerie n'attaque pas les autres services : il déclenche leurs parcours de récupération. Chaque service qui envoie un code ou un lien à cette adresse lui ouvre sa porte.
Trois gestes de persistance accompagnent presque toujours ce scénario, et méritent une surveillance dédiée : la création d'une règle de transfert ou de classement pour masquer les notifications, l'ajout d'une adresse de récupération contrôlée par l'attaquant, et l'autorisation d'une application tierce qui survivra au changement de mot de passe.
Conséquence pratique : après une compromission de messagerie, réinitialiser le mot de passe ne referme rien. Il faut auditer les règles, les adresses de récupération, les applications autorisées et révoquer les sessions.
Où l'OTP par e-mail garde un usage
Le condamner sans nuance serait inexact. Il conserve une utilité dans deux cas précis.
La vérification d'une adresse, au moment d'une inscription : il prouve que l'adresse existe et que son titulaire y accède. C'est son usage légitime.
Un facteur d'appoint sur des actions à faible impact, lorsque l'alternative réaliste est l'absence totale de second facteur. Mieux vaut un obstacle imparfait que rien, à condition de ne pas le présenter comme une authentification forte.
En revanche, sur les parcours à effet financier, sur les accès à privilèges et sur les parcours de récupération de comptes sensibles, il ne fournit pas le niveau attendu.
Les alternatives, par ordre d'effet
Passer à une méthode liée à l'origine. FIDO2/WebAuthn calcule la réponse pour un domaine précis : un proxy inverse ne peut pas la rejouer. C'est la seule contre-mesure qui agit sur le relais lui-même.
Sécuriser la boîte en priorité. Tant que la messagerie sert de parcours de récupération à l'ensemble du système d'information, elle doit être le compte le mieux protégé de l'organisation — pas l'inverse.
Découpler la récupération de la messagerie. Un parcours de secours qui dépend de l'e-mail reproduit exactement le problème que l'on cherche à résoudre.
Porter la preuve sur l'action. Le facteur cognitif remplace le secret transmis par un défi résolu au moment de l'opération, dans un canal éphémère ouvert par QR code dynamique à usage unique. Rien ne transite qui puisse être relayé, lu dans une boîte ou transféré par une règle automatique — la méthode de résolution est personnelle et n'a jamais circulé.
FAQ
L'OTP par e-mail est-il conforme à la DSP2 ?
Il se défend mal, car la directive exige deux facteurs de catégories distinctes. Un code envoyé vers une boîte protégée par un mot de passe n'apporte pas une catégorie réellement différente.
Un code valable quelques minutes est-il plus sûr qu'un code valable une heure ?
Marginalement. Contre un relais automatisé, la durée est sans effet : quelques secondes suffisent. La durée courte réduit seulement le risque d'un code oublié dans une boîte consultée plus tard.
Faut-il supprimer l'OTP par e-mail partout ?
Sur les parcours sensibles et les parcours de récupération, oui. Il peut subsister pour vérifier une adresse ou comme obstacle minimal là où l'alternative réaliste serait l'absence de second facteur.
Comment sait-on qu'une boîte a servi à ce type d'attaque ?
Les marqueurs les plus fiables sont la présence de règles de transfert ou de classement inconnues, une adresse de récupération non reconnue, des applications tierces autorisées, et des demandes de réinitialisation sur des services que l'utilisateur n'a pas sollicités.
Aller plus loin : authentification cognitive · MFA résistante au phishing · OTP par e-mail et récupération de compte · l'approche IDless contre le spear phishing