La MFA fatigue, ou push bombing, ne casse aucun mécanisme cryptographique. Elle exploite un comportement : à force de recevoir des notifications d'approbation, un utilisateur finit par en valider une, par lassitude ou par confusion. Le facteur cognitif neutralise ce vecteur pour une raison structurelle : il n'existe aucun bouton à presser. Une réponse ne peut pas être donnée par réflexe, puisqu'elle exige de résoudre un défi.
Le mécanisme précis de la MFA fatigue
L'attaquant dispose déjà d'identifiants valides — obtenus par fuite, par rejeu ou par hameçonnage. Il ne lui manque que l'approbation du second facteur. Il déclenche donc des tentatives de connexion en série, parfois des dizaines, souvent la nuit.
Trois ressorts psychologiques opèrent, et il est utile de les distinguer car ils appellent des réponses différentes.
L'usure. La répétition rend le refus coûteux et l'approbation reposante. C'est le mécanisme le plus documenté, illustré par la compromission d'Uber en 2022.
La confusion. L'utilisateur ne comprend pas l'origine des demandes et suppose un dysfonctionnement technique. Il approuve « pour que ça s'arrête », en pensant régler un incident.
L'assistance simulée. L'attaquant appelle en se présentant comme le support informatique et explique que la validation est nécessaire pour corriger le problème qu'il vient lui-même de créer. C'est la variante la plus efficace, car elle transforme la victime en collaboratrice.
Pourquoi la friction n'est pas la sécurité
La réponse instinctive consiste à ajouter des contrôles. Elle échoue, et pour une raison qui mérite d'être formulée : multiplier les sollicitations crée un automatisme, et l'automatisme est exactement ce que l'attaquant exploite.
Un utilisateur sollicité vingt fois par jour ne lit plus. Il presse. Le dispositif qui devait protéger est devenu un réflexe, c'est-à-dire une vulnérabilité.
Le facteur cognitif procède à l'inverse. La réponse attendue n'est pas un accord mais une résolution : l'utilisateur doit appliquer sa méthode personnelle, acquise lors d'un enrôlement hors ligne, à un défi propre à la sollicitation. On ne peut pas résoudre un défi distraitement. Une sollicitation non déclenchée par l'utilisateur ne peut donc pas être « acceptée par erreur » — au pire elle est ignorée, ce qui est le comportement souhaité.
| Contre-mesure | Effet sur la MFA fatigue | Limite |
|---|---|---|
| Limiter le nombre de demandes | Réduit le volume | N'empêche pas l'approbation de la première |
| Correspondance de numéro | Oblige à lire un chiffre | Le chiffre peut être dicté au téléphone |
| Affichage du contexte | Donne une information utile | Ignoré si l'utilisateur est convaincu |
| Blocage après plusieurs refus | Signale l'anomalie | Peut créer un déni de service |
| Suppression du push | Supprime le vecteur | Reporte le besoin sur un autre facteur |
| Résolution d'un défi | Supprime le réflexe | Ne protège pas d'un utilisateur convaincu |
La limite honnête : l'utilisateur convaincu
La dernière ligne du tableau doit être assumée. Si un attaquant convainc un utilisateur qu'il doit valider une demande — en se faisant passer pour le support, avec une voix crédible et un contexte plausible — celui-ci résoudra le défi. Il le fera correctement, parce qu'il veut aider.
Le facteur cognitif ne supprime pas ce scénario. Il en modifie toutefois deux paramètres.
D'abord, il élimine l'attaque de masse. Le push bombing fonctionne parce qu'il coûte presque rien : des dizaines de tentatives, une seule doit aboutir. Une méthode qui exige une résolution active supprime cette économie. L'attaquant doit passer par une interaction personnalisée, beaucoup plus coûteuse et beaucoup plus détectable.
Ensuite, il rend l'incident lisible. Une résolution est un événement daté, associé à une action précise. Une série de défis non résolus constitue un signal exploitable, là où une série de notifications ignorées ne remonte souvent nulle part.
Ce qu'il faut mettre autour
Trois mesures complètent utilement le facteur.
Une consigne claire et rappelée. Aucun membre du support ne demandera jamais de valider une demande d'authentification pendant un appel. Cette règle traite la variante de l'assistance simulée, qui est la seule que le facteur ne neutralise pas seul.
Une alerte sur les demandes non abouties. Une accumulation de sollicitations non résolues sur un compte signale que l'attaquant possède déjà des identifiants valides. C'est une information à traiter immédiatement, pas un simple bruit.
Une charge de sollicitation maîtrisée. Un facteur exigeant un raisonnement doit être réservé aux gestes qui le justifient. Le déploiement en overlay d'une MFA existante permet précisément cette sélectivité : conserver un parcours fluide pour l'ordinaire, exiger une preuve sur les opérations à fort impact. Le facteur cognitif s'inscrit dans cette logique de continuum, où l'exigence suit le risque plutôt que de s'appliquer uniformément.
FAQ
La correspondance de numéro ne suffit-elle pas ?
Elle améliore nettement la notification push en obligeant à lire une valeur. Elle reste toutefois extorquable au téléphone, puisque le chiffre affiché peut être dicté à un faux support. Le problème de fond — une valeur transmissible — subsiste.
Le facteur cognitif ne fatigue-t-il pas davantage l'utilisateur ?
Il demande plus d'attention par sollicitation, donc il doit être moins fréquent. Réserver l'exigence aux gestes sensibles produit une charge globale plus faible qu'une MFA déclenchée en permanence, et une attention réellement présente au moment utile.
Que faire si un utilisateur reçoit des sollicitations non déclenchées ?
Considérer que ses identifiants sont compromis, révoquer ses sessions, auditer les facteurs enrôlés et les règles de messagerie. La sollicitation parasite n'est pas la nuisance : elle est le symptôme.
Faut-il supprimer complètement la notification push ?
Pas nécessairement, mais il ne faut plus s'en servir seule pour valider une opération sensible. Elle peut rester un moyen d'information ou un facteur d'appoint sur des usages à faible impact.
Aller plus loin : le pilier authentification cognitive · MFA fatigue et push bombing · le 4ᵉ facteur contre la MFA fatigue · la notification push en authentification