Le facteur cognitif résiste au phishing pour une raison simple : il n'y a rien à donner. L'utilisateur ne détient aucun secret transmissible — pas de mot de passe, pas de code, pas de valeur qu'il pourrait saisir sur une page hostile. Il détient une méthode de résolution personnelle, acquise lors d'un enrôlement hors ligne, qui produit une réponse différente à chaque sollicitation. Ce que le facteur ne couvre pas mérite d'être dit aussi nettement : il n'assainit ni le poste de travail, ni les parcours de secours mal conçus.
Ce que le phishing cherche, et pourquoi il ne le trouve pas ici
Une campagne de hameçonnage poursuit toujours l'un de ces trois objectifs.
Obtenir un secret statique. Mot de passe, réponse à une question de sécurité, code de secours. Le facteur cognitif n'en produit aucun : ce que l'utilisateur sait est une manière de faire, pas une valeur. Rien à taper sur une page, rien à noter, rien à retrouver dans une fuite.
Obtenir un secret temporaire. Code reçu par SMS, code temporaire d'application, lien de connexion. Ces valeurs se relaient. Ici, la réponse dépend d'un défi propre à la sollicitation en cours, résolu dans un canal éphémère ouvert par QR code dynamique à usage unique : elle ne vaut que pour cette sollicitation.
Obtenir une approbation réflexe. Une notification à valider. Le facteur cognitif ne propose pas de bouton d'approbation : il exige une résolution, donc un raisonnement. Il n'existe pas de geste automatique à provoquer.
Le cas du proxy inverse
La forme moderne du phishing relaie l'échange en direct. Un attaquant se place entre l'utilisateur et le service, transmet chaque donnée, et récupère l'état d'authentification.
Le polymorphisme fonctionnel et l'exécution mouvante (Moving Target Defense) modifient les paramètres de l'échange en continu. Ce qui est capté à un instant donné ne correspond plus à ce que le système attend à l'instant suivant. Un relais peut donc observer, mais il ne peut pas constituer un rejeu utilisable — c'est précisément la propriété qui manque au SMS-OTP, au TOTP et au push.
Il faut être précis sur ce que cela signifie. Le relais échoue à produire une réponse valide ; il n'échoue pas à exister. Un utilisateur peut toujours être conduit sur une page hostile. Ce qu'il ne peut plus faire, c'est fournir à cette page de quoi ouvrir son compte.
Ce que le facteur cognitif ne traite pas
| Vecteur | Couvert ? | Pourquoi | Mesure complémentaire |
|---|---|---|---|
| Vol de secret par page hostile | Oui | Aucun secret transmissible n'existe | — |
| Relais en temps réel de la réponse | Oui | Réponse liée au défi, exécution mouvante | — |
| Approbation réflexe provoquée | Oui | Pas de bouton, résolution exigée | — |
| Poste compromis par un logiciel malveillant | Non | La session légitime est détournée | Détection sur poste, sessions courtes |
| Parcours de secours mal conçu | Non | Un repli faible fixe le niveau réel | Aligner la récupération sur le facteur |
| Utilisateur qui exécute lui-même la fraude | Partiellement | Il résout un défi qu'il croit légitime | Délai, notification hors bande, séparation des pouvoirs |
| Compromission côté service | Non | Rien côté utilisateur ne l'empêche | Sécurité applicative, surveillance |
Les trois dernières lignes sont les seules qui comptent réellement dans une évaluation sérieuse. Elles ne sont pas propres au facteur cognitif : aucun facteur d'authentification ne les traite. Les prétendre résolues serait faux.
La ligne la plus importante : l'utilisateur convaincu
Un utilisateur manipulé par un appel ou par un message très ciblé peut décider d'effectuer une opération frauduleuse. Il résoudra alors le défi correctement, parce qu'il veut effectuer l'opération. Aucun contrôle d'authentification ne détecte cette situation, puisqu'il n'y a pas d'usurpation.
Le facteur cognitif apporte cependant deux éléments utiles ici.
D'abord, il ralentit. Une résolution demande un engagement mental que l'approbation d'une notification ne demande pas. Ce délai, même court, laisse à la victime une occasion de remarquer une incohérence — occasion qu'un bouton « Approuver » ne fournit jamais.
Ensuite, il porte sur l'action et non sur la session. La validation est associée à une opération précise, ce qui rend possibles les contrôles qui, eux, détectent la manipulation : montant atypique, bénéficiaire nouveau, séquence anormale. C'est l'articulation avec un score de risque contextuel qui traite ce scénario, pas le facteur seul.
Où le placer dans une architecture existante
Le facteur cognitif ne suppose pas de remplacer le dispositif en place. Il se déploie en overlay d'une MFA existante, ce qui permet de commencer par les gestes où le préjudice est concentré : validation d'un virement, changement de coordonnées bancaires, création d'un compte à privilèges, approbation d'une opération engageante.
Cette approche a un avantage pratique sur une bascule complète : elle produit un effet mesurable rapidement, sans dépendre d'un projet de refonte du socle d'identité — projet dont la durée dépasse généralement celle de la fenêtre de risque que l'on cherche à fermer.
FAQ
Le facteur cognitif remplace-t-il la sensibilisation ?
Il en réduit la charge : l'utilisateur n'a plus à reconnaître un faux site pour être protégé, puisqu'il n'a rien à y donner. La sensibilisation reste utile sur ce qu'aucun facteur ne couvre — la manipulation qui pousse à agir soi-même.
Que se passe-t-il si l'utilisateur oublie sa méthode de résolution ?
Le sujet se traite à l'enrôlement et dans le parcours de secours, qui doit être conçu au même niveau d'exigence que le facteur lui-même. Un repli faible annulerait le bénéfice, exactement comme pour une passkey.
Est-ce compatible avec une passkey déjà déployée ?
Oui, et les deux approches se complètent. La passkey sécurise l'ouverture de session grâce à la liaison à l'origine ; le facteur cognitif prouve l'intention au moment de l'action, ce que la passkey ne fait pas.
Comment mesurer le gain sur une population réelle ?
En observant les gestes sensibles plutôt que les connexions : nombre d'opérations validées après une sollicitation non déclenchée par l'utilisateur, délai de validation, taux d'abandon sur des demandes inhabituelles.
Aller plus loin : le pilier authentification cognitive · MFA résistante au phishing · le 4ᵉ facteur contre le phishing · QR dynamique contre le phishing