La MFA fatigue, ou push bombing, consiste à submerger un utilisateur de demandes d'approbation jusqu'à ce qu'il en valide une. L'attaque ne casse aucun chiffrement et n'exploite aucune vulnérabilité logicielle : elle suppose seulement que l'attaquant détienne déjà un identifiant valide et que le second facteur se résume à un bouton. La compromission d'Uber en 2022 en constitue le cas public documenté de référence.
Le prérequis que l'on oublie de commenter
Une campagne de push bombing commence toujours après la compromission du premier facteur. C'est un point structurant pour l'analyse de risque : l'attaque n'est pas un mode d'entrée, c'est un mode de franchissement. Les identifiants proviennent d'une fuite exploitée en credential stuffing, d'une campagne de phishing antérieure, d'un logiciel dérobeur d'informations installé sur un poste personnel, ou d'un achat sur un marché spécialisé.
Le constat général du Verizon DBIR reste ici la meilleure grille de lecture : les identifiants volés, réutilisés ou partagés figurent parmi les tout premiers vecteurs d'intrusion. Le push bombing n'est que la manière la plus économique de transformer un identifiant en session.
Anatomie de l'attaque et de ses variantes
Le déroulé de base tient en quatre temps : l'attaquant s'authentifie en boucle avec les identifiants volés, chaque tentative déclenche une notification, la victime refuse, puis finit par accepter. Ce qui distingue les campagnes efficaces, ce sont les variantes qui rendent l'acceptation rationnelle du point de vue de la victime.
- La rafale de nuit. Les demandes sont concentrées entre deux et cinq heures du matin. La victime approuve pour faire cesser les notifications et se rendormir, quitte à signaler le lendemain — trop tard.
- La goutte à goutte. Une ou deux demandes par heure pendant plusieurs jours. Le volume ne déclenche aucun seuil de détection, et la victime finit par attribuer les sollicitations à un dysfonctionnement de synchronisation.
- Le renfort vocal. Un appel se présentant comme le support informatique explique l'incident en cours et demande de valider. C'est la variante la plus efficace, parce qu'elle fournit à la victime une explication cohérente. Le consentement obtenu est sincère.
- Le détournement de l'enrôlement. Plutôt que de viser une approbation de connexion, l'attaquant pousse la victime à valider l'ajout d'un nouveau facteur — le sien. L'accès devient alors persistant, indépendamment du mot de passe.
Dans les quatre cas, le butin est identique : une session. C'est pourquoi une réinitialisation de mot de passe après coup ne suffit pas ; il faut révoquer les jetons et vérifier les facteurs enrôlés.
Pourquoi la friction n'est pas une défense
L'erreur d'analyse la plus fréquente consiste à croire qu'ajouter une confirmation renforce la sécurité. En réalité, plus une action de validation est fréquente, moins elle est examinée. Le push bombing exploite précisément ce mécanisme : il ne cherche pas à tromper l'utilisateur sur un contenu, il cherche à obtenir un geste que l'utilisateur produit déjà des dizaines de fois par semaine.
Une approbation binaire ne transporte d'ailleurs aucune information. Elle atteste que quelqu'un a appuyé sur un bouton, pas qu'une personne déterminée a voulu une action déterminée.
| Contre-mesure | Ce qu'elle bloque | Ce qu'elle ne bloque pas | Effort de mise en œuvre |
|---|---|---|---|
| Limitation du débit de notifications | La rafale massive | La goutte à goutte | Faible |
| Correspondance de numéro | L'approbation purement réflexe | Le scénario avec appel du faux support | Faible |
| Affichage du contexte (application, lieu) | Les demandes manifestement anormales | Une demande géographiquement plausible | Faible |
| Blocage du compte après N refus | La poursuite de la campagne | La compromission initiale de l'identifiant | Moyen |
| Suppression du push pour les comptes à privilèges | L'attaque sur la population la plus visée | Les autres populations | Moyen |
| Facteur lié à l'origine (FIDO2/WebAuthn) | Le relais et l'approbation à distance | Le vol de session après authentification | Moyen à élevé |
| Validation d'intention par opération | L'usage d'une session volée | La compromission du poste lui-même | Moyen |
Détecter avant l'approbation fatale
Les signaux utiles existent presque toujours dans les journaux, mais ils sont rarement collectés parce qu'ils concernent des échecs.
Trois règles simples couvrent l'essentiel. Une série de refus sur un même compte en peu de temps indique que l'identifiant est déjà compromis, indépendamment de l'issue. Une authentification réussie précédée de refus doit être traitée comme suspecte par défaut. Enfin, l'ajout d'un facteur dans les minutes qui suivent une connexion constitue le marqueur le plus fiable d'une prise de contrôle en cours.
Ces règles ont un intérêt supplémentaire : elles sont peu bruyantes, ce qui les rend exploitables même sans équipe de détection dédiée.
Ce qui supprime la cause plutôt que le symptôme
Les contre-mesures listées plus haut réduisent la surface, mais elles laissent intacte la logique de l'attaque : demander à un humain d'approuver quelque chose qu'il n'a pas initié. Deux orientations changent réellement la donne.
La première consiste à lier la réponse à l'origine, comme le fait FIDO2/WebAuthn : la réponse cryptographique n'est valide que pour un domaine précis, ce qui rend l'approbation à distance inopérante. La seconde consiste à exiger une preuve d'intention : au lieu de valider une sollicitation, l'utilisateur résout un challenge qui atteste une intention humaine consciente.
C'est l'angle du facteur cognitif, quatrième facteur du type « je sais faire » : rien de réutilisable ne circule, et surtout, aucun automatisme ne peut se substituer au raisonnement. Une rafale de notifications n'obtient rien d'un utilisateur à qui l'on demande de résoudre quelque chose plutôt que d'accepter quelque chose.
FAQ
Faut-il supprimer complètement la notification push ?
Pas nécessairement sur les usages à faible enjeu, où elle reste supérieure au mot de passe seul. Elle devient en revanche inadaptée dès qu'un compte donne accès à des données sensibles, à des privilèges d'administration ou à des opérations financières.
La correspondance de numéro suffit-elle ?
Elle supprime l'approbation aveugle et constitue à ce titre une mesure indispensable. Elle ne résiste pas au scénario où un attaquant, au téléphone, obtient que la victime lui communique ou saisisse le nombre affiché. C'est une amélioration, pas une réponse structurelle.
Comment réagir quand un utilisateur signale une rafale ?
Considérer immédiatement le mot de passe comme compromis, réinitialiser les identifiants, révoquer les sessions actives, puis vérifier la liste des facteurs enrôlés. Le signalement est une bonne nouvelle : il signifie que l'attaque a échoué à son stade décisif.
Les passkeys mettent-elles fin à la MFA fatigue ?
Elles suppriment le geste d'approbation détachable et résistent au relais grâce à la liaison à l'origine. Deux angles morts subsistent : les parcours de récupération de compte, qui retombent souvent sur un courriel ou un SMS, et le vol de session après authentification.
Aller plus loin : le 4e facteur cognitif · MFA résistante au phishing · la notification push face à la MFA fatigue · répondre à la MFA fatigue par un facteur cognitif