La MFA fatigue, ou push bombing, est l'attaque qui retourne la notification push contre elle-même : l'attaquant, qui possède déjà des identifiants valides, déclenche des dizaines de demandes d'approbation jusqu'à ce que la victime cède. Aucune faille technique n'est exploitée. La vulnérabilité est le réflexe d'approbation que le dispositif entretient au quotidien.
Pourquoi l'attaque fonctionne
Elle suppose une condition préalable : l'attaquant détient déjà le mot de passe. Fuite de base, réutilisation entre services, hameçonnage antérieur ou pulvérisation : cette condition est fréquemment remplie, les identifiants volés ou réutilisés figurant parmi les tout premiers vecteurs d'intrusion recensés par le Verizon DBIR.
À partir de là, trois ressorts se combinent.
L'usure. Vingt notifications en dix minutes, souvent la nuit. L'utilisateur cherche d'abord à faire cesser la gêne, pas à analyser une menace.
La confusion. Le message est identique à celui reçu chaque matin. Rien ne distingue la demande frauduleuse d'une demande légitime, sinon le fait que l'utilisateur ne l'a pas déclenchée — un détail difficile à tenir à trois heures du matin.
L'ingénierie sociale. L'attaquant complète le bombardement par un appel ou un message se présentant comme le support informatique : « nous corrigeons un incident, merci d'approuver la prochaine notification ». Le doute est levé, l'approbation devient un acte coopératif.
La compromission d'Uber en 2022 a rendu ce schéma public : identifiants valides d'un côté, demandes d'approbation répétées et contact direct avec la victime de l'autre. L'authentification multifacteur a fonctionné exactement comme spécifié — elle a demandé une approbation, et elle l'a obtenue.
Ce que le push protège, et ce qu'il laisse passer
| Situation | Résultat avec push simple | Commentaire |
|---|---|---|
| Mot de passe volé, aucune interaction utilisateur | Bloqué | Le facteur joue son rôle |
| Bourrage d'identifiants automatisé | Bloqué | Aucun humain pour approuver |
| Bombardement de notifications nocturnes | Souvent contourné | L'usure suffit |
| Bombardement + appel du « support » | Fréquemment contourné | Le doute est levé socialement |
| Utilisateur formé mais interrompu en réunion | Contournable | Le geste devient machinal |
Le tableau dit l'essentiel : le push protège contre les attaques sans humain, et échoue précisément quand l'attaquant en implique un.
Les contre-mesures qui changent quelque chose
La correspondance de numéro (number matching). Un nombre s'affiche sur l'écran de connexion, l'utilisateur doit le recopier dans l'application. Approuver au hasard devient impossible : sans accès à l'écran de l'attaquant, l'utilisateur n'a pas la valeur. C'est la mesure la plus efficace contre la MFA fatigue, et elle est généralement disponible sans changer de dispositif.
L'affichage du contexte. Application demandée, localisation approximative, système du client, horodatage. L'utilisateur ne répond plus à « approuvez-vous ? » mais à « approuvez-vous cette connexion-là ? ». La différence cognitive est réelle.
La limitation du nombre de demandes. Plafonner les demandes par compte et par période, avec verrouillage temporaire au-delà. Le bombardement devient impossible par construction.
Le signalement intégré. Un bouton « ce n'était pas moi » dans la notification, qui alerte l'équipe sécurité et verrouille le compte. Il transforme la victime en capteur.
Le suivi côté supervision. Une rafale de demandes refusées sur un même compte est un signal d'intrusion de haute qualité. Trop d'organisations disposent de ces journaux sans les exploiter.
Ces mesures réduisent fortement le risque. Elles ne le suppriment pas, parce qu'elles laissent intacte la question de fond : le facteur reste une approbation binaire, déclenchable par un tiers.
Sortir de la logique d'approbation
Une contre-mesure structurelle consiste à changer la nature du geste demandé. Trois orientations sont cohérentes.
Rendre l'approbation impossible sans initiative de l'utilisateur. Si l'authentification part du poste de l'utilisateur, un attaquant distant ne peut plus déclencher la sollicitation.
Exiger un raisonnement, pas un réflexe. Un challenge qui demande une résolution active casse l'automatisme, là où un bouton « Approuver » l'entretient. C'est la logique du 4ᵉ facteur cognitif : prouver une intention humaine consciente plutôt qu'accepter une sollicitation.
Déplacer la validation vers l'action. Une approbation de connexion protège une session ; une validation d'opération protège un virement, un changement d'IBAN ou une création de compte à privilèges. C'est ce niveau qui porte le préjudice réel.
Plan d'action en quatre points
- Activer immédiatement le number matching et le contexte affiché sur l'ensemble du parc.
- Plafonner les demandes d'approbation par compte et par fenêtre de temps, avec alerte au-delà.
- Créer une règle de détection sur les rafales de refus et les approbations tardives inhabituelles.
- Basculer les comptes à privilèges vers un facteur non déclenchable à distance, et ajouter une validation d'intention sur les opérations sensibles.
FAQ
Le number matching suffit-il ?
Il neutralise l'essentiel du bombardement, mais pas les attaques par proxy inverse, où le nombre légitime est affiché à la victime par la page relais. Il traite la MFA fatigue, pas le phishing en temps réel.
Faut-il désactiver les notifications push la nuit ?
Une restriction horaire peut réduire l'exposition sur certains périmètres, mais elle gêne les équipes d'astreinte. Le plafonnement du nombre de demandes donne le même bénéfice sans effet de bord opérationnel.
Comment détecter une attaque en cours ?
Le motif est caractéristique : nombreuses demandes rapprochées sur un compte unique, refus successifs, puis approbation tardive. Cette séquence doit générer une alerte prioritaire et un verrouillage de session, pas une simple ligne de journal.
La sensibilisation change-t-elle quelque chose ?
Elle aide si le message est concret : « vous ne devez jamais approuver une demande que vous n'avez pas déclenchée, et personne du support ne vous le demandera ». Une consigne générale sur la vigilance ne résiste pas à la fatigue nocturne.
Aller plus loin : le principe du facteur cognitif · le 4ᵉ facteur contre la MFA fatigue · MFA résistante au phishing · la notification push en pratique