Contre le phishing classique — une page qui collecte un identifiant et un mot de passe pour les rejouer plus tard — la notification push est une protection efficace. L'attaquant repart avec un secret devenu insuffisant. Ses angles morts sont ailleurs : dans l'enrôlement d'un nouveau dispositif, dans les parcours de récupération de compte, et dans tout scénario où un humain peut être convaincu d'appuyer sur « Approuver ».
Le scénario où le push gagne
La collecte différée reste le mode de phishing le plus répandu, parce qu'il est industrialisable : une page copiée, une campagne massive, un fichier d'identifiants exploité ensuite, parfois des semaines plus tard.
Ce décalage est la faiblesse de l'attaquant. Quand il rejoue les identifiants, il doit obtenir une approbation sur un téléphone qu'il ne détient pas, à un moment où la victime ne s'attend à rien. Le refus est alors probable, et l'événement devient un signal de compromission exploitable.
C'est un progrès réel sur le mot de passe seul, et la raison pour laquelle le push a été déployé massivement.
Les trois brèches qui subsistent
L'enrôlement d'un facteur par l'attaquant. Avec des identifiants valides et un compte qui n'a pas encore de second facteur, l'attaquant enrôle son propre téléphone. Il ne contourne rien : il devient le détenteur légitime du facteur. Les comptes dormants, les nouveaux arrivants et les prestataires temporaires sont les cibles naturelles de ce scénario.
La récupération de compte. Le parcours « j'ai perdu mon téléphone » est presque toujours plus faible que le parcours nominal : question de sécurité, code envoyé par courriel ou par SMS, appel au support. Un attaquant sérieux ne s'attaque pas au facteur fort, il emprunte la porte de service.
La manipulation directe. Une fois les identifiants obtenus, un appel ou un message se présentant comme le support suffit souvent : « une notification va arriver, merci de valider pour finaliser la mise à jour ». La victime approuve en pensant coopérer.
| Étape du cycle de vie | Le push protège-t-il ? | Point de rupture |
|---|---|---|
| Collecte d'identifiants sur page copiée | Oui | Aucun, l'attaquant est bloqué |
| Réutilisation d'un mot de passe fuité | Oui | Aucun, hors manipulation |
| Enrôlement initial du facteur | Non | Aucune preuve que l'enrôlé est le titulaire |
| Perte de dispositif / récupération | Non | Retour à un canal faible |
| Phishing vocal après vol du mot de passe | Non | L'humain valide sciemment |
| Phishing en temps réel par proxy inverse | Non | La session émise est capturée |
Le maillon faible est le cycle de vie, pas le facteur
Beaucoup d'organisations investissent dans la robustesse du facteur quotidien et laissent intacts l'enrôlement et la récupération. C'est l'inverse de la logique d'un attaquant, qui cherche le chemin le moins coûteux.
Trois mesures traitent ce déséquilibre.
- Enrôler dans un contexte vérifié. L'enrôlement doit se faire lors d'un moment où l'identité est établie autrement : arrivée physique, remise de matériel, présence d'un responsable hiérarchique. Un enrôlement à distance déclenché par un simple mot de passe reproduit la faiblesse qu'on cherche à corriger. Un enrôlement conduit hors ligne, qui dote l'utilisateur d'une méthode de résolution personnelle, supprime la dépendance à un canal de transport.
- Traiter la récupération comme un accès sensible. Même niveau de preuve que le parcours nominal, jamais un code par SMS envoyé au numéro déclaré par le demandeur. Les procédures d'exception doivent être tracées et revues.
- Interdire l'approbation comme réponse à une sollicitation externe. La consigne doit être univoque et connue : aucune équipe interne ne demandera jamais d'approuver une notification.
Renforcer le push sans changer tout le socle
Sur un parc déjà équipé, quatre réglages se déploient rapidement :
- Correspondance de numéro activée partout, pour supprimer l'approbation aveugle.
- Contexte affiché dans la notification : application, localisation approximative, appareil.
- Alerte sur enregistrement d'un nouveau facteur, envoyée par un canal distinct de celui du facteur enrôlé.
- Réauthentification exigée avant toute modification des paramètres de sécurité du compte.
Ces réglages traitent le symptôme. La question de fond reste celle du geste demandé : une approbation est un consentement pauvre, qui ne dit rien de ce qui est réellement autorisé. Une preuve d'intention humaine consciente, associée à l'action et non à la session, déplace le problème — c'est l'approche du 4ᵉ facteur cognitif, sans secret réutilisable ni sollicitation déclenchable à distance.
FAQ
Le push est-il suffisant pour une population non exposée ?
Pour un usage bureautique standard, associé à la correspondance de numéro et à un contexte affiché, il constitue une base acceptable. Il devient insuffisant dès qu'il protège des accès d'administration, des données réglementées ou des opérations financières.
Comment sécuriser le premier enrôlement à distance ?
En s'appuyant sur un élément non transmissible par courriel : remise en main propre d'un élément d'activation, validation par un responsable identifié, ou processus d'enrôlement hors ligne. Le courriel et le SMS ne sont pas des preuves d'identité.
Que faire si un utilisateur a approuvé par erreur ?
Révoquer les sessions actives du compte, vérifier la liste des facteurs enrôlés, contrôler les règles de messagerie et les délégations créées, puis seulement changer le mot de passe. L'ordre compte : la session est le butin, pas le secret.
Combien de temps garder le push comme facteur principal ?
Le temps de basculer les populations sensibles vers une méthode non rejouable. Le push peut ensuite rester pour des usages à faible enjeu, à condition de ne jamais servir de voie de secours aux comptes à privilèges.
Aller plus loin : authentification cognitive : le pilier · MFA résistante au phishing · le push en usage de connexion · le 4ᵉ facteur contre le phishing