Le SMS-OTP a une particularité que n'ont pas les autres facteurs : il est à la fois un moyen de défense contre le phishing et l'un des canaux d'attaque les plus utilisés pour le pratiquer. Il bloque efficacement la réutilisation différée d'un mot de passe volé. Il ne protège en rien lorsque la victime recopie le code sur une page frauduleuse, et il habitue les utilisateurs à recevoir des liens par SMS.
Ce qu'il bloque réellement
Le phishing de masse fonctionne en différé : une page copiée collecte des identifiants, exploités plus tard, en lot. Dans ce mode opératoire, le SMS-OTP est une barrière efficace. L'attaquant possède le mot de passe, pas le téléphone. Sa tentative échoue et, si l'organisation exploite ses journaux, elle génère un signal exploitable : un code demandé pour un compte dont l'utilisateur ne tentait rien.
C'est la raison pour laquelle le SMS-OTP a été massivement déployé, et il serait faux de prétendre qu'il n'a rien apporté. Le problème est qu'il a été conçu pour un paysage d'attaque qui a changé.
Où il cède : la victime devient le canal de transmission
Trois situations se rencontrent régulièrement.
La page qui demande le code. La page frauduleuse affiche, après la saisie du mot de passe, un champ « saisissez le code reçu par SMS ». Selon le degré de sophistication, l'attaquant relaie ce code en direct vers le service légitime — c'est le scénario du proxy inverse — ou il l'utilise manuellement dans la minute. Dans les deux cas, la victime a transporté le secret elle-même.
Le code lisible sans déverrouiller le téléphone. Par conception, un SMS s'affiche en notification sur un écran verrouillé. Quiconque a un accès visuel ou physique momentané au téléphone dispose du facteur, ce qui déplace le problème vers la sécurité du terminal.
Le smishing. L'hameçonnage par SMS bénéficie d'un contexte favorable : messages courts, absence d'en-têtes vérifiables par l'utilisateur, liens raccourcis considérés comme normaux, et surtout habitude créée par les services légitimes eux-mêmes, qui envoient des codes et des liens par ce canal. Les usurpations de nom d'expéditeur y sont fréquentes, et une conversation frauduleuse peut s'insérer dans un fil de messages authentiques.
| Scénario de phishing | Le SMS-OTP protège-t-il ? | Raison |
|---|---|---|
| Collecte différée d'identifiants | Oui | Le mot de passe seul ne suffit plus |
| Page frauduleuse demandant le code | Non | La victime transmet le secret |
| Relais en temps réel par proxy inverse | Non | Le code est rejoué immédiatement |
| Smishing avec lien vers page relais | Non | Le SMS sert de vecteur d'entrée |
| Consultation du code sur écran verrouillé | Non | Le facteur est lisible sans authentification |
| Compromission de la boîte mail seule | Oui | Le canal reste distinct |
Le point que la sensibilisation ne peut pas corriger
La consigne classique — « ne communiquez jamais votre code » — suppose que l'utilisateur puisse distinguer un site légitime d'une page relais. Cette distinction repose sur l'examen d'un nom de domaine, sur un écran mobile, souvent en situation de mobilité. C'est une demande déraisonnable.
La conclusion est structurelle : tant que l'authentification repose sur une valeur que l'utilisateur peut recopier, elle reste hameçonnable. Aucune formation ne supprime cette propriété.
C'est précisément ce que traite la liaison à l'origine de FIDO2/WebAuthn : la réponse produite ne vaut que pour le domaine légitime. Et c'est aussi ce que vise le facteur cognitif, qui ne transmet aucun secret réutilisable et demande une résolution active plutôt qu'une saisie.
Mesures applicables dès maintenant
- Retirer le SMS-OTP des parcours de récupération de compte. C'est la faiblesse la plus exploitée, et souvent la dernière traitée. Le NIST SP 800-63B classe l'OTP par SMS et voix comme « restricted » : le maintenir sur une porte de service est difficile à justifier.
- Ajouter un contexte explicite dans le message. Mentionner l'action en cours, et pas seulement le code, permet à l'utilisateur de constater un décalage. Utile contre le phishing ciblé, sans effet contre le relais en temps réel.
- Rappeler la règle dans le message lui-même. Une mention courte, systématique, dans le corps du SMS, atteint l'utilisateur au moment exact du risque.
- Masquer les codes en notification lorsque la plateforme le permet, pour traiter la lecture sur écran verrouillé.
- Basculer les populations exposées — administrateurs, finance, direction — vers une méthode non transmissible, et conserver éventuellement le SMS en repli sur les usages à faible enjeu.
- Instrumenter la détection : demandes de code non suivies de connexion, séries de demandes sur des comptes différents depuis une même origine, authentifications réussies suivies d'un changement de numéro déclaré.
FAQ
Le SMS-OTP est-il pire que pas de second facteur du tout ?
Non. Il reste largement supérieur au mot de passe seul contre les attaques automatisées. Le problème est qu'il crée un sentiment de protection contre le phishing qu'il n'apporte pas.
Une application d'authentification règle-t-elle le problème ?
Elle supprime la dépendance à l'opérateur téléphonique et le risque de détournement de ligne, mais elle produit toujours un code recopiable. Face à une page frauduleuse, le résultat est identique.
Comment traiter les utilisateurs sans smartphone ?
En prévoyant une méthode qui ne dépend pas d'un terminal personnel, avec un enrôlement conduit hors ligne. L'absence d'alternative est la principale cause du maintien du SMS-OTP dans les parcours sensibles.
Faut-il alerter les clients sur le smishing ?
Oui, et de manière opérationnelle : indiquez publiquement les canaux que vous n'utiliserez jamais et les demandes que vous ne ferez jamais. Une consigne négative précise est plus efficace qu'un appel général à la vigilance.
Aller plus loin : authentification cognitive : le pilier · MFA résistante au phishing · TOTP ou SMS-OTP ? · SMS-OTP et validation de virement