Pourquoi le MFA par SMS est devenu une illusion de sécurité
Lorsqu'il a été déployé pour remplacer les mots de passe uniques, le SMS constituait un progrès notable. Mais les cybercriminels n'attaquent plus les serveurs centraux : ils interceptent les flux non chiffrés et exploitent la vulnérabilité des opérateurs télécoms.
Le fléau du SIM Swapping et l'ingénierie sociale
Le SIM swapping consiste, pour un attaquant, à usurper l'identité d'un collaborateur auprès de son opérateur mobile pour transférer sa ligne vers une carte SIM pirate. L'attaquant intercepte alors directement tous les codes d'authentification SMS. Cette technique ne requiert aucune compétence technique pointue et vise en priorité les dirigeants, directeurs financiers et administrateurs cloud.
Les attaques AiTM (Adversary-in-the-Middle) et les proxys inverses
Avec des outils comme Evilginx, les pirates déploient de faux portails de connexion Microsoft 365 par proxy inverse. Lorsque la victime saisit son identifiant et son code SMS, le proxy transmet instantanément ces données au véritable serveur Microsoft. La session est validée et le pirate subtilise le jeton d'authentification OAuth (Session Token). Le second facteur SMS est contourné sans la moindre alerte de sécurité.
Le constat officiel des agences de sécurité
- Plus de 80 % des compromissions de comptes M365 avec MFA exploitent des facteurs sensibles au rejeu (SMS ou appel vocal).
- Le SMS transite en clair sur les réseaux télécoms via le protocole SS7, sans chiffrement de bout en bout.
- Les directives NIS2 et DORA imposent désormais l'usage de méthodes d'authentification résistantes au phishing.
Les alternatives modernes : Microsoft Authenticator et clés FIDO2
Pour éliminer ces vulnérabilités, Microsoft Entra ID propose des mécanismes robustes et indépendants des réseaux mobiles.
Microsoft Authenticator avec correspondance des nombres (Number Matching)
L'application Microsoft Authenticator constitue le standard de référence pour les PME. Grâce à la correspondance des nombres (Number Matching), l'utilisateur visualise un nombre à deux chiffres sur son ordinateur et doit le saisir dans son application mobile. Cela bloque radicalement la « fatigue MFA » (bombardement de notifications) et empêche toute approbation accidentelle. L'application précise également le contexte de connexion et la localisation géographique.
Clés de sécurité physiques FIDO2 et Passkeys WebAuthn
Pour les comptes administrateurs et membres du comité de direction, les clés matérielles FIDO2 (YubiKey) offrent le niveau de sécurité ultime. Basées sur le standard WebAuthn, ces clés lient cryptographiquement l'authentification au nom de domaine officiel (login.microsoftonline.com). Face à un site d'hameçonnage AiTM, la clé refuse de transmettre les informations secrètes, rendant le phishing matériellement impossible.
Tableau comparatif des méthodes MFA en entreprise
Voici l'évaluation comparative pour guider les arbitrages de sécurité de votre PME :
| Méthode | Résistance phishing | Expérience utilisateur | Coût matériel | Recommandation 2026 |
|---|---|---|---|---|
| SMS / Appel vocal | Nulle (Vulnérable SIM swap et AiTM) | Faible friction apparente | 0 € (inclus) | À proscrire d'urgence |
| Application TOTP tierce | Faible (Recopiable sur faux site) | Moyenne (saisie de 6 chiffres) | 0 € (app gratuite) | Solution de secours tolérée |
| Microsoft Authenticator | Très élevée (Number Matching) | Excellente (validation en 2 secondes) | 0 € (licence M365) | Recommandé pour 90% des PME |
| Clés FIDO2 & Passkeys | Absolue (Cryptographiquement étanche) | Instantanée (contact NFC/USB) | 40 € à 65 € / clé | Indispensable Admins & VIP |
Méthodologie de déploiement progressif dans Microsoft Entra ID
Supprimer brutalement le SMS risque d'engendrer un afflux de tickets au support. Une transition fluide s'organise en quatre phases.
1. Cartographier les méthodes d'authentification actives
Dans le centre d'administration Entra ID (Protection > Méthodes d'authentification > Surveillance > Activité d'enregistrement), exportez l'inventaire des méthodes configurées pour identifier la part des salariés dépendant encore du SMS.
2. Activer la campagne d'inscription Microsoft Authenticator
Activez la fonctionnalité native « Registration Campaign » d'Entra ID. Dès leur connexion par SMS, les utilisateurs sont invités à installer l'application Authenticator sans interrompre leur travail. Un délai de report (snooze) de 7 à 14 jours garantit une adoption sereine.
3. Imposer Authenticator via l'Accès conditionnel
Lorsque 90 % du parc est enrôlé, créez une règle d'accès conditionnel exigeant une « force d'authentification » multifacteur approuvée. Excluez un compte de secours d'urgence (Break-glass) protégé par clé FIDO2 pour éviter tout verrouillage accidentel de l'administration.
4. Équiper les profils sensibles en clés FIDO2
Distribuez des clés FIDO2 physiques aux équipes techniques, comptables et dirigeantes, clôturant ainsi définitivement les risques d'usurpation de compte sur les périmètres critiques.
Foire aux questions : Sécurité MFA et Microsoft 365 en PME
Vous souhaitez durcir la sécurité de votre tenant Microsoft 365 et éradiquer le MFA par SMS sans bloquer vos collaborateurs ?
Driss ZUFRI vous accompagne dans l'audit de vos méthodes d'authentification Entra ID, la configuration des politiques d'accès conditionnel et le déploiement fluide de Microsoft Authenticator auprès de vos équipes.
Registre des sources consultées et vérifiées (Source Ledger)
Audit 2026Conformément aux exigences de rigueur méthodologique de DZSIEC, l'ensemble des données chiffrées, protocoles cloud et recommandations cités dans cet article est issu de documentations officielles et de retours terrain vérifiés :
- Microsoft Entra Docs : https://learn.microsoft.com/fr-fr/entra/identity/authentication/concept-authentication-methods (Politique et migration des méthodes d'authentification)
- ANSSI : https://cyber.gouv.fr/publications/recommandations-relatives-lauthentification-multifacteur (Guide de sécurisation de l'authentification multifacteur)
- CISA : https://www.cisa.gov/resources-tools/resources/implementing-phishing-resistant-mfa (Implementing Phishing-Resistant MFA Fact Sheet)
- NIST : https://pages.nist.gov/800-63-3/sp800-63b.html (Digital Identity Guidelines - Authentication Lifecycle)