L'authentification multifactorielle (AMF) est devenue un pilier de la cybersécurité et une exigence intégrée dans de nombreuses normes et réglementations.

L'AMF ajoute une couche de sécurité cruciale en réduisant l'exposition à diverses attaques par vol d'identité. Elle exige des utilisateurs qu'ils vérifient leurs informations d'identification de deux manières ou plus pour accéder à un environnement informatique. Elle est particulièrement vitale pour les organisations dont la main-d'œuvre est distante ou hybride. Cependant, il est important de ne pas trop se fier à cette seule mesure. L'AMF ne doit être qu'un élément d'une stratégie globale de cybersécurité.

Pourquoi la MFA n'est pas une solution miracle aux problèmes de cybersécurité ?

Avec l'adoption croissante du MFA, les attaquants abandonnent les méthodes traditionnelles de vol d'informations d'identification, telles que les attaques par force brute, le cassage de hachage ou les voleurs d'informations classiques, et se tournent plutôt vers l'exploitation des cookies de session.

Plusieurs techniques permettent aujourd'hui de contourner ce mécanisme, ce qui compromet la sécurité des systèmes. Ces attaques peuvent être regroupées en quatre catégories principales : le vol et la réutilisation de sessions, l'interception de l'authentification, la fatigue psychologique des utilisateurs et l'exploitation des comptes compromis.

Vol et réutilisation des sessions

Ces attaques visent à exploiter des cookies de session ou des jetons d'authentification déjà valides pour accéder à des comptes sans avoir à repasser par le MFA.

Ces attaques, connues sous le nom de "Pass-the-Cookie" (PTC), représentent un risque majeur pour les organisations qui utilisent le MFA sur des plateformes telles qu'Office 365, Azure et d'autres services en nuage. Dans une attaque typique, les pirates volent des cookies tels que ESTSAUTH de Microsoft, utilisé pour valider les sessions sur Office 365. L'attaquant utilise ensuite le compte de la même victime sur un autre navigateur, sans mot de passe ni MFA, en injectant un cookie ESTSAUTH volé. Les journaux Azure affichent des entrées similaires pour les deux connexions, avec seulement de légères différences dans les métadonnées du navigateur/système d'exploitation, ce qui rend ces attaques difficiles à détecter. Sans outils de détection avancés, ces intrusions passent souvent inaperçues.

Phase 1 - Vol de cookies de session
- La victime se connecte à Office 365 sous Windows/Chrome.
- Un logiciel malveillant (LummaC2, Redline, etc.) extrait le cookie de session (ESTSAUTH) du navigateur.
- L'attaquant récupère ce cookie à distance.

Phase 2 - Détournement de session
- L'attaquant ouvre Ubuntu/Firefox et accède à login.microsoftonline.com.
- Ils injectent le cookie volé dans le stockage du navigateur à l'aide d'outils de développement.

Phase 3 - Accès non autorisé au compte
- L'attaquant rafraîchit la page.
- Le serveur Office 365 valide la session puisque le cookie est toujours actif.
- Aucun mot de passe ou MFA n'est nécessaire.

📌 Pourquoi cette attaque est-elle efficace ?
- Les cookies de session restent actifs tant que l'utilisateur ne se déconnecte pas.
- Les journaux indiquent une connexion légitime (seules les métadonnées du navigateur diffèrent).
- Difficile à détecter sans un contrôle avancé de la session.

Selon la documentation de Microsoft, les cookies ESTSAUTH restent valides tant que l'utilisateur ne se déconnecte pas ou que la session n'expire pas, ce qui permet un accès non détecté pendant des semaines.

Interception de l'authentification en temps réel

Ces attaques, connues sous le nom de Attaques de type "Adversaire au milieu" (AiTM)Les systèmes d'authentification de l'utilisateur (MFA) s'appuient sur la capture des échanges entre l'utilisateur et le service légitime pour contourner l'authentification MFA au moment de l'ouverture de la session.

Les attaques AiTM représentent une menace majeure pour le MFA. Inspirée des attaques de type "Man-in-the-Middle" (MitM), cette technique intercepte les communications entre l’utilisateur et le service d’authentification en plaçant un proxy transparent entre les deux.

Contrairement aux attaques MitM traditionnelles, les attaques AiTM ne se contentent pas d'intercepter les échanges, mais modifient également les messages en temps réel, ce qui rend le contournement de l'AMF totalement transparent pour la victime.

Des outils comme Evilginx, un proxy inverse transparent, permettent aux attaquants de capturer les informations d'identification de l'utilisateur et les codes MFA en temps réel et de les réutiliser immédiatement pour prendre le contrôle du compte.
Le kit Tycoon 2FA, une plateforme de phishing-as-a-service (PhaaS), cible spécifiquement Microsoft 365 pour capturer et réutiliser l'authentification MFA en temps réel.

Phase 1 - Le piégeage des victimes

- L'utilisateur reçoit un courriel d'hameçonnage contenant un lien vers un faux site usurpant l'identité de Microsoft 365 ou d'une autre plateforme en nuage.
- Ce site frauduleux est hébergé sur un serveur proxy malveillant configuré avec des outils tels que Evilginx ou Modlishka.
- L'utilisateur croit qu'il accède à son compte en toute sécurité et saisit ses informations d'identification et son code MFA.

Phase 2 - Interception et détournement de session

- Le faux site agit comme un intermédiaire entre l'utilisateur et le service légitime.
- L'attaquant saisit les informations d'identification et le jeton MFA en temps réel.
- Le pirate informatique réutilise immédiatement ces informations pour se connecter à Microsoft 365 ou à un autre service sans déclencher une nouvelle demande MFA.

Phase 3 - Reprise de compte

- L'attaquant obtient un jeton d'authentification valide, ce qui lui permet de maintenir une session active même si la victime change de mot de passe.
- Ils peuvent alors :

• Exfiltrer des données sensibles,
• Mettre en place des règles de transfert de courrier électronique,
• Déployer des logiciels malveillants sur le compte compromis.

Pourquoi l'attaque AiTM est-elle efficace ?

- Elle contourne complètement la MFA, car l’attaquant intercepte et utilise un jeton d’authentification valide.
- Elle est discrète, car la connexion semble légitime dans les logs (seuls des détails comme l’IP ou le navigateur changent).
- Elle ne nécessite pas de casser un mot de passe : l’attaque se base sur la manipulation en temps réel des sessions.
- Elle exploite la confiance de l’utilisateur, qui croit interagir avec un site authentique.

Usure psychologique et ingénierie sociale

Les attaques par "MFA Fatigue" exploitent la lassitude ou la confusion des utilisateurs pour les inciter à approuver involontairement une demande MFA, donnant ainsi aux attaquants un accès frauduleux aux comptes.

Dans ces scénarios, également connus sous le nom de MFA bombing ou MFA spamming, les attaquants inondent les utilisateurs de demandes d'authentification MFA répétées jusqu'à ce qu'ils finissent par en approuver une par erreur, facilitant ainsi l'accès non autorisé.

En 2022, des pirates ont volé les informations d'identification d'un employé de Cisco par hameçonnage vocal (vishing). Ils l'ont ensuite submergé de demandes MFA et de faux appels au support informatique jusqu'à ce qu'il valide l'accès, compromettant ainsi le réseau interne.
La même année, un pirate informatique a volé les informations d'identification d'un sous-traitant d'Uber, probablement par le biais d'un logiciel malveillant, et a bombardé l'employé de notifications MFA. Sous l'effet de la fatigue ou de la confusion, l'employé a fini par approuver une demande, ce qui a permis au pirate d'accéder aux systèmes internes d'Uber.

Phase 1 - Vol des données d'identification de l'utilisateur

- L'attaquant récupère les identifiants de connexion par le biais d'une violation de données, d'un hameçonnage ou d'un hameçonnage vocal (vishing).
- Dans certains cas, des logiciels malveillants tels que Redline ou LummaC2 sont utilisés pour exfiltrer les informations d'identification stockées sur l'ordinateur de la victime.

Phase 2 - Bombardement MFA (MFA Spamming)

- L'attaquant tente de se connecter plusieurs fois au compte de la victime, ce qui génère une avalanche de notifications MFA sur son téléphone ou son application d'authentification.
- Parfois, l'attaque s'accompagne de faux appels au service d'assistance informatique, le pirate se faisant passer pour un agent du service d'assistance.

Phase 3 - Approbation involontaire

- Fatiguée par les demandes incessantes ou croyant à une erreur technique, la victime finit par approuver l’authentification.
- L’attaquant obtient un accès total au compte, souvent sans déclencher d’alertes de sécurité supplémentaires.

Pourquoi l’attaque MFA Fatigue est-elle efficace ?

- Elle exploite la psychologie humaine plutôt qu'une vulnérabilité technique.
- Les utilisateurs surchargés d'alertes MFA approuvent souvent les demandes sans réfléchir.
- Les attaquants combinent le vishing avec le bombardement MFA pour maximiser le succès.
- Il fonctionne même contre les protections MFA avancées si la victime approuve la demande.

Exploitation des comptes compromis

Cette catégorie regroupe les attaques où les cybercriminels accèdent directement à un compte utilisateur légitime, souvent par vol d’identifiants ou manipulation psychologique, puis exploitent cet accès pour contourner d’autres mesures de sécurité, dont le MFA.

Attaques de type "Business Email Compromise" (BEC) ciblent spécifiquement les comptes de messagerie d'entreprise pour usurper l'identité des utilisateurs, commettre des fraudes financières, distribuer des logiciels malveillants ou compromettre d'autres comptes.

En 2020, des pirates ont manipulé des employés de Twitter en utilisant des attaques BEC combinées à de l'ingénierie sociale, les convainquant d'accorder l'accès à des outils internes gérant des comptes VIP.

Phase 1 - Compromission de compte par BEC (Business Email Compromise)

- L'attaquant cible un compte de courrier électronique d'entreprise, souvent par le biais d'un hameçonnage ou en exploitant une base de données d'informations d'identification volées.
- Une fois dans l’email, il peut récupérer des liens de réinitialisation de mot de passe pour d’autres services protégés par MFA.

Phase 2 - Exploitation des comptes pour l'escalade des privilèges

- L'attaquant se fait passer pour la victime et envoie des courriels frauduleux à des collègues ou à des partenaires (par exemple, de fausses demandes de virement).
- Ils mettent en place des règles de transfert de courrier électronique afin de surveiller les communications et d'échapper à la détection.
- Ils peuvent également déployer des logiciels malveillants pour compromettre d'autres systèmes de l'entreprise.

Phase 3 - Contournement des protections MFA

- En utilisant l'accès au compte de messagerie, l'attaquant peut réinitialiser les protections MFA sur d'autres comptes, en demandant un code de vérification envoyé par courrier électronique.
- Il enregistre un nouvel appareil comme “de confiance”, supprimant ainsi la nécessité d’une vérification MFA future.

Pourquoi l'exploitation des comptes compromis est-elle efficace ?

- Elle contourne la MFA en exploitant un accès légitime existant.
- L’attaquant peut masquer sa présence en redirigeant les emails de sécurité.
- Une fois en place, il peut compromettre d’autres services sans déclencher d’alertes MFA.

La MFA est-il encore utile ?

Bien qu'elle ne soit pas une solution miracle, la MFA reste une partie importante de votre stratégie de cybersécurité. Elle offre une couche de sécurité supplémentaire qui complique le travail des attaquants, mais n'est pas infaillible. La MFA doit faire partie d'un cadre plus large.

Pour qu'elle reste efficace, elle doit être combinée avec d'autres mesures de sécurité, comme la détection d'anomalies comportementales, la surveillance des sessions et l'adoption de mécanismes de protection contre le vol de jetons.

Mesures d'atténuation de la menace

Pour renforcer la sécurité et limiter le contournement du MFA, voici quelques stratégies recommandées par nos experts :

1. Adopter les clés FIDO2
   Les clés d'authentification FIDO2 (telles que Windows Hello ou les jetons matériels YubiKey) ne reposent pas sur des cookies de session et sont liées à des dispositifs physiques, ce qui les rend beaucoup plus difficiles à intercepter.
2. Réduire la durée de la session : Limitez la durée de la session à une heure maximum. Révoquez automatiquement les cookies de session en cas de réinitialisation du mot de passe.
3. Détection avancée des anomalies :
   • Utilisez des solutions telles que Microsoft Defender for Cloud Apps, Cisco Umbrella ou Palo Alto Prisma Access pour détecter les connexions suspectes (adresses IP inhabituelles, sessions prolongées).
   • Mettre en œuvre des outils tels que Cloudflare Zero Trust, Okta Adaptive MFA ou Zscaler Internet Access pour analyser les empreintes du navigateur et détecter les tentatives d'authentification à partir des réseaux Tor.
4. Restreindre l'accès aux appareils autorisés :
   • L'utilisation de solutions de gestion des appareils mobiles (MDM) telles que Microsoft Intune permet aux entreprises de.. :
   • Bloquez les connexions à partir d'appareils non conformes.
   • Appliquez les mises à jour de sécurité automatiques.
5. Sensibilisation et formation des utilisateurs
   • Former les employés à ne jamais accepter un MFA qu'ils n'ont pas initié.
   • Encouragez les utilisateurs à se déconnecter manuellement des sessions au lieu de simplement fermer la fenêtre du navigateur.

Si le MFA est un outil essentiel, il ne doit pas être considéré comme une protection ultime. Les attaques actuelles montrent qu'il doit être complété par une stratégie de sécurité en couches, incluant la réduction de la durée des sessions, l'authentification forte via FIDO2 et la surveillance proactive des connexions suspectes.

Une vigilance continue et une adaptation aux nouvelles menaces restent essentielles pour une cybersécurité efficace.