Le contournement de la double authentification
Nouvelle Même avec un code de sécurité, un faux site relais ou une avalanche de demandes de validation peut donner votre compte à un escroc.
| Par où elle arrive | E-mail, SMS, Site web, Téléphone |
|---|---|
| Qui est visé | Entreprises, Tout le monde |
| Ce que vous risquez | Un compte piraté, Vos données, Perdre de l’argent |
| Aussi appelée | phishing adversary-in-the-middle, AiTM, MFA fatigue, bombardement de notifications, vol de cookie de session, Tycoon 2FA |
La double authentification (un code par SMS ou une validation dans une application en plus du mot de passe) protège très bien. Mais les escrocs ont trouvé des moyens de la contourner.
Le faux site relais (« adversary-in-the-middle ») : le lien d’un e-mail vous mène vers une page identique à la vraie page de connexion. En fait, elle transmet en direct tout ce que vous tapez au vrai site : mot de passe, puis code. Le vrai site vous connecte… et l’escroc récupère au passage le cookie de session, le « badge » qui prouve que vous êtes connecté. Avec lui, il entre dans votre compte sans redemander de code. Microsoft a décrit cette technique dès 2022. En 2026, Microsoft et Europol ont démantelé le kit « Tycoon 2FA », conçu pour contourner la double authentification.
La fatigue de notifications (« MFA fatigue ») : l’escroc a déjà votre mot de passe et déclenche des dizaines de demandes de validation sur votre téléphone, parfois de nuit, jusqu’à ce que vous appuyiez sur « Approuver » par erreur ou par lassitude. L’agence américaine CISA recommande les clés de sécurité et passkeys (FIDO), qui résistent à ces deux pièges, ou à défaut la saisie d’un nombre affiché à l’écran.
Comment ça se passe
- Vous recevez un e-mail ou un SMS crédible : document partagé, facture, alerte de sécurité.
- Le lien mène vers une copie de la page de connexion (messagerie, Microsoft 365, réseau social).
- Vous tapez votre mot de passe puis votre code : la fausse page les transmet en direct au vrai site.
- L’escroc récupère votre cookie de session et entre dans votre compte sans nouveau code.
- Autre variante : avec votre mot de passe déjà volé, il envoie des dizaines de demandes de validation jusqu’à ce que vous acceptiez.
- Il peut aussi vous appeler en se faisant passer pour le support pour vous faire lire le code.
- Une fois dedans, il lit vos e-mails, crée des règles de transfert ou envoie de fausses factures à vos contacts.
À quoi ça ressemble
- Document inattendu
- Délai court
- Page de connexion sur une adresse inconnue
- Le code de sécurité ne vous protège pas si vous le tapez sur ce site
- Demandes de validation que vous n’avez pas déclenchées
- Quelqu’un vous demande d’approuver par téléphone
- Pression pour que « ça s’arrête »
Exemple rédigé par IP73 sur le modèle des messages signalés ; le lien et le numéro sont fictifs.
Les signes qui doivent alerter
- Vous recevez une demande de validation ou un code alors que vous n’essayez pas de vous connecter.
- Plusieurs demandes de validation arrivent à la suite, parfois de nuit.
- Quelqu’un vous demande par téléphone ou message de lire un code ou d’approuver une connexion.
- La page de connexion est atteinte par un lien, et son adresse n’est pas celle du service.
- Après connexion, vous êtes renvoyé vers une page vide ou une erreur.
- Alerte de connexion depuis un lieu ou un appareil inconnu.
Comment vous protéger
- Gardez la double authentification activée : elle reste très utile.
- Quand c’est possible, utilisez une clé de sécurité ou une passkey, qui ne fonctionne pas sur un faux site.
- Ne validez jamais une demande de connexion que vous n’avez pas lancée vous-même.
- Ne communiquez jamais un code reçu par SMS ou application, même à un « conseiller » ou au « support ».
- Ouvrez vos comptes en tapant vous-même l’adresse ou via l’application, pas depuis un lien reçu.
- Si votre application propose de taper un nombre affiché à l’écran pour valider, activez cette option.
- Vérifiez de temps en temps les appareils connectés à vos comptes.
Vous êtes victime ?
Tout de suite
- Changez votre mot de passe depuis un appareil sain.
- Utilisez « déconnecter toutes les sessions » ou « déconnecter tous les appareils » pour rendre le cookie volé inutile.
- Vérifiez et supprimez les règles de transfert ou de filtrage ajoutées dans votre messagerie.
- En entreprise, prévenez tout de suite le service informatique.
Ensuite
- Vérifiez le numéro et l’e-mail de récupération et les méthodes de double authentification enregistrées.
- Prévenez vos contacts : votre compte a pu servir à envoyer de fausses factures ou des liens piégés.
- Si des paiements ont été faits ou détournés, contactez votre banque.
- Gardez des captures de l’historique de connexion comme preuves.
- Faites-vous aider via 17Cyber et portez plainte en cas de préjudice.
Vos droits
Si un escroc fait des paiements depuis votre compte bancaire sans votre accord, ce sont des opérations non autorisées : la banque doit en principe rembourser (art. L133-18 et L133-19 du Code monétaire et financier). Si vous avez vous-même donné ou validé le code, elle peut invoquer une « négligence grave », qu’elle doit prouver. Si elle invoque une « négligence grave », elle doit quand même rembourser d’abord, puis la prouver pour vous réclamer la perte (Cour de justice de l’Union européenne, 15 octobre 2026, C-70/25).
Qui contacter
Assistance en ligne pour toutes les victimes de cybermalveillance : un diagnostic en quelques questions, des conseils adaptés, la mise en relation avec un prestataire informatique et, si la menace le justifie, un échange par tchat avec un policier ou un gendarme. Ce n’est pas un dépôt de plainte.
Le dispositif national d’assistance et de prévention en cybersécurité (GIP ACYMA). Il publie des fiches « que faire » par menace, des alertes, et donne accès à 17Cyber et à des prestataires référencés.
Bloque la carte, les accès en ligne et les virements, enregistre la contestation des opérations, et peut demander le retour des fonds d’un virement.
Le numéro figurant au dos de votre carte, dans votre appli ou sur le site officiel de votre banque (jamais un numéro donné dans un SMS ou un appel reçu)
Le réseau social, la messagerie, le site de petites annonces ou la marketplace où l’arnaque a eu lieu. Il doit proposer un moyen de signaler un contenu illicite et peut aider à récupérer un compte.
Dépôt de plainte sur place (police ou gendarmerie de votre choix), par courrier au procureur de la République, ou par visioplainte pour certaines infractions. Les services sont obligés d’enregistrer votre plainte.
17 ou 112 en cas d’urgence service-public.gouv.fr/particuliers/vosdroits/F1435 ↗
Association (partenaire de la CNIL et des autorités) qui collecte les signalements de courriels indésirables et d’hameçonnage et les transmet aux acteurs capables d’agir.
Service où chacun peut signaler l’adresse d’un site d’hameçonnage francophone. Après vérification par le CERT Orange Cyberdefense, l’adresse est bloquée dans les navigateurs partenaires.
Dans l’actualité
- Campagnes de phishing IA ciblent les comptes Microsoft et Google 6 novembre 2026
- APT29 cible mobiles avec exploits n-day via watering holes 5 novembre 2026
- APT29 exploite des failles n-day sur mobiles via sites compromis 4 novembre 2026
Arnaques du même type
Sources
- From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud — Microsoft Threat Intelligence (2022-07-12)
- CISA Releases Guidance on Phishing-Resistant and Numbers Matching Multifactor Authentication — CISA (2022-10-31)
- Defending the gates: How a global coalition disrupted Tycoon 2FA — Microsoft On the Issues (2026-03-04)
- Piratage de compte, que faire ? — Cybermalveillance.gouv.fr (2020-01-15)
- The Stealka stealer hijacks accounts and steals crypto while masquerading as pirated software — Kaspersky (2025-12-18)
Fiche vérifiée le 8 novembre 2026.
Ce guide informe ; il ne remplace ni les services officiels ni un avocat. En cas d’urgence ou de danger, appelez le 17.
Sources : services publics (Cybermalveillance.gouv.fr, CERT-FR, DGCCRF, AMF, police, gendarmerie…) et références internationales, citées sur chaque fiche. Les exemples de messages sont rédigés par nos soins à partir des alertes officielles : ils ne reprennent aucun vrai numéro ni lien. Guide revu chaque semaine (notre méthode). Dernière mise à jour : 8 novembre 2026. Données en JSON (CC BY 4.0).