Pourquoi l'authentification multi-facteur est non négociable pour la cybersécurité, par Check Point

Pourquoi l’authentification multi-facteur est non négociable pour la cybersécurité, par Check Point

Check Point affirme que l’authentification multi-facteur n'est pas seulement une "bonne pratique". L’authentification multi-facteur (MFA) serait la norme minimale absolue de diligence et est non négociable. Sans MFA, un nom d’utilisateur et un mot de passe deviennent un point de défaillance unique. Check Point partage également ses recommandations pour un déploiement bien conçu, sans compromis.

Selon un rapport en 2023, l'authentification non sécurisée est l'une des principales causes des cyberattaques et les méthodes de connexion encombrantes ont un impact inacceptable sur les employés et la productivité de l'entreprise. Le rapport montrait que 60 % des organisations ont signalé des failles d'authentification entre 2022 et 2023 et que trois des quatre principaux vecteurs d'attaque sont liés à l'authentification.

Les violations ne sont pas une question de si mais de quand, c'est pourquoi se fier uniquement aux mots de passe est une dangereuse négligence. C'est pourquoi, Check Point affirme que l’authentification multi-facteur n'est pas seulement une "bonne pratique". L’authentification multi-facteur (MFA) serait la norme minimale absolue de diligence et est non négociable.


Pourquoi la MFA ? Parce que les mots de passe sont déjà compromis

Des bases d’identifiants provenant d’entreprises piratées sont échangées quotidiennement sur le dark web. La réutilisation de mots de passe est endémique. Les attaques de phishing sont plus sophistiquées que jamais. Check Point affirme notamment que les employés restent faillibles : "ils l’ont toujours été, et le seront toujours". La plupart du temps, les attaquants ne "piratent" pas les systèmes : ils se connectent à l’aide d’identifiants volés obtenus par phishing, ingénierie sociale, attaques par bourrage d’identifiants ou simples attaques par force brute. Une fois à l’intérieur, ils se déplacent latéralement, élèvent leurs privilèges et exfiltrent des données, souvent sans être détectés pendant des mois.

Sans MFA, un nom d’utilisateur et un mot de passe deviennent un point de défaillance unique. Une fois compromis, toutes les portes s’ouvrent. La MFA n’est pas infaillible, mais elle augmente considérablement la complexité de l’attaque et oblige les acteurs malveillants à compromettre un facteur supplémentaire, bien plus difficile à obtenir. Elle repose souvent sur quelque chose que vous possédez (comme un smartphone ou une clé physique) ou quelque chose que vous êtes (comme une empreinte digitale) — parfois les deux. Elle rend l’attaque suffisamment difficile pour que de nombreux cybercriminels ne tentent même pas leur chance.

Ce que la MFA est, et ce qu’elle n’est pas

La MFA n’est pas juste une case à cocher. Bien mise en œuvre, c’est un bouclier stratégique. Mal déployée, c’est une contrainte bureaucratique qui agace les utilisateurs et encourage les contournements.

Ce que la MFA est :

• Un mécanisme de défense en couches qui exige plusieurs formes de vérification avant de donner l’accès.
• Un puissant dissuasif contre le phishing, le bourrage d’identifiants et les attaques par force brute.
• Un moteur de l’architecture Zero Trust, car elle vérifie l’identité de manière dynamique.

Ce que la MFA n’est PAS :

• Une « solution miracle » qui rend votre environnement inviolable. Elle fait partie d’une stratégie de défense en profondeur.
• Imperméable à l’ingénierie sociale — les attaquants utilisent désormais des attaques de fatigue MFA pour submerger les utilisateurs de notifications jusqu’à ce qu’ils approuvent l’accès, par exemple.
• Quelque chose que l’on « déploie et oublie ». Elle doit être continuellement réévaluée, car les acteurs malveillants s’adaptent.

Une couverture partielle de la MFA crée des angles morts dangereux dans votre stratégie de sécurité.


Comment mettre en œuvre la MFA correctement

Un déploiement mal conçu de la MFA peut créer des frictions, des lacunes de sécurité et un rejet de la part des utilisateurs. Il faut faire les choses bien, sans compromis. Voici les recommandations de Check Point :

1. Commencez par les priorités de risque, puis généralisez.
   
   Ciblez d’abord les systèmes les plus critiques : accès à distance (VPN, applications SaaS, plateformes de messagerie), comptes à privilèges (administrateurs de domaine, de bases de données), environnements cloud. Mais ne vous arrêtez pas là. Chaque identité est un vecteur d’attaque potentiel. L’objectif final doit être une MFA universelle sur tous les comptes, pas seulement les « importants ».
2. Choisissez des méthodes MFA robustes.
   
   Tous les facteurs ne se valent pas. L’authentification par SMS est mieux que rien, et dans certains cas rares, elle peut être nécessaire pour des raisons pratiques. Mais elle est très vulnérable aux attaques de type SIM-swapping et à l’interception. Privilégiez les méthodes plus fortes, telles que :
   
   
   • Applications d’authentification (ex. : Microsoft Authenticator, Google Authenticator) ;
   • Clés de sécurité matérielles (ex. : YubiKey, Titan Key) ;
   • Authentification biométrique liée à des appareils sécurisés.
   
   L’objectif est d’éliminer autant que possible les formes de MFA vulnérables.
3. Rendez cela fluide, pas pénible.
   
   Sécurité et ergonomie ne sont pas incompatibles. Adoptez des solutions MFA intégrées aux plateformes d’authentification unique (SSO) pour limiter les sollicitations répétées. Implémentez une MFA adaptative : faites confiance aux appareils et lieux connus, mais mettez au défi les nouveaux ou ceux considérés comme risqués. Réduisez les frictions utilisateur sans sacrifier la sécurité.
4. Formez sans relâche.
   
   Même la meilleure solution MFA échouera si les utilisateurs ne la comprennent pas ou la considèrent comme « optionnelle ». Organisez des sessions de formation. Intégrez la MFA dans le processus d’onboarding. Expliquez les enjeux clairement : un compte compromis peut coûter des emplois, des réputations et des millions d’euros.
5. Surveillez et auditez en continu.
   
   Les attaquants évoluent. Vos défenses aussi doivent évoluer. Surveillez l’enrôlement et l’usage de la MFA. Auditez régulièrement pour détecter les lacunes. Appliquez des politiques bloquant l’accès aux utilisateurs non conformes. Traitez les journaux de MFA comme des données critiques pour votre centre d’opérations de sécurité (SOC).
6. Prévoyez des exceptions : mais évitez qu’elles deviennent des failles.
   
   Il y aura toujours des cas particuliers : utilisateurs sans smartphone, comptes de service incompatibles avec la MFA, systèmes obsolètes. Élaborez des processus d’exception — mais rendez-les suffisamment contraignants pour dissuader les abus. Les dérogations temporaires doivent expirer automatiquement. Les comptes de service doivent être repensés avec des normes modernes d’authentification, dès que possible.

Check Point conclut :

Pour rappel, voici les applications d'authentification les plus populaires du point de vue de la sécurité en 2023 : les géants de la technologie Google et Microsoft sont en tête de peloton. Le duo a enregistré 105 millions de téléchargements en 2022 sur le Play Store et l'App Store. Selon les estimations, Microsoft détenait 58 % de la part totale de ce marché. Google était le suivant, mais la véritable surprise est venue de la troisième position. Elle était revenue à Twilio. La plupart des gens ne savaient même pas que ce dernier était un authentificateur d'applications, pour commencer.

À propos de Check Point

Check Point Software Technologies est un acteur majeur dans le domaine des solutions de cybersécurité, dédié à la protection des entreprises et des gouvernements à travers le monde, grâce à ses solutions de cybersécurité dopées à l’IA. Via sa plateforme Infinity et un écosystème ouvert, l’approche axée sur la prévention de Check Point offre un haut niveau de sécurité tout en réduisant les risques.

Source : Check Point

Et vous ?

Pensez-vous que ces recommandations sont crédibles ou pertinentes ?
Quel est votre avis sur le sujet ?

Voir aussi :

Cybersécurité du cloud : ces angles morts qui coûtent cher aux entreprises, d'après le Cloud Security Report Check Point 2025

Microsoft estime que l'utilisation de l'authentification multifacteur bloque 99,9% des piratages de comptes et encourage les utilisateurs à l'adopter

Les entreprises pourraient s'exposer en s'appuyant de plus en plus sur l'authentification unique (SSO), selon un nouveau rapport de Doyensec, en collaboration avec Teleport