Comptes et authentification
Particuliers et entreprisesHarcèlement aux demandes de validation
MFA fatigue / Push bombing
Des notifications répétées cherchent à provoquer une validation machinale.
Je pense être concerné : que faire ?
Comprendre et agir
À la fin de cette lecture, vous pourrez expliquer le piège et choisir une première réaction adaptée à votre rôle. Aucun prérequis informatique n’est nécessaire.
Une situation concrète
Votre téléphone affiche plusieurs demandes de validation que vous n’avez pas déclenchées. Après plusieurs refus, une personne se présente comme le support et vous demande d’accepter pour arrêter le problème. La répétition et le faux dépannage cherchent à transformer un refus en approbation.
Comment cela fonctionne
La fatigue MFA vise les systèmes qui demandent d’approuver une connexion. L’attaquant dispose souvent déjà du premier secret et compte sur la lassitude, la confusion ou une validation machinale. Une demande inconnue doit être refusée et signalée. Le fait qu’elle s’arrête après une approbation ne prouve pas que le problème est résolu.
- Les demandes arrivent
Vous ne les avez pas initiées.
- La répétition fatigue
Un faux support peut insister.
- Une approbation ouvre l’accès
La session doit alors être révoquée.
Les signes qui doivent attirer l’attention
- Des validations arrivent sans connexion de votre part.
- Les notifications se répètent à des horaires inhabituels.
- Un appel tente de vous convaincre d’accepter une demande inconnue.
Ces signes invitent à vérifier la situation. Pris isolément, ils ne prouvent pas tous qu’une attaque a réussi.
Ce que vous pouvez faire
Vos premiers réflexes
Refusez une demande de connexion que vous n’avez pas lancée. Si elles se répètent, contactez le vrai support ; accepter pour faire cesser les notifications peut ouvrir le compte à l’attaquant.
Si vous êtes responsable du service ou de l’organisation
Limitez les demandes répétées et privilégiez les méthodes liées au vrai service. Après une acceptation suspecte, vérifiez les sessions et les nouveaux moyens de récupération.
L’approbation d’une notification n’est pas une opération de réparation. Elle peut autoriser précisément la connexion de l’attaquant.
À vous de décider
Les notifications cessent dès que vous appuyez sur « Accepter ». Le problème est-il résolu ?
Choisissez votre réponse et expliquez pourquoi avant de lire la correction.
Voir la réponse expliquée
Pas nécessairement : l’attaquant a peut-être obtenu sa session. Faites révoquer les sessions concernées et vérifiez ce qui a changé dans le compte.
Analyser un cas technique
Pour les personnes qui développent, administrent ou analysent les systèmes concernés. Commencez par « Comprendre et agir » si ces notions sont nouvelles pour vous.
Étude de cas fictive
Une succession de demandes MFA finit par être acceptée
La demande c1 est refusée, c2 expire et c3 est acceptée. Il faut relier cette dernière à l’authentification a10, à la session s9 et aux changements effectués ensuite. L’ajout du moyen de récupération m9 est particulièrement important : il peut permettre de revenir sans solliciter le facteur initial.
Une demande acceptée prouve une validation du facteur, pas que la personne a compris ou souhaité la connexion. Elle peut avoir cédé aux notifications, suivi un faux appel du support ou validé par erreur. Il faut lui demander ce qu’elle a vu et fait, sans déduire son intention du statut technique.
Limiter les notifications et afficher le contexte de connexion réduisent les validations accidentelles. La correspondance de nombres améliore le dispositif, mais une personne peut encore être amenée à saisir le nombre fourni au téléphone. Les méthodes résistantes à l’hameçonnage, liées au service auquel on se connecte, traitent un problème plus large. Le support et la récupération de compte doivent offrir un niveau de protection cohérent.
Le déroulement en schéma
Faites défiler le diagramme pour suivre les échanges ; les noms des acteurs restent en haut. Sur petit écran, faites aussi défiler de gauche à droite.
- Action
Connexion avec premier facteur
Initiateur vers Fournisseur d’identité
Trace auth_tx a8
- Action
Challenge c1 refusé
Fournisseur d’identité vers Titulaire
Trace résultat denied
- Action
Nouvelle tentative a10
Initiateur vers Fournisseur d’identité
Trace même compte
- Action
Challenge c3 approuvé
Fournisseur d’identité vers Titulaire
Trace méthode et instant
- Réponse
Émission de la session s9
Fournisseur d’identité vers Initiateur
Trace auth_tx a10
- Action
Action sensible via s9
Initiateur vers Application métier
Trace audit applicatif
- Action
Ajout du facteur m9
Initiateur vers Fournisseur d’identité
Trace audit d’enrôlement
Comment repérer cette attaque
Indices à rechercher
Rechercher les séries de demandes MFA refusées ou expirées, une acceptation inattendue et les ajouts de facteurs ou changements de récupération qui suivent.
Éléments à croiser
Reconstituer refus ou expirations → authentification acceptée → action sensible. Faire confirmer par l’utilisateur s’il a initié la connexion et ce qu’il a validé, sans lui demander son code.
Limites de l’interprétation
Plusieurs refus peuvent venir d’une connexion légitime mal comprise. Une MFA réussie confirme une validation technique, pas le consentement éclairé de la personne à l’action ultérieure.
Comment réagir
Révoquer les sessions et jetons concernés, retirer les facteurs non reconnus et vérifier les sessions locales des applications. Réenrôler depuis un appareil fiable, après validation de l’identité indépendante du canal compromis. Préserver les identifiants de transaction et les modifications de stratégie avant leur correction.
Vérifier la correction
Ces contrôles s’adressent à l’équipe responsable du système. Les simulations se préparent dans un environnement de test autorisé ; la lecture du cas ne nécessite aucune manipulation.
- Simuler en environnement de test deux refus puis une approbation et vérifier la corrélation avec la session exacte.
- Vérifier qu’une preuve de MFA reprise d’un ancien jeton n’est pas comptée comme une nouvelle validation.
- Confirmer qu’un ancien cookie et la méthode de récupération ajoutée ne permettent plus d’accès.
À vous de raisonner
Après plusieurs refus, une demande MFA est acceptée et un moyen de récupération est ajouté. Quel enchaînement devez-vous reconstituer ?
Formulez votre décision et l’élément qui la justifie avant d’ouvrir la correction.
Comparer avec le raisonnement expliqué
Reliez la demande acceptée à la connexion, à la session puis à l’ajout du moyen de récupération. Demandez au titulaire ce qu’il pensait valider. Le statut « accepté » ne prouve pas son intention ; fermer la session sans retirer le moyen de récupération laisserait une possibilité de retour.
Consulter les détails techniques
Pour aller plus loin après l’étude du cas : les extraits servent à s’exercer à la lecture des traces ; le guide de collecte aide les personnes qui disposent des outils et des accès nécessaires.
Lire les extraits commentés — reconstitution fictive
Ces extraits utilisent des valeurs fictives. Certains reprennent des champs documentés ; d’autres regroupent plusieurs sources dans un format pédagogique. Ce ne sont pas des exports bruts à retrouver tels quels dans vos outils. Commencez par les champs expliqués, puis retrouvez-les dans les extraits.
auth_tx- Identifiant commun choisi pour l’exemple ; utiliser l’identifiant de transaction ou de corrélation réellement exposé par le fournisseur.
approved- Validation de la sollicitation dans le cas, distincte de l’approbation d’un ajout de moyen de récupération.
Challenges et émission de session
JSONLJeu synthétique : les identifiants permettent de suivre les challenges sans enregistrer de secret.
{"ts":"10:00:02Z","user":"u7","challenge":"c1","result":"denied","auth_tx":"a8"}
{"ts":"10:00:21Z","user":"u7","challenge":"c2","result":"timeout","auth_tx":"a9"}
{"ts":"10:00:44Z","user":"u7","challenge":"c3","result":"approved","auth_tx":"a10"}
{"ts":"10:00:45Z","user":"u7","auth_tx":"a10","session":"s9","action":"token_issued","device_trust":"unknown"}
{"ts":"10:02:06Z","session":"s9","action":"recovery_method_added","method":"m9"}Préparer une collecte dans votre environnement
Choisissez les sources qui correspondent à vos outils et à votre périmètre d’intervention. Cette liste n’est pas un équipement requis pour comprendre la fiche. Vérifiez que les journaux nécessaires étaient activés pendant la période étudiée. Conservez l’export original, son fuseau horaire et sa provenance dans un espace à accès restreint ; travaillez sur une copie expurgée des secrets.
Microsoft Entra ID — Sign-in logs
- Où les trouver
- Centre d’administration Entra → Entra ID → Monitoring & health → Sign-in logs. Examiner séparément les connexions interactives, non interactives et celles des applications si elles sont concernées.
- Quoi relever
- Ouvrir les détails d’authentification des connexions : méthode MFA, résultat des étapes, heure, compte, application et contexte de la demande. Selon le fournisseur, toutes les notifications ne sont pas exportées individuellement.
- Accès et prérequis
- Rôle de lecture adapté, par exemple Reports Reader. Vérifier la période conservée et les exports disponibles ; une session applicative n’engendre pas nécessairement une nouvelle connexion Entra.
Microsoft Entra ID — Audit logs
- Où les trouver
- Centre d’administration Entra → Entra ID → Monitoring & health → Audit logs. Filtrer les changements sur le compte ou l’application, puis ouvrir les détails de l’activité.
- Quoi relever
- Après l’acceptation suspecte, rechercher ajout de méthode d’authentification, changement de récupération ou consentement applicatif. Relever l’acteur et la cible de chaque changement.
- Accès et prérequis
- Droits de lecture et rétention suffisants. Ces journaux décrivent des modifications d’annuaire ; ils ne recensent pas toutes les lectures effectuées dans une boîte mail.
Dans l’histoire des cyberattaques
Groupes et campagnes documentés
Des faits réels pour situer ce mécanisme. Les années sont celles des faits ; chaque notice précise qui établit le lien avec le groupe ou la campagne.
- GroupeLAPSUS$
Repères de nommage : DEV-0537 ; Strawberry Tempest depuis 2023 chez Microsoft
Acheter des accès et détourner l’assistance
Microsoft décrit des appels aux services d’assistance, des sollicitations MFA répétées et le recrutement rémunéré de salariés ou de prestataires. Des accès légitimes servent ensuite au vol de données et à l’extorsion.
Ce qu’établit la source. Attribution de Microsoft fondée sur ses investigations. Le modèle décrit est l’extorsion et la destruction, sans déploiement de rançongiciel observé dans ce rapport.
Consulter le rapport DEV-0537 criminal actor targeting organizations for data exfiltration and destructionMicrosoft · Publié le
- àGroupeScattered Spider / Octo Tempest
Le support et les identités comme portes d’entrée
Des attaquants usurpent des interlocuteurs de confiance, appellent l’assistance et détournent des numéros de téléphone. Ils combinent hameçonnage, interception de connexions et pression sur les validations MFA pour prendre le contrôle de comptes.
Ce qu’établit la source. Microsoft décrit Octo Tempest comme un périmètre recoupant Scattered Spider, 0ktapus et UNC3944. Ces noms de suivi ne sont pas nécessairement des synonymes exacts.
Consulter le rapport Octo Tempest crosses boundaries to facilitate extortion, encryption, and destructionMicrosoft · Publié le
Sélection de cas documentés, non exhaustive. Une technique peut être utilisée par de nombreux acteurs. Les cas fictifs de la fiche ne sont attribués à aucun de ces groupes.
Si vous pensez être concerné
- Changez le secret depuis un appareil fiable si des demandes inconnues indiquent une exposition possible.
- Si vous avez approuvé, révoquez les sessions et contrôlez les actions récentes.
- Vérifiez qu’aucun facteur ou moyen de récupération inconnu n’a été ajouté.
Pour qualifier votre situation et être orienté : obtenir une assistance sur 17Cyber. Dans une organisation, prévenez aussi le responsable ou prestataire chargé de la sécurité.
Sources et repères pour approfondir
- MITRE ATT&CK — Multi-Factor Authentication Request Generation — attack.mitre.org
- OWASP — Multifactor Authentication — cheatsheetseries.owasp.org
- NIST SP 800-63B-4 — authentification et résistance au phishing — pages.nist.gov
- Microsoft — détails des connexions — learn.microsoft.com
