1. En 2026, un mot de passe seul est déjà un accès ouvert
1.1 Les attaquants ne forcent plus, ils se connectent
Posons la réponse tout de suite : oui, aujourd'hui, un mot de passe volé suffit souvent à ouvrir un compte. Les identifiants se revendent en masse, et beaucoup d'accès (messagerie, Microsoft 365, VPN) ne demandent rien d'autre. Le MFA est la mesure qui empêche ce mot de passe seul de se transformer en intrusion.
Ce qui a changé, c'est la méthode. Les attaquants ne forcent plus les portes, ils se connectent. On parle de bascule identity-first : l'identité vaut désormais plus que le pare-feu. La matière première de cette bascule, ce sont les infostealers, des logiciels voleurs qui aspirent les identifiants stockés sur un poste, souvent un ordinateur personnel mal protégé, puis les revendent par lots.
Un exemple d'ampleur pour situer le risque : en 2024, plus de 165 organisations ont été compromises via des comptes cloud dépourvus de MFA, à partir d'identifiants récupérés par des infostealers (Mandiant, 2024). En France, la même mécanique d'identifiants et de comptes partenaires détournés a marqué les esprits avec l'incident France Travail.
1.2 Ni les mots de passe complexes, ni la petite taille ne protègent
Deux réflexes reviennent souvent à ce stade, et les deux tombent à l'eau.
- « Nous avons des mots de passe complexes » : un mot de passe long et unique ne protège en rien s'il fuite via un poste infecté, car l'attaquant le récupère tel quel, complexité comprise.
- « Nous sommes trop petits pour être visés » : les attaques d'identifiants ne trient pas par taille, elles ratissent des listes de comptes valides, PME comprises.
Le retard reste réel. Environ un tiers des PME dans le monde utilisent le MFA, ce qui laisse près de deux tiers sans ce second verrou (Cyber Readiness Institute, 2024).
Le scénario type, déroulé de bout en bout : un collaborateur saisit ses identifiants Microsoft 365 sur un faux portail, ou travaille depuis un poste perso infecté. Le lendemain, une connexion depuis l'étranger passe inaperçue. L'attaquant crée discrètement une règle de transfert d'e-mails, observe, puis envoie de fausses factures à vos clients depuis votre vraie adresse. Aucune alarme n'a sonné, parce qu'aucune porte n'a été forcée.
2. MFA, 2FA : de quoi parle-t-on exactement ?
Un facteur d'authentification, c'est une preuve que vous êtes bien vous. Il en existe trois familles :
- Ce que je connais : un mot de passe, un code PIN.
- Ce que je possède : un téléphone, une clé de sécurité.
- Ce que je suis : une empreinte, un visage.
Le MFA (authentification multifacteur) consiste à exiger au moins deux facteurs de natures différentes. Toute la sécurité se joue là : deux mots de passe, ou un mot de passe plus une question secrète, ne comptent pas comme du MFA, car ils relèvent de la même famille « ce que je connais ». Un attaquant qui aspire vos identifiants récupère les deux d'un coup.
L'image la plus parlante : le MFA, c'est la clé de la porte plus le code de l'alarme. Deux mécanismes indépendants. À l'inverse, deux clés du même trousseau ne protègent pas mieux, puisqu'on les perd ensemble.
Un mot sur le vocabulaire, pour ne pas s'y perdre.
La 2FA (double authentification) utilise exactement deux facteurs, le MFA en utilise au moins deux. La double authentification est donc un cas particulier de MFA. Dans une PME, les deux termes désignent le plus souvent la même chose, et ce qui compte n'est pas l'étiquette mais le principe : deux preuves de natures différentes valent infiniment mieux qu'une seule.
3. Tous les seconds facteurs ne se valent pas
Activer le MFA, c'est une chose. Choisir le bon second facteur en est une autre, car ils n'offrent pas le même niveau de protection.
- Le SMS : mieux que rien, mais c'est le maillon faible. Un code par SMS peut être intercepté, et un attaquant peut détourner votre numéro par échange de carte SIM auprès de l'opérateur. Il a sa place en dépannage, jamais comme seul rempart sur un compte sensible.
- L'application d'authentification ou la notification push : le bon compromis pour une PME. La validation reste sur votre téléphone, sans transiter par le réseau mobile.
- La clé de sécurité FIDO et la passkey : le niveau le plus haut, résistant au phishing, à réserver aux comptes les plus exposés (administrateurs, direction).
L'intérêt du MFA se mesure : il réduit très fortement le risque de compromission de compte, de l'ordre de 99 % selon Microsoft. Le chiffre exact varie selon les études, mais l'ordre de grandeur dit l'essentiel : un compte protégé par MFA est une cible bien moins rentable.
Reste l'objection classique : « le MFA se contourne, à quoi bon ? » C'est en partie vrai. Certaines attaques ne cherchent pas à voler le second facteur, mais à vous faire approuver vous-même une connexion, en vous noyant sous les notifications ou en se faisant passer pour le support. Elles existent, mais elles coûtent plus cher à mener, et les facteurs résistants au phishing (clé FIDO, passkey) referment cette porte.
Le levier qui change le quotidien, c'est l'accès conditionnel : le MFA ne se déclenche qu'en fonction du contexte. Connexion depuis le poste habituel au bureau, sur un appareil connu : aucun code demandé. Connexion depuis un nouvel appareil à 2h du matin, depuis un pays inhabituel : MFA exigé, voire connexion bloquée. La sécurité monte quand le risque monte, sans peser sur le travail de tous les jours.
Sur les parcs qu'elle gère, OTO Technology s'appuie sur Microsoft Entra ID pour le MFA et l'accès conditionnel, et sur Cisco Duo, plutôt que d'empiler des outils qui ne se parlent pas.
Le MFA n'est pas magique : certaines attaques cherchent à vous faire approuver une connexion que vous n'avez pas lancée.
La porte d'entrée reste le plus souvent le phishing, d'où l'intérêt de coupler le MFA à la vigilance des équipes : les attaques qui contournent le MFA passent le plus souvent par une campagne de phishing bien ficelée.
Pour les comptes les plus exposés, les facteurs résistants au phishing (clé FIDO, passkey) referment cette dernière porte.
4. Déployer le MFA sans bloquer vos équipes
4.1 Un déploiement par paliers
Un déploiement réussi se fait par paliers, pas d'un bloc. On sécurise d'abord ce qui fait le plus mal en tombant, puis on étend.
- Palier 1 : les comptes à fort impact, administrateurs, direction, comptabilité. Ce sont eux qui déclenchent les virements et détiennent les accès les plus larges.
- Palier 2 : la messagerie, le VPN et les accès distants, les portes d'entrée quotidiennes vers vos données.
- Palier 3 : l'ensemble des utilisateurs.
4.2 Les garde-fous qui évitent le rejet
Deux points se préparent dès le départ, jamais après coup :
- Les comptes de secours et la conduite à tenir en cas de perte d'appareil. Sans cela, une simple perte de téléphone bloque un collaborateur une journée entière. La bonne pratique : une procédure de secours prévue à l'avance, avec réenrôlement encadré sur un nouvel appareil, plutôt qu'un contournement improvisé dans l'urgence.
- Couplez systématiquement le MFA à l'accès conditionnel : inutile de redemander un code à chaque connexion depuis un poste déjà connu. C'est la différence entre un MFA accepté par les équipes et un MFA vécu comme une punition.
Enfin, une courte sensibilisation évite le contournement le plus courant : l'approbation réflexe. Un collaborateur qui valide machinalement une notification qu'il n'a pas déclenchée ouvre lui-même la porte. Le bon réflexe : une notification non sollicitée, on refuse et on signale.
5. MFA, obligations et passage à l'action
Un cadre qui glisse du recommandé vers l'exigé
Le cadre se durcit, sans qu'il faille tomber dans la surpromesse. La directive NIS2 cite le MFA parmi les mesures attendues, avec la nuance « le cas échéant ». Sa transposition française, la Loi Résilience, est attendue pour l'été 2026 et n'est pas encore officielle à ce jour. Du côté financier, le règlement DORA impose déjà l'authentification forte. Et les assureurs cyber réclament désormais le MFA sur les accès sensibles pour couvrir ou renouveler un contrat, avec un effet direct sur la prime. Le mouvement de fond est clair : le MFA glisse du recommandé vers l'exigé.
Les bonnes questions, et par où commencer
Avant de vous lancer, quatre questions valent la peine d'être posées à votre prestataire informatique. Quatre questions à poser à votre prestataire informatique :
- Le MFA est-il activé sur tous les accès sensibles : messagerie, VPN, administration ?
- Quels facteurs sont utilisés, et le SMS seul est-il évité ?
- Comment gère-t-on la perte d'un appareil sans bloquer le collaborateur ?
- L'accès conditionnel est-il en place pour limiter la friction au quotidien ?
Chez OTO Technology, l'identité est traitée comme le premier périmètre à défendre : gouvernance des identités et des accès, MFA généralisé sur les accès sensibles, accès conditionnel, coffre-fort de mots de passe et supervision, sur des parcs multi-sites, y compris en environnement confidentiel. Pour un client en services financiers, vous pouvez voir comment cette gouvernance des accès se traduit sur un parc multi-sites en environnement confidentiel.
Le regard de Brice CHAPEL, Head of Infrastructure and Security chez OTO Technology
« Le mot de passe, c'est la clé sous le paillasson : tout le monde sait où elle est. Le MFA, c'est le deuxième verrou que le voleur n'a pas dans la poche. Sur nos parcs, on le pose d'abord sur les comptes qui font le plus mal quand ils tombent, puis on étend, sans transformer la connexion du matin en parcours du combattant. »
6. FAQ
Quelle est la différence entre le MFA et la double authentification (2FA) ?
La 2FA utilise exactement deux facteurs. Le MFA en utilise au moins deux. La double authentification est donc une forme de MFA. Dans une PME, les deux termes désignent souvent la même chose.
Le MFA est-il obligatoire pour les entreprises en France ?
Pas de manière universelle à ce jour, mais il devient une exigence de fait. NIS2 et sa transposition française le citent comme mesure attendue, DORA l'impose au secteur financier, et les assureurs cyber le réclament pour couvrir. Le calendrier réglementaire reste à confirmer.
Le MFA peut-il être contourné ?
Oui, certaines attaques ciblent l'utilisateur pour lui faire approuver une connexion. Cela reste plus difficile et plus coûteux pour l'attaquant. Les facteurs résistants au phishing (clé FIDO, passkey) réduisent encore ce risque.
Le SMS est-il un second facteur fiable ?
C'est mieux que rien, mais c'est le facteur le plus faible (interception, échange de carte SIM). Une application d'authentification ou une clé de sécurité est préférable.
Ce qu'il faut retenir
-
#1Activez le MFA d'abord sur les comptes critiques, puis étendez par paliers
-
#2Évitez le SMS seul, préférez une application d'authentification ou une clé FIDO
-
#3Couplez le MFA à l'accès conditionnel pour limiter la friction
-
#4Prévoyez dès le départ la procédure de secours et une courte sensibilisation
Vous voulez aller plus loin ?
Parlons-en
Stratège visionnaire avec 20 ans d'expertise en systèmes d'information, Michael, transforme les défis technologiques en avantages concurrentiels pour ses clients. Architecte de solutions d'infogérance et de DSI externalisée, il conçoit des infrastructures qui allient sécurité irréprochable et agilité maximale. Sa capacité unique à anticiper les évolutions technologiques lui permet de créer des écosystèmes IT qui soutiennent durablement la croissance de ses clients. Reconnu pour son approche pionnière de la cybersécurité, il développe des protocoles personnalisés qui protègent efficacement les actifs numériques les plus sensibles. Sa vision stratégique de l'IT comme levier de performance en fait un partenaire privilégié des entreprises qui visent l'excellence opérationnelle.
