Comment le phishing vole vos codes 2FA — et comment l'arrêter

Pourquoi les codes 2FA sont désormais une cible

Pendant des années, les conseils en matière de sécurité se résumaient à une ligne : utilisez un mot de passe fort et unique. Ce conseil reste valable, mais il ne suffit plus. Alors que l'authentification à deux facteurs s'est répandue sur les comptes bancaires, les e-mails et les réseaux sociaux, les attaquants sont tombés sur un mur — un mot de passe volé ne suffisait plus à ouvrir la porte.

Ils ont donc changé de tactique. Au lieu d'attaquer le mot de passe, ils s'attaquent désormais au second facteur lui-même : le code à usage unique qui arrive par SMS, application d'authentification ou notification push.

Le code est la nouvelle proie

Ces codes semblent jetables — six chiffres, valables quelques secondes. Mais pendant ces quelques secondes, un code est aussi puissant que votre mot de passe. Les attaquants « piratent » rarement le code. Ils vous trompent pour vous le faire remettre, via une fausse page de connexion, un appel téléphonique convaincant ou un message urgent vous demandant de « vérifier » un numéro que vous venez de recevoir.

Pourquoi cela fonctionne encore

Le hameçonnage réussit non pas en cassant la technologie, mais en exploitant les habitudes humaines : la confiance dans les marques familières, la peur des problèmes de compte et la pression d'agir vite. Aucune faille technique n'a besoin d'exister pour que cela fonctionne — c'est précisément pourquoi cela continue de fonctionner. Comprendre ce changement est la première étape pour y mettre fin.

Fausses pages de connexion : le grand classique

La plus vieille astuce reste la plus répandue : un site web qui ressemble trait pour trait à celui auquel vous faites confiance. Les attaquants copient le véritable écran de connexion — même logo, mêmes couleurs, mêmes champs — et l'hébergent sur un domaine imitant l'original. Ces adresses misent sur des détails faciles à manquer au premier coup d'œil : une lettre permutée, un mot supplémentaire comme « secure » ou « login », ou une terminaison inhabituelle là où l'on attend « .com ».

La fausse page se comporte comme la véritable, et c'est là tout le problème. Vous saisissez votre identifiant et votre mot de passe. Le faux site demande ensuite la deuxième étape, comme le ferait le vrai, et vous entrez le code de votre application d'authentification ou reçu par SMS.

À ce moment, l'attaquant détient tout. Dès que vos identifiants arrivent sur son serveur, il ouvre le véritable site et se connecte avec votre mot de passe et votre code tout frais. Cela se produit généralement en quelques secondes, bien avant l'expiration d'un code de 30 secondes. Pour le vrai site, il s'agit d'une connexion parfaitement normale.

La fausse page affiche alors une erreur, un message « session expirée », ou vous redirige simplement — tout ce qui vous empêche de vous demander pourquoi la connexion a échoué en silence.

Hameçonnage en temps réel : l'attaquant au milieu

Les fausses pages de connexion deviennent plus malines. La version la plus dangereuse ne se contente pas de recueillir votre mot de passe — elle l'utilise immédiatement.

Fonctionnement du relais

Une attaque de type adversary-in-the-middle (AiTM) utilise un site proxy qui s'interpose entre vous et le vrai site web. Vous cliquez sur un lien, atterrissez sur une copie quasi parfaite de la page de connexion et saisissez vos identifiants. Le proxy les transmet au site authentique et relaie tout en retour — la page se comporte donc exactement comme la vraie.

Vous saisissez ensuite votre code 2FA. Le proxy le transmet en temps réel, le vrai site l'accepte et la connexion aboutit — mais du côté de l'attaquant.

Pourquoi l'expiration rapide des codes ne vous sauve pas

Une fenêtre de 30 secondes suppose que l'attaquant voit d'abord votre mot de passe et votre code ensuite. L'AiTM supprime ce délai : le code est utilisé dès que vous le saisissez, tant qu'il est encore valide. Le délai d'expiration devient sans importance.

La vraie prise : votre session

Après la connexion, le site authentique remet un cookie de session au navigateur de l'attaquant — pas au vôtre. L'attaquant détient désormais une session authentifiée et peut lire vos e-mails, réinitialiser d'autres mots de passe ou rester connecté discrètement. Votre mot de passe et votre code n'ont jamais été volés ; ils ont été empruntés, en direct — et c'est pire.

L'ingénierie sociale au-delà du formulaire de connexion

Toutes les attaques ne passent pas par un faux site web. Certains voleurs se passent entièrement de technologie et visent la personne qui tient le téléphone.

Le vishing : l'appel qui réclame votre code

Le « vishing » est du phishing par téléphone. L'appelant prétend être votre banque, votre employeur ou une équipe d'assistance, crée un sentiment d'urgence — transaction suspecte, compte bloqué — puis vous demande de lire le code de vérification « pour confirmer votre identité ». Aucun service légitime n'aura jamais besoin que vous lui communiquiez votre code à voix haute. L'appelant est en train de se connecter en ce moment même, et votre code est la dernière pièce qui lui manque.

La lassitude face aux notifications push

Si votre application envoie des demandes d'approbation, des attaquants qui connaissent déjà votre mot de passe peuvent bombarder votre téléphone de demandes « Approuver la connexion ? » à 2 heures du matin, en espérant que vous taperez Accepter pour que ça s'arrête. Une tape distraite leur livre votre compte. Certaines applications ajoutent le number matching — vous devez saisir le numéro affiché à l'écran — précisément parce que les approbations accidentelles sont fréquentes.

SIM swap et interception des SMS

Les codes envoyés par SMS résident sur votre numéro de téléphone, et les numéros de téléphone peuvent être volés. Lors d'un SIM swap, un escroc convainc votre opérateur de transférer votre numéro vers sa carte SIM, puis reçoit directement vos codes. Les SMS constituent le canal 2FA le plus faible ; considérez-les comme une solution de repli, non comme un fondement.

Des défenses qui stoppent réellement le vol de code

Passkeys et clés de sécurité : à l'épreuve du phishing par conception

Les passkeys et les clés matérielles FIDO2 sont liées cryptographiquement au site web exact qui les a enregistrées — une propriété appelée liaison d'origine (origin binding). Avant de signer quoi que ce soit, votre appareil vérifie qu'il communique avec le domaine authentique. Sur une fausse page de connexion, même une page utilisant un proxy en temps réel, la clé refuse simplement. Il n'y a rien à voler et rien à rejouer ; la connexion échoue d'elle-même. C'est la seule défense présentée ici qui stoppe le phishing automatiquement, sans que vous ayez à remarquer quoi que ce soit.

Préférez les applications aux SMS

Les codes d'application d'authentification sont supérieurs aux codes SMS, qui peuvent être interceptés via des échanges de carte SIM (SIM swaps) ou détournés vers un relais d'attaquant avant de vous parvenir. Les codes d'application restent sur votre appareil — quoiqu'un hameçonneur patient puisse encore vous convaincre de les lire à voix haute, alors traitez toute demande de code avec méfiance. Pour les comptes de messagerie, bancaires et de gestionnaire de mots de passe, ajoutez une clé matérielle FIDO2 comme option la plus solide.

Laissez votre gestionnaire de mots de passe jouer les canaris

Les gestionnaires de mots de passe n'effectuent le remplissage automatique que sur le domaine exact où les identifiants ont été enregistrés. Sur un site imitant le vôtre, rien ne se remplit. Considérez un remplissage automatique vide comme un signal d'alerte : vérifiez la barre d'adresse avant de saisir quoi que ce soit manuellement.

Les habitudes quotidiennes qui protègent vos codes

Les défenses les plus solides échouent quand les routines quotidiennes se relâchent. Quelques habitudes suffisent à combler la plupart des failles restantes.

Ne partagez jamais un code. Aucun service légitime, aucune banque, aucun agent du support ne vous demandera jamais votre code 2FA, un mot de passe ou un « numéro de vérification » par téléphone, e-mail ou chat. Quiconque le demande est un attaquant. Un code est une clé, pas un mot de passe à confirmer.

Vérifiez où vous tapez. Avant de saisir vos identifiants, regardez l'adresse complète dans la barre du navigateur — pas seulement le logo sur la page. Mieux encore, sautez carrément la vérification : utilisez des favoris pour les sites importants, ou tapez l'adresse vous-même. Les liens dans les e-mails et les messages, c'est ainsi que les fausses pages obtiennent leur trafic.

Si vous avez saisi un code sur une page suspecte :

1. Changez immédiatement le mot de passe de ce compte.
2. Déconnectez toutes les autres sessions dans les paramètres de sécurité du compte.
3. Contactez le fournisseur via ses canaux de support officiels et signalez l'incident.
4. Si vous réutilisez ce mot de passe ailleurs, changez-le là aussi.

La vitesse compte — un code volé est généralement utilisé en quelques minutes.

Le schéma commun aux six sections est simple : les attaquants convoitent les codes parce que les codes déverrouillent des comptes. Gardez vos codes pour vous, vérifiez où vous les saisissez, et privilégiez les clés d'accès (passkeys) ou les clés matérielles quand un service les propose. Faites cela, et le phishing n'aura presque plus rien à voler.