2FA piratée 2026 : pourquoi votre code ne protège plus

47 notifications push en 3 minutes. « Approuvez cette connexion ? » Vous finissez par taper « Oui » juste pour que ça s'arrête. C'est exactement ce que le pirate attendait.

Votre double authentification — cette sécurité que vous activez consciencieusement depuis dix ans — est en train de devenir une passoire. En 2026, les attaquants ne cherchent plus à deviner votre mot de passe. Ils savent que 24 milliards d'identifiants circulent librement sur le web souterrain après le choc du « June 2026 Stealer Logs » recensé par Have I Been Pwned. Ce qu'ils veulent maintenant, c'est ce fameux code à 6 chiffres. Et ils ont trouvé trois méthodes redoutablement efficaces pour s'en emparer.

Le bombardement MFA : l'épuisement comme arme

La technique s'appelle le MFA bombing — ou « fatigue MFA ». Le principe tient en une phrase : harceler la victime jusqu'à ce qu'elle cède.

Le pirate récupère vos identifiants sur l'un des dizaines de jeux de données disponibles sur les forums clandestins. Il se connecte à votre compte Microsoft, Google ou Dropbox. Votre téléphone vibre. Notification push : « Connexion depuis un nouvel appareil. Approuver ? » Vous refusez. Deuxième notification. Vous refusez encore. Troisième. Quatrième. Cinquième. Au bout de la quarant septième, à 23h, épuisé, vous appuyez sur « Accepter » pour que ça s'arrête.

C'est exactement comme ça que s'est déroulée l'attaque contre Uber en 2022. Un cybercriminel a bombardé un employé de notifications jusqu'à ce qu'il valide l'une d'elles. Résultat : accès total aux systèmes internes,AWS, Slack, comptes financiers. Uber a reconnu l'incident publiquement. Le schéma est documenté noir sur blanc par le CISA (Cybersecurity and Infrastructure Security Agency) dans son rapport d'octobre 2022.

Depuis, la technique a explosé. Microsoft révélait en 2024 que les attaques par épuisement de tokens MFA avaient augmenté de 200 % sur une année. Le groupe Redmond a même dû modifier le comportement de son application Authenticator pour introduire des « défis » (reconnaissance de numéros) quand un déluge de notifications est détecté.

Le pire ? Cette attaque ne demande aucune compétence technique avancée. Des kits complets — templates de phishing, outils de bombardement automatisé, scripts de rotation de proxies — se vendent 50 à 200 dollars sur Telegram. Aucune ligne de code à écrire.

SIM swapping : votre opérateur est le maillon faible

Deuxième vecteur, plus subtil et nettement plus destructeur : le SIM swapping, ou échange de carte SIM.

Le scénario : un attaquant contacte votre opérateur téléphonique en se faisant passer pour vous. Il prétend avoir perdu son téléphone et demande le transfert de votre numéro vers une nouvelle carte SIM à son nom. Une fois le numéro transféré — et ça prend parfois 15 minutes — le pirate reçoit tous vos SMS. Y compris vos codes de double authentification.

Les conséquences sont cataclysmiques. En mai 2024, le PDG britannique d'une société de médias a vu son compte Instagram piraté via SIM swapping, puis utilisé pour arnaquer ses abonnés. En 2022, le FBI recensait 1 611 plaintes pour SIM swapping aux États-Unis, avec des pertes de 68 millions de dollars. Et la France n'est pas épargnée : plusieurs influenceurs et créateurs de contenu francophones ont documenté publiquement leurs mésaventures, avec des comptes bancaires vidés et des réseaux sociaux détournés.

La méthode d'ingénierie sociale varie. Parfois, le pirate corrompt un employé de l'opérateur — un employé de boutique ou un agent du service client qui accepte quelques centaines d'euros pour procéder au transfert. Parfois, il exploite une faille dans le portail client de l'opérateur. Parfois, il utilise des informations personnelles récupérées sur les réseaux sociaux pour répondre aux questions de sécurité.

Ce qui rend le SIM swapping particulièrement vicieux, c'est que la victime ne se rend compte de rien jusqu'à ce qu'elle perde le réseau. Un moment de panique, elle pense à une panne. Et pendant ce temps, le pirate réinitialise les mots de passe de tous ses comptes : banque, email, crypto, réseaux sociaux.

« Le SMS comme facteur d'authentification, c'est comme mettre un cadenas sur une porte en verre. Le cadenas fonctionne, mais on passe à côté. » — Cette analogie, entendue dans une conférence de l'ANSSI en 2024, résume parfaitement le problème.

Phishing du milieu : le piège invisible

Troisième technique, la plus sophistiquée et probablement la plus dangereuse en 2026 : l'attaque de l'homme du milieu, ou AiTM (Adversary-in-the-Middle).

Voici comment ça marche. Vous recevez un email semblant provenir de Microsoft 365 : « Votre session a expiré, reconnectez-vous. » Le lien vous dirige vers une page identique à l'originale. Vous tapez votre identifiant. Votre mot de passe. Puis on vous demande le code de votre application d'authentification. Vous le saisissez.

Sauf que la page n'est pas celle de Microsoft. C'est un proxy, un relais inversé qui transmet vos informations en temps réel vers le vrai site de Microsoft. Microsoft voit une connexion légitime depuis une adresse IP plausible. Il valide la session et émet un cookie d'authentification — un jeton numérique qui vous garde connecté pendant des jours, parfois des semaines.

Le pirate intercepte ce cookie. Et là, c'est terminé. Il l'injecte dans son propre navigateur et accède à votre compte sans avoir besoin du mot de passe ni du code MFA. La double authentification a bien fonctionné. Elle a simplement été placée devant la mauvaise porte.

L'outil le plus connu pour ce type d'attaque s'appelle Evilginx, développé initialement comme outil de recherche en sécurité par le polonais Mariusz Banach. Phishing kit open source, disponible gratuitement sur GitHub. Des dizaines de variantes ont depuis vu le jour : Evilgophish, Modlishka, Muraena. Chacune capable de cloner n'importe quel site de connexion en quelques minutes.

En septembre 2023, le groupe de hackers russe COLDRIVER utilisait précisément cette technique pour cibler des militaires, des politiques et des journalistes occidentaux. Le rapport de Google's Threat Analysis Group documentait l'attaque en détail.

Le tableau qui refroidit

Ces chiffres, compilés à partir des rapports de Mandiant, CrowdStrike et Microsoft, donnent une idée de l'ampleur. Mais la réalité est probablement pire : la plupart des attaques réussies ne sont jamais rapportées.

Pourquoi le SMS est devenu un danger public

Le constat est clair depuis des années dans la communauté sécurité : le SMS n'est pas un canal sécurisé. Il transit en texte clair sur le réseau SS7 (Signaling System 7), un protocole conçu dans les années 1970 à une époque où personne n'imaginait qu'un jour des milliards d'euros dépendraient d'un message de 160 caractères.

L'ANSSI, l'agence nationale de la sécurité des systèmes d'information, le dit explicitement dans ses recommandations : l'authentification par SMS doit être considérée comme une mesure de sécurité minimale, pas comme une protection robuste. La norme américaine NIST (National Institute of Standards and Technology) a même déclassé le SMS comme méthode d'authentification depuis 2016 dans ses directives SP 800-63B.

Pourtant, en 2026, des banques françaises envoient encore des codes de validation par SMS. Des plateformes gouvernementales utilisent encore le SMS pour confirmer des opérations sensibles. La raison ? Le SMS est universel, gratuit pour l'utilisateur et ne nécessite aucune installation. Le confort l'emporte sur la sécurité.

Passkeys : la cryptographie remplace le code

Alors, quelle est la solution ? Elle existe. Elle s'appelle Passkey — ou « clé d'accès » en français.

Le concept : au lieu d'envoyer un code que quelqu'un pourrait intercepter, votre appareil (téléphone, ordinateur) génère une paire de clés cryptographiques. L'une reste sur votre appareil, privée, inaccessible. L'autre est enregistrée sur le service. Quand vous vous connectez, le service envoie un défi mathématique que seul votre appareil peut résoudre avec la clé privée. Aucun code transmis. Rien à intercepter.

Apple, Google et Microsoft ont adopté le standard FIDO2/WebAuthn. En mai 2022, les trois géants annonçaient ensemble leur soutien aux passkeys. Depuis, l'adoption grimpe. Apple a intégré les passkeys dans iOS 16 (2022). Google dans Android et Chrome. Microsoft dans Windows 11.

D'après les données du FIDO Alliance publiées en 2024, les passkeys étaient utilisés par plus de 12 milliards de comptes dans le monde (Apple à elle seule en représente la majorité via iCloud Keychain). Le taux d'adoption par les entreprises du CAC 40 reste toutefois confidentiel.

Les passkeys éliminent les trois attaques décrites plus haut :

• MFA bombing : impossible. L'authentification nécessite une action locale sur l'appareil (Face ID, empreinte, code). Pas de notification à bombarder.
• SIM swapping : irrelevant. Le SMS n'est plus utilisé.
• AiTM phishing : neutralisé. Les passkeys vérifient le domaine du site. Une page de phishing qui imite microsoft.com sera automatiquement rejetée car le nom de domaine ne correspond pas.

« Les passkeys ne sont pas une amélioration incrémentale. C'est un changement de paradigme. Pour la première fois, la solution la plus sécurisée est aussi la plus simple pour l'utilisateur. » — Un expert en cybersécurité d'entreprise.

La France doit se réveiller

Le problème, c'est que la France traîne des pieds. Si l'Hexagone est devenu le deuxième pays le plus piraté au monde avec 23,5 millions de comptes exposés, ce n'est pas par malchance. C'est par manque chronique d'investissement dans l'authentification moderne.

Les grandes entreprises françaises — banques, assurances, télécoms — ont commencé à migrer vers les passkeys, mais à un rythme glacial. Les PME, elles, en sont encore au SMS. Pire : certaines utilisent encore des mots de passe simples sans aucune double authentification.

La pénurie de talents aggrave le tableau. Avec 100 000 postes vacants en cybersécurité, qui va configurer ces systèmes d'authentification modernes ? Qui va auditer les infrastructures existantes ? Qui va former les utilisateurs ?

Les attaquants, eux, ne manquent pas de personnel. L'écosystème criminel Cybercrime-as-a-Service emploie des dizaines de milliers de personnes à travers le monde, des développeurs de ransomwares aux spécialistes du blanchiment de cryptomonnaies. C'est une industrie structurée, avec un service client, des SLA et des manuels utilisateur. Pendant ce temps, côté défense, vos données personnelles s'entassent dans des bases compromises et personne ne semble pressé de moderniser les protections.

Votre plan d'action immédiat

Vous n'êtes pas responsable de la stratégie cyber d'une multinationale ? Voici ce que vous pouvez faire aujourd'hui, pour vous-même et votre famille :

1. Remplacez le SMS par une application d'authentification. Google Authenticator, Microsoft Authenticator, Authy, Raivo (iOS) — tous génèrent des codes temporaires localement, sans transiter par le réseau téléphonique. Gratuit. Installation en 2 minutes par compte.

2. Activez les passkeys partout où c'est proposé. Google, Apple, Microsoft, Amazon, GitHub, PayPal, TikTok — la liste s'allonge chaque mois. Quand on vous propose « connexion par clé d'accès », dites oui.

3. Achetez une clé physique de sécurité. Une YubiKey ou une Google Titan coûte entre 30 et 60 euros. Elle se branche en USB ou NFC. C'est la forme la plus résistante d'authentification. Les diplomates, les journalistes d'investigation et les CEO de la tech en utilisent. Vous aussi vous le méritez.

4. Vérifiez vos comptes sur Have I Been Pwned. Le site de Troy Hunt référence les fuites de données publiques. Entrez votre adresse email. Si elle apparaît, changez le mot de passe de ce compte immédiatement. Puis activez la 2FA.

5. Méfiez-vous des notifications push nocturnes. Si votre téléphone se met à vibrer à 2h du matin avec des demandes d'approbation de connexion, ne validez jamais. Changez votre mot de passe. C'est peut-être un MFA bombing en cours.

La double authentification par SMS a eu son heure de gloire. Elle a protégé des centaines de millions de personnes pendant une décennie. Mais en 2026, elle appartient au passé. Les pirates ont passé l'arme à gauche de cette sécurité il y a longtemps. Il est temps que les utilisateurs — et les entreprises françaises — fassent de même.

La sécurité n'est jamais une destination. C'est un mouvement perpétuel. Et là, maintenant, le mouvement s'appelle passkeys.

Sources

• Have I Been Pwned — Troy Hunt, juin 2026 (jeu de données « June 2026 Stealer Logs »)
• Uber Security Incident — CISA, octobre 2022
• NIST Special Publication 800-63B — NIST, 2016 (révision 2024)
• Recommandations relatives à l'authentification multifacteur — ANSSI
• FIDO Alliance Passkey Adoption Data — FIDO Alliance, 2024
• Google TAG Report on COLDRIVER — Google Threat Analysis Group, septembre 2023
• FBI IC3 Annual Report — FBI Internet Crime Complaint Center, 2022-2023
• Microsoft Digital Defense Report — Microsoft, 2023-2024