Sécuriser son compte Google et Microsoft contre le contournement 2FA par 'MFA Fatigue'

Qu'est-ce que l'attaque par 'MFA Fatigue' (Épuisement de notification) ?

Lorsque des pirates obtiennent vos identifiants de compte, ils déclenchent délibérément des dizaines de demandes de validation 2FA sur votre smartphone au milieu de la nuit (notifications 'Est-ce vous ? OUI / NON'). Excédé ou encore endormi, l'utilisateur finit par cliquer sur 'OUI' pour faire cesser les vibrations incessantes, ouvrant ainsi grand la porte aux attaquants.

Comment neutraliser cette vulnérabilité humaine

1. Activer la correspondance de nombres (Number Matching) : Exigez que l'application d'authentification demande de retaper un nombre à deux chiffres affiché sur l'écran de connexion. Cela rend impossible toute validation accidentelle par simple clic.
2. Remplacer les notifications push par des codes TOTP temporaires : Dans les paramètres de sécurité de votre compte, désactivez les notifications push d'invite de téléphone au profit de codes à 6 chiffres régénérés toutes les 30 secondes (Google Authenticator / Aegis).
3. Changer immédiatement le mot de passe dès la première notification suspecte : Si vous recevez une invite de connexion que vous n'avez pas initiée, cela signifie que votre mot de passe est déjà compromis. Changez-le sans attendre.