La double authentification, connue sous l’acronyme 2FA (Two-Factor Authentication), est depuis plusieurs années présentée comme le rempart ultime contre le piratage de comptes en ligne. Que ce soit pour vos e-mails, vos comptes bancaires ou vos réseaux sociaux, la 2FA devait garantir que même si votre mot de passe était compromis, vos informations restaient protégées.
Pourtant, 2025 révèle un constat inquiétant : des failles techniques majeures permettent à des cybercriminels de contourner ou de neutraliser cette protection. Des chercheurs ont identifié des méthodes inédites pour voler vos codes 2FA en quelques secondes, parfois sans que l’utilisateur ne se doute de quoi que ce soit. Plus alarmant encore, certaines de ces vulnérabilités restent non corrigées, et leur réparation semble traîner, exposant des millions d’utilisateurs à des risques concrets.
Cet article détaille les différentes méthodes d’attaque, les scénarios possibles, les conséquences pour les particuliers et les entreprises, et fournit des solutions pratiques pour limiter les risques.
1. La 2FA : une protection plus fragile qu’elle n’y paraît
La double authentification repose sur deux piliers : quelque chose que vous savez (votre mot de passe) et quelque chose que vous possédez (téléphone, clé physique ou application génératrice de code). Dans un monde idéal, même si un mot de passe fuitait, le second facteur empêchait l’accès au compte.
Cependant, plusieurs failles révèlent que la 2FA n’est pas infaillible :
- Attaques par lecture d’écran (Pixnapping) : des applications malveillantes peuvent capturer l’écran d’un smartphone pour récupérer les codes générés par une application d’authentification ou affichés par SMS.
- Interception de SMS : des techniques comme le SIM swapping ou des failles dans certaines surcouches Android permettent de recevoir à distance les codes 2FA envoyés par message.
- Vulnérabilités des gestionnaires de mots de passe et autofill : des scripts malveillants peuvent tromper les gestionnaires pour exfiltrer automatiquement les codes temporaires.
- Ingénierie sociale : le MFA bombing ou la fatigue des notifications push poussent certains utilisateurs à accepter des demandes d’authentification frauduleuses.
Ces vecteurs montrent que la 2FA, surtout lorsqu’elle repose sur le SMS ou des codes affichés à l’écran, peut être compromise plus facilement qu’on ne le croit.
2. Pixnapping : l’attaque qui lit votre écran pixel par pixel
Le phénomène connu sous le nom de Pixnapping est l’une des attaques les plus avancées découvertes récemment. Elle consiste à exploiter la manière dont les GPU et les systèmes Android rendent les images à l’écran. Plutôt que d’utiliser une capture classique qui nécessite une autorisation visible, cette attaque reconstruit l’image pixel par pixel à partir du rendu graphique, ce qui permet de lire les codes d’authentification affichés sur l’écran.
Pourquoi Pixnapping est particulièrement dangereux :
- L’application malveillante n’a pas besoin d’autorisations explicites. L’utilisateur n’est jamais alerté.
- Elle fonctionne sur des appareils non rootés, rendant la menace réaliste pour tout smartphone moderne.
- Les codes 2FA peuvent être capturés en moins d’une minute, puis exfiltrés vers un serveur externe.
Bien que Google ait commencé à publier des correctifs pour certaines versions d’Android, plusieurs surcouches de constructeurs (Samsung, OnePlus, Xiaomi) restent vulnérables, et la généralisation des patchs prendra plusieurs mois.
3. Les codes SMS : un facteur à risque
Malgré les avertissements des experts depuis des années, de nombreuses entreprises et utilisateurs continuent de dépendre de codes 2FA envoyés par SMS. Or, ce mécanisme présente plusieurs failles critiques :
- SIM Swapping : un pirate peut convaincre l’opérateur mobile de transférer le numéro sur une autre carte SIM, interceptant ainsi tous les messages entrants.
- Failles dans les surcouches Android : certaines versions permettent à une application locale d’accéder aux SMS sans autorisation explicite.
- Exploitation combinée avec Pixnapping : même si le code arrive via SMS, il peut être lu en arrière-plan par une app malveillante.
La combinaison de ces failles rend les SMS extrêmement vulnérables, en particulier pour les comptes sensibles comme la banque ou les accès administratifs en entreprise.
4. Les gestionnaires de mots de passe et autofill : nouvelles cibles
Les gestionnaires de mots de passe facilitent grandement la vie des utilisateurs. Mais lorsqu’ils sont associés à la fonction autofill, ils peuvent devenir un vecteur d’attaque.
Des scripts malveillants peuvent tromper un gestionnaire pour qu’il remplisse automatiquement un formulaire invisible, exfiltrant le mot de passe et le code 2FA. Cette méthode permet à un attaquant de récupérer l’ensemble des informations d’accès sans que l’utilisateur ne s’en rende compte.
Les éditeurs de gestionnaires ont publié des correctifs, mais la surface d’attaque reste étendue, notamment sur les navigateurs ou applications moins maintenus.
5. L’ingénierie sociale et le MFA bombing
Même les protections techniques les plus solides peuvent être contournées par l’ingénierie sociale. Le MFA bombing, par exemple, consiste à envoyer de multiples notifications push à l’utilisateur jusqu’à ce qu’il accepte accidentellement une demande d’authentification.
Cette technique a été utilisée avec succès dans des attaques ciblant des cadres d’entreprise ou des utilisateurs de services financiers. La combinaison de failles techniques et de manipulations psychologiques rend ces attaques particulièrement efficaces.
6. Pourquoi certaines failles restent non corrigées
L’expression « personne ne veut réparer » traduit un phénomène réel : la correction de certaines vulnérabilités est compliquée par plusieurs facteurs :
- Complexité technique : certaines failles exploitent des fonctions bas-niveau du GPU ou de l’OS, nécessitant des mises à jour profondes.
- Fragmentation Android : même après un patch Google, les fabricants doivent l’adapter et le déployer sur leurs modèles, ce qui prend du temps.
- Priorités commerciales : les correctifs sont parfois réservés aux appareils récents.
- Divulgation publique : la publication des preuves de concept accélère l’exploitation avant qu’un patch universel ne soit disponible.
Ces retards exposent des millions d’utilisateurs, soulignant l’importance de mesures de protection individuelles et organisationnelles.
7. Scénarios d’attaque concrets
Scénario A : Compte email compromis
Une application malveillante capte le code 2FA via Pixnapping et prend le contrôle du compte en quelques secondes. L’attaquant peut rediriger les mails, réinitialiser les mots de passe et verrouiller la victime hors de son compte.
Scénario B : Compte bancaire piraté via SMS
Un SIM swap permet à l’attaquant de recevoir les codes 2FA SMS et d’accéder à un compte bancaire pour effectuer des virements frauduleux.
Scénario C : Autofill exploité
Un formulaire invisible sur un site malveillant déclenche l’autofill du gestionnaire de mots de passe et récupère mot de passe + code 2FA, permettant un vol complet de compte cloud ou administratif.
8. Mesures de protection immédiates
Pour se protéger dès maintenant, il est essentiel de réduire la dépendance aux méthodes vulnérables :
- Désactiver la 2FA SMS et privilégier les applications d’authentification ou clés matérielles FIDO2.
- Limiter l’autofill pour les comptes sensibles.
- Vérifier les permissions des apps et supprimer les applications inconnues ou suspectes.
- Mettre à jour systématiquement OS et applications pour bénéficier des correctifs.
- Surveiller les sessions actives et fermer toute connexion suspecte.
- Activer les alertes de sécurité pour toutes modifications de compte ou tentative de connexion inhabituelle.
Pour les entreprises : interdire le 2FA SMS pour les accès administratifs, déployer des solutions MDM pour contrôler les apps, et former les utilisateurs aux risques du MFA bombing.
9. Stratégies à moyen terme
- Adopter FIDO2 / WebAuthn : ces clés physiques ou virtuelles éliminent la vulnérabilité des codes lisibles.
- Durcir les couches graphiques et OS : les fabricants doivent limiter l’accès aux APIs qui permettent Pixnapping.
- Améliorer le patching Android : coordination entre Google et OEM pour des mises à jour plus rapides et durables.
- Réglementer les standards de sécurité pour les comptes critiques et imposer des délais de correction.
10. Responsabilité partagée
La sécurité repose sur la coopération de tous : fabricants, éditeurs de logiciels, opérateurs mobiles, régulateurs et utilisateurs. Tant que certains acteurs ne jouent pas leur rôle, des failles critiques continueront d’exister et d’être exploitées.
11. Conclusion
La 2FA reste essentielle, mais elle n’est plus synonyme de sécurité absolue. Les attaques comme Pixnapping, l’interception de SMS ou l’exploitation de l’autofill montrent qu’il faut combiner méthodes techniques, vigilance et pratiques sécurisées.
La meilleure défense aujourd’hui : adopter des clés FIDO2, limiter les SMS, désactiver l’autofill risqué, maintenir les systèmes à jour et éduquer les utilisateurs. La sécurité des codes 2FA n’est pas seulement une question de technologie : c’est une question de responsabilité partagée et d’habitudes numériques prudentes.
