L’attaque par demande d’authentification répétée : qu’est-ce que c’est et comment s’en protéger?

Votre téléphone vibre : encore une demande d’authentification. « Approuver la tentative de connexion? », lisez-vous. Comme vous n’êtes pas en train de vous connecter à quoi que ce soit, vous cliquez sur « Refuser ». Deux minutes plus tard : bzz bzz. Même message, nouveau refus.

Et le manège se répète. Encore et encore.

Après 15 notifications en 10 minutes, vous avez envie de jeter votre téléphone par la fenêtre. La fois suivante, vous cliquez donc sur « Approuver » pour que ça cesse.

Et c’est exactement ce qu’espérait le cybercriminel à l’origine de l’attaque.

Frustrante mais efficace, l’attaque par demande d’authentification répétée est devenue l’un des moyens les plus fructueux d’accéder illégitimement à un compte. Même les personnes les plus averties peuvent céder à un tel harcèlement.

Comprendre ce qui se passe et comment vous protéger est essentiel.

Qu’est-ce que l’authentification à plusieurs facteurs (APF)?

L’authentification à plusieurs facteurs (aussi appelée « authentification multifacteur » ou « authentification à deux facteurs ») consiste à contre-vérifier qu’il s’agit bien de vous. En plus d’entrer votre mot de passe, vous devez prouver votre identité d’une autre façon, généralement en approuvant une notification sur votre téléphone ou en saisissant un code dans une application.

Les différentes méthodes d’authentification à deux facteurs

Voici les méthodes d’APF les plus courantes :

• Notification poussée : message s’affichant sur votre téléphone pour vous demander d’approuver ou de refuser une demande.
• Code envoyé par SMS : message texte comportant un numéro à six chiffres.
• Appli d’authentification : application générant un code temporaire, comme Google Authenticator.
• Clé électronique : dispositif physique à brancher ou à taper.
• Biométrie : empreinte digitale, reconnaissance faciale et reconnaissance vocale.

Avantage des systèmes d’APF

L’APF bloque environ 99,9 % des attaques automatisées, ce qui en fait l’une des mesures de sécurité les plus efficaces sur le marché. Ainsi, même si quelqu’un met la main sur votre mot de passe, il ne peut entrer dans votre compte sans passer la deuxième étape de vérification.

Comment l’authentification secondaire rehausse la sécurité

Pour ouvrir une session, l’APF exige une chose que vous connaissez (mot de passe) en plus d’une chose que vous possédez (téléphone) ou qui fait partie de vous (empreinte digitale). Cette approche en plusieurs étapes oblige les pirates à franchir de multiples couches de sécurité pour accéder à votre compte. Elle sert aussi à vous alerter si quelqu’un détient votre mot de passe.

Qu’est-ce qu’une attaque par demande d’authentification répétée?

Une attaque par demande d’authentification répétée est un type de cyberattaque. C’est essentiellement du harcèlement numérique mené dans un but précis. Les criminels inondent votre téléphone de demandes de connexion d’allure légitime, tâchant de vous irriter à un point tel que vous déciderez d’en approuver une pour faire cesser les notifications.

Le rôle du piratage psychologique

Ce qui rend ces attaques encore plus dangereuses, c’est leur dimension humaine. Il arrive même que les malfaiteurs appellent leur victime pendant le feu roulant de notifications, en se faisant passer pour le soutien technique : « Bonjour! Notre système éprouve des difficultés. Il se pourrait que vous receviez des demandes de connexion. Il suffit d’en approuver une pour régler le problème. »

Pourquoi les demandes d’authentification répétées fonctionnent

La nature humaine

Tout le monde est inondé de notifications numériques : un téléphone intelligent en reçoit en moyenne 60 à 80 par jour. Ainsi, quand une demande d’APF fait vibrer votre appareil, elle fait concurrence aux textos, médias sociaux et alertes d’actualité. La fatigue décisionnelle joue aussi un rôle dans ce problème, surtout quand les attaques surviennent tard le soir ou tôt le matin.

La réaction typique des victimes

Plusieurs raisons expliquent que les gens approuvent ces demandes malhonnêtes, même s’ils ne sont pas nés de la dernière pluie.

• La réaction « pour en finir » : Souvent, les gens approuvent ces demandes irritantes dans le simple but de les faire taire.
• La supposition de légitimité : Comme les demandes semblent venir d’une source légitime, la personne peut cliquer sur « Approuver » en présumant qu’elles sont véridiques.
• L’approbation-réflexe : Vu le grand nombre d’alertes qui s’affichent sur nos téléphones, il n’est pas rare qu’on les approuve sans réfléchir.

La psychologie derrière l’efficacité des demandes d’authentification répétées

Ces attaques exploitent les biais cognitifs comme le biais d’autorité (on fait confiance aux demandes qui semblent officielles) ainsi que la contrainte de temps (on se sent pressé de « régler » la situation rapidement).

Comment vous protéger des attaques par demande d’authentification répétée?

Déployez les bons mécanismes d’authentification

N’approuvez jamais ce qui ne vient pas de vous. Vous recevez une demande d’authentification alors que vous n’essayez pas de vous connecter à une application? Vous la refusez, un point c’est tout.

Activez la correspondance des nombres lorsque possible. Microsoft a commencé à déployer ce mécanisme à l’échelle mondiale en mai 2023 expressément pour lutter contre les demandes d’authentification répétées.

Optez pour l’authentification par application plutôt que par SMS pour une sécurité accrue et une meilleure contextualisation des tentatives de connexion.

Mettez en œuvre des protocoles de connexion sécurisée

Il faut bien sûr savoir détecter les menaces. Mais il y a aussi des mesures de sécurité de base qui rendront vos comptes plus difficiles à pirater.

• Utilisez des mots de passe uniques partout et stockez-les dans un gestionnaire de mots de passe.
• Activez le blocage de compte, qui se mettra en marche après quelques tentatives de connexion infructueuses.
• Paramétrez des alertes de sécurité pour les activités inhabituelles de connexion dans vos comptes et applications.
• Tenez à jour vos options de récupération pour vos comptes et applications.

Marche à suivre pour signaler une activité suspecte

Si vous êtes la cible de demandes d’authentification répétées :

• Documentez tout à l’aide de captures d’écran horodatées.
• Signalez immédiatement la situation à votre fournisseur de service.
• Communiquez avec le Centre antifraude du Canada (1-888-495-8501).
• Avertissez votre institution financière si des comptes bancaires sont visés.

Rappel : Si vous recevez des communications suspectes qui prétendent provenir de la Sun Life, ou si vous pensez que votre compte a été compromis, contactez-nous immédiatement. Notre équipe de la sécurité est disponible en tout temps pour vous aider à sécuriser votre compte et mener l’enquête sur toute activité non autorisée.

Cet article ne vise qu’à fournir des renseignements d’ordre général. La Sun Life du Canada, compagnie d’assurance-vie n’offre pas de conseils professionnels d’ordre juridique, comptable, fiscal ou autre. Au besoin, veuillez consulter un ou une spécialiste qui fera un examen approfondi de votre situation juridique, comptable et fiscale.