SMS, application, notification, clé physique : quatre seconds facteurs, quatre niveaux de protection très différents. Le critère qui les sépare tient en une question : le code peut-il être recopié ?
La double authentification ajoute une preuve d’une autre nature au mot de passe : quelque chose que vous détenez ou que vous êtes. Elle coupe net le rejeu de mots de passe volés, qui représente l’essentiel des piratages de comptes ordinaires. Mais trois seconds facteurs sur quatre reposent sur un code recopiable, donc transmissible à un escroc en temps réel : le SMS, l’application à six chiffres et la notification à valider tombent tous devant un faux site bien fait. Seule la clé physique, et la clé d’accès qui en dérive, résiste à l’hameçonnage, parce que la signature qu’elle produit est liée au nom de domaine.
Un code à six chiffres arrive par SMS. Le message précise de ne le communiquer à personne. Au même moment, une voix au téléphone explique qu’elle appelle du service antifraude de votre banque et qu’elle a besoin de ce code, tout de suite, pour bloquer un virement suspect. Le second facteur a parfaitement fonctionné : il est parti au bon numéro, sur le bon appareil, à la bonne seconde. Il ne protège pourtant rien, parce qu’il se recopie.
La double authentification est presque toujours présentée comme une case à cocher : activée, ou non. C’est une mauvaise façon de la regarder. Quatre seconds facteurs cohabitent aujourd’hui sur les services grand public, ils demandent des efforts très différents, et surtout ils n’arrêtent pas les mêmes attaques. Trois d’entre eux tombent devant un faux site bien construit. Un seul tient.
Le tri se fait avec une question unique, que le reste de cet article développe : mon second facteur peut-il être transmis à quelqu’un d’autre, volontairement ou par erreur ?
L’authentification repose sur trois familles de preuves. Ce que vous savez : un mot de passe, un code confidentiel, une réponse à une question. Ce que vous détenez : un téléphone, une carte à puce, une clé USB de sécurité. Ce que vous êtes : une empreinte, un visage, une voix.
Une authentification est dite forte, au sens de l’ANSSI comme au sens de la réglementation bancaire européenne, quand elle combine deux preuves issues de familles différentes. Deux preuves de la même famille n’ajoutent presque rien : elles tombent ensemble, par le même moyen.
C’est ce qui condamne la question secrète. « Nom de jeune fille de votre mère », « ville de naissance », « nom du premier animal » : ce sont des mots de passe supplémentaires, généralement plus faibles que le premier, souvent trouvables sur un réseau social et parfois publics. Les ajouter revient à rallonger le mot de passe avec une information que d’autres connaissent. Sur la façon de construire le premier facteur, la règle reste la longueur avant la complexité, comme l’explique notre article sur ce qui rend un mot de passe solide.
Le code envoyé par courriel occupe une position intermédiaire. Il prouve que vous accédez à une boîte, donc une forme de détention. Mais si cette boîte est protégée par un simple mot de passe, et que ce mot de passe a fuité en même temps que l’autre, le second facteur n’en est plus un.
Le gain principal ne se joue pas sur les attaques ciblées, il se joue sur l’industrie. L’attaque la plus courante contre un compte ordinaire est le bourrage d’identifiants : un robot rejoue des millions de couples adresse et mot de passe issus de fuites anciennes sur des centaines de services. L’opération ne coûte presque rien et réussit chaque fois que le mot de passe a été réutilisé.
Un second facteur, quel qu’il soit, casse cette chaîne. Le robot obtient un mot de passe valide et se heurte à une demande à laquelle il ne peut pas répondre. Il passe au compte suivant. La double authentification transforme donc une attaque de masse gratuite en attaque individuelle coûteuse, qui exige de vous parler, de vous écrire ou de vous piéger.
Elle a aussi une vertu de détection : une demande de code que vous n’avez pas déclenchée signifie qu’un tiers connaît déjà votre mot de passe. C’est un signal à traiter immédiatement, selon la marche à suivre après un mot de passe volé.
Le SMS, l’application à six chiffres et la notification à valider ont un point commun rarement énoncé : le service vous demande une information, et vous la lui donnez. Si ce n’est pas le vrai service qui la demande, elle part chez quelqu’un d’autre.
Le montage s’appelle l’hameçonnage en temps réel, ou attaque de l’intermédiaire. L’attaquant n’essaie plus de collecter des mots de passe pour les rejouer plus tard. Il monte un site relais qui affiche la vraie page du service, transmet vos saisies au fur et à mesure et vous renvoie les réponses. Vous ne voyez aucun décalage, parce que c’est le vrai service qui répond.
La durée de validité du code ne change rien à ce scénario. Trente secondes, c’est très court pour un humain qui devrait décoder l’attaque, et très long pour un script qui rejoue la valeur en quelques millisecondes. C’est le malentendu principal sur le code TOTP : sa rotation protège contre la réutilisation d’un code ancien, jamais contre un relais en direct. Le mécanisme complet du piège est détaillé dans l’anatomie d’un hameçonnage, et notre quiz de reconnaissance d’une arnaque permet de s’entraîner sur des cas réels.
| Second facteur | Rejeu de mots de passe volés | Hameçonnage en temps réel | Détournement du numéro | Perte de l’appareil |
|---|---|---|---|---|
| Code reçu par SMS | Bloqué | Non bloqué | Contourné | Récupérable auprès de l’opérateur |
| Code d’application (TOTP) | Bloqué | Non bloqué | Sans effet | Perdu sans sauvegarde des secrets |
| Notification à valider | Bloqué | Non bloqué, vous validez vous-même | Sans effet | Perdu avec l’appareil |
| Clé physique FIDO2 ou clé d’accès | Bloqué | Bloqué par construction | Sans effet | Bloquant sans seconde clé |
| Codes de secours imprimés | Bloqué | Non bloqué | Sans effet | C’est justement la sortie de secours |
La colonne qui départage tout est la deuxième. Les trois premiers facteurs se valent : ils sont bons contre l’attaque de masse, inopérants contre le faux site. Le quatrième change de catégorie, pour une raison technique précise.
Le SMS a une faiblesse supplémentaire, qui ne dépend ni de vous ni de votre appareil. Votre numéro n’est pas gravé dans le téléphone : c’est une ligne chez un opérateur, et une ligne se transfère. L’escroc rassemble des informations personnelles, souvent issues d’une fuite de données, se présente comme vous et obtient une carte SIM de remplacement, un profil eSIM ou une portabilité vers un autre opérateur. Dès l’activation, vos SMS arrivent chez lui.
Le signe d’alerte est simple et souvent ignoré : votre téléphone perd le réseau sans raison et reste sur « pas de service » alors que les autres lignes du foyer fonctionnent. Le réflexe est d’appeler l’opérateur depuis une autre ligne, immédiatement, avant de s’occuper des comptes. Le fonctionnement du couple numéro et carte, ainsi que les précautions à l’activation d’un profil, sont décrits dans notre article sur l’eSIM et la carte SIM.
Cette attaque demande du travail et vise donc des comptes qui rapportent : messagerie principale, comptes de cryptoactifs, espaces professionnels. Pour un compte ordinaire, elle reste rare. Pour un compte qui commande les autres, elle est la raison de ne pas s’arrêter au SMS.
Une clé de sécurité FIDO2 ne délivre aucun code. Elle contient une clé cryptographique privée qui ne sort jamais du boîtier, et elle signe un défi envoyé par le site. Le point décisif tient dans ce qui est signé : le navigateur inclut dans les données signées l’origine, c’est-à-dire le nom de domaine réellement affiché dans la barre d’adresse.
Sur un domaine sosie, deux choses se produisent. Le navigateur ne retrouve pas de clé enregistrée pour ce domaine, donc il ne propose rien. Et si l’attaquant force une nouvelle inscription, la signature obtenue vaut pour son domaine à lui, pas pour le vrai service : elle est inutilisable pour se connecter au compte visé. La protection ne repose donc pas sur votre vigilance mais sur une vérification faite par la machine, qui, elle, ne confond jamais deux orthographes voisines. Savoir lire un nom de domaine reste utile par ailleurs, comme le montre notre article sur la lecture d’une URL.
Ce mécanisme n’est pas réservé au matériel. Il est repris à l’identique par les clés d’accès, qui déplacent la clé privée dans le téléphone ou l’ordinateur : voir comment fonctionnent les clés d’accès. Une clé physique coûte quelques dizaines d’euros en 2026, se garde des années et sert sur un nombre illimité de comptes. Le budget raisonnable est de deux clés : une sur le trousseau, une rangée au domicile.
À partir du moment où le second facteur exige un geste humain, l’attaque se déplace vers l’humain. Deux formes dominent.
La fatigue de validation d’abord : l’attaquant, qui possède déjà le mot de passe, déclenche des dizaines de notifications d’affilée, souvent la nuit. La cible finit par appuyer sur « autoriser » pour que cela s’arrête. La parade côté service consiste à afficher un nombre à recopier, ce qui rend la validation impossible sans avoir l’écran de connexion sous les yeux. Côté utilisateur, une notification non sollicitée se refuse, et le mot de passe se change dans la foulée.
Le faux conseiller ensuite. C’est le scénario du début de cet article, et de loin le plus rentable, parce qu’il obtient tout : le code, la validation dans l’application bancaire, parfois l’ajout d’un nouveau bénéficiaire. Le déroulé complet et les points de rupture sont décrits dans l’arnaque au faux conseiller bancaire. La règle du canal indépendant vaut ici sans exception : on ne poursuit jamais un échange entamé par un appel entrant, on rappelle soi-même un numéro connu.
Pour les paiements en ligne, la validation dans l’application bancaire relève de l’authentification forte imposée par la réglementation européenne, avec une obligation supplémentaire : l’écran doit afficher le montant et le bénéficiaire, et la validation ne vaut que pour cette opération précise. Notre article sur l’authentification forte des paiements détaille ce lien dynamique et ses ratés.
Un compte n’est jamais mieux protégé que sa procédure de secours. Vous pouvez poser une clé FIDO2 sur votre réseau social : si le service accepte de réinitialiser l’accès sur simple lien envoyé à une adresse de messagerie protégée par un mot de passe seul, l’attaquant passera par là.
La hiérarchie utile est donc inversée par rapport à l’intuition. On sécurise d’abord la messagerie qui reçoit les réinitialisations, ensuite les comptes qu’elle commande. C’est aussi ce qui rend la récupération d’un compte de réseau social si pénible quand la messagerie associée a été perdue de vue, situation détaillée dans notre article sur les comptes piratés ou usurpés.
Les codes de secours méritent un traitement sérieux : ce sont des mots de passe à usage unique qui contournent tout le dispositif. Imprimés et rangés avec les papiers importants, ils sont à leur place. Collés dans une note du téléphone, ils annulent le bénéfice de la clé.
Un mot sur l’endroit où loger les codes TOTP. Les stocker dans le même gestionnaire que les mots de passe est pratique et acceptable pour la plupart des comptes, mais cela ramène les deux facteurs dans un même coffre : pour la messagerie et la banque, la rédaction recommande de séparer, avec une application dédiée ou une clé matérielle. Le sujet du coffre et de son chiffrement est traité dans notre article sur les gestionnaires de mots de passe.
Devant l’écran de réglages d’un compte, ne vous demandez pas si la double authentification est activée. Demandez-vous ce que le service vous demandera au moment de vous connecter. Si c’est une information à recopier, chiffres, lettres ou bouton à presser, quelqu’un peut vous la réclamer et vous pouvez la donner. Si c’est un geste sur un objet que vous détenez, et que la vérification du domaine est faite par la machine, il n’y a plus rien à réclamer. Toute la différence est là.
Nettement mieux que rien. Elle arrête le rejeu automatisé de mots de passe issus de fuites, qui constitue l’attaque la plus courante contre un compte ordinaire, et elle vous prévient quand quelqu’un connaît déjà votre mot de passe. Ses deux faiblesses sont l’hameçonnage en temps réel et l’échange frauduleux de carte SIM. Si le service ne propose que le SMS, activez le SMS. S’il propose une application ou une clé, préférez-les, et gardez le SMS uniquement en secours.
Non, l’effort doit suivre l’enjeu. Trois comptes la méritent sans discussion : la messagerie principale, qui commande la réinitialisation de tout le reste, le gestionnaire de mots de passe, et l’espace bancaire. Viennent ensuite les comptes fiscaux et sociaux, les réseaux sociaux liés à votre identité professionnelle et les boutiques qui conservent une carte enregistrée. Sur un forum sans données ni paiement, un mot de passe unique généré par un gestionnaire suffit.
Tout dépend de ce que vous avez préparé avant. Les codes de secours imprimés au moment de l’activation permettent de reprendre la main sur n’importe quel appareil. Une seconde clé physique rangée ailleurs joue le même rôle. Sans l’un ni l’autre, il reste la procédure de récupération du service, qui demande souvent une pièce d’identité et prend de quelques jours à plusieurs semaines. Préparez la sortie de secours le jour de l’activation, jamais après.
Contre le rejeu de mots de passe volés, oui, les deux valent la même chose. Contre l’hameçonnage, non : le code de l’application se recopie, la signature de la clé ne se recopie pas. L’écart se joue uniquement sur ce point, mais c’est le point qui décide de l’issue d’une attaque ciblée. Pour les comptes qui commandent votre identité en ligne, la clé physique ou la clé d’accès change de catégorie de protection.
Non, dans aucun cas. Aucune banque, aucun opérateur, aucune administration ne demande un code de validation par téléphone, par message ou par courriel. Le message qui transporte le code le rappelle presque toujours. Un interlocuteur qui insiste, qui invoque l’urgence ou qui prétend annuler une opération frauduleuse est un escroc. Raccrochez, puis rappelez le numéro figurant au dos de votre carte bancaire, jamais celui qui s’est affiché à l’écran.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Mots de passe, arnaques, fuites de données et réflexes qui changent vraiment quelque chose.