OAuth, MFA, QR Codes : quand la confiance humaine et les mécanismes de sécurité deviennent un nouveau défi pour la GRC

Quand l'utilisateur devient l'attaque : pourquoi le MFA ne suffit plus ?

Les récentes cyberattaques ayant touché des organisations françaises, parmi lesquelles la DGFiP, l'Éducation nationale ou encore plusieurs collectivités, rappellent une réalité souvent oubliée : les attaquants ne cherchent plus uniquement à exploiter des vulnérabilités techniques. Ils ciblent désormais les mécanismes de confiance qui entourent les utilisateurs.

Pendant des années, la réponse aux compromissions a semblé relativement claire : renforcer les mots de passe, généraliser le MFA, déployer des solutions de détection et sensibiliser les collaborateurs. Ces mesures restent indispensables. Pourtant, malgré leur généralisation, les compromissions continuent de se multiplier.

Pourquoi ? Parce que l'objectif de l'attaquant a évolué.

Aujourd'hui, il n'est plus toujours nécessaire de contourner les mécanismes de sécurité. Il suffit parfois de convaincre un utilisateur légitime d'effectuer lui-même l'action recherchée.

Le MFA protège l'identité, pas nécessairement la décision

Le MFA reste l'un des contrôles les plus efficaces pour réduire le risque de compromission des comptes.

Mais il répond principalement à une question :

L'utilisateur est-il bien celui qu'il prétend être ?

Les attaques modernes en posent une autre :

Comprend-il réellement ce qu'il est en train d'autoriser ?

Les campagnes d'ingénierie sociale modernes exploitent de plus en plus :

• les demandes d'approbation MFA ;
• les QR Codes ;
• les mécanismes de consentement applicatif ;
• les connexions entre plusieurs appareils ;
• les parcours d'authentification complexes.

Dans ces scénarios, l'utilisateur n'est pas amené à contourner la sécurité. Il l'utilise normalement, mais dans un contexte manipulé par l'attaquant.

Une tendance déjà identifiée par les standards de sécurité

Deux RFC publiées récemment par l'IETF illustrent parfaitement cette évolution.

La RFC 10017, consacrée aux applications web utilisant OAuth 2.0, explique que la protection des tokens et des mécanismes d'authentification ne suffit plus lorsque l'attaquant parvient à agir dans le contexte de confiance de l'utilisateur. Une fois ce contexte compromis, l'attaquant peut parfois obtenir ou utiliser des autorisations légitimes sans avoir à casser le protocole lui-même. [rfc-editor.org]

La RFC 10027 s'intéresse quant à elle aux flux d'authentification entre plusieurs appareils : QR Codes, Device Flow, notifications de validation ou transferts de session. Le document met en évidence des scénarios où l'utilisateur est amené à autoriser lui-même une action initiée par l'attaquant, sans qu'une vulnérabilité technique ne soit nécessaire. [rfc-editor.org], [auth48-tra...editor.org]

Le point commun entre ces deux RFC est particulièrement intéressant :

La surface d'attaque se déplace progressivement du protocole vers la prise de décision humaine. [rfc-editor.org], [rfc-editor.org]

Autrement dit, la question n'est plus uniquement de savoir si les mécanismes techniques sont robustes, mais également si l'utilisateur dispose du contexte nécessaire pour prendre la bonne décision.

Le véritable enjeu : la confiance

Bien entendu, il serait imprudent d'attribuer les récentes attaques visant la DGFiP, l'Éducation nationale ou d'autres organismes publics à un vecteur précis sans disposer des conclusions détaillées des enquêtes.

En revanche, ces incidents traduisent une tendance observable dans l'ensemble du paysage cyber : les attaquants exploitent de plus en plus les identités, les usages et les mécanismes de confiance.

Les campagnes de phishing évoluent. Les scénarios de compromission de comptes évoluent. Les attaques liées aux identités évoluent.

Et les mécanismes autrefois considérés comme des contrôles de sécurité deviennent eux-mêmes des cibles :

• approbation MFA ;
• consentement OAuth ;
• QR Codes ;
• connexions cross-device ;
• parcours de connexion délégués.

Ce n'est plus uniquement une question de technologie. C'est une question de confiance.

Une évolution naturelle de la gestion des risques

Pour les équipes GRC, cette évolution ne remet pas en cause les fondamentaux de l'analyse des risques. Elle rappelle surtout qu'une analyse de risques doit rester vivante et évoluer au même rythme que les menaces.

Les référentiels tels que l'ISO 27001 invitent justement les organisations à comprendre leur contexte, identifier les risques susceptibles d'affecter leurs activités et réévaluer régulièrement leurs hypothèses de menace.

Hier, les analyses étaient largement centrées sur :

• les mots de passe ;
• les vulnérabilités techniques ;
• les malwares ;
• les compromissions de postes de travail.

Aujourd'hui, de nouveaux scénarios méritent davantage d'attention :

• les abus de mécanismes de consentement ;
• les attaques ciblant les parcours d'authentification ;
• les risques liés aux flux OAuth ;
• les QR Codes malveillants ;
• les détournements de flux entre appareils ;
• les scénarios d'ingénierie sociale reposant sur l'identité numérique.

L'enjeu n'est pas de réinventer la gestion des risques, mais d'enrichir l'analyse à la lumière des menaces actuelles.

Ce que Nomios peut apporter

Face à cette évolution, l'approche ne peut pas être uniquement technique.

La question n'est plus simplement :

Le MFA est-il activé ?

Mais également :

Que se passe-t-il lorsqu'un utilisateur légitime est amené à prendre une mauvaise décision dans un contexte de confiance ?

C'est précisément là qu'une approche combinant gouvernance, gestion des risques, conformité et expertise technique prend tout son sens.

Chez Nomios, cela peut notamment se traduire par :

• l'accompagnement des organisations dans l'évolution de leurs analyses de risques ;
• l'identification de nouveaux scénarios liés aux identités numériques et aux mécanismes de confiance ;
• l'intégration de ces menaces dans les démarches ISO 27001, NIS2 ou les référentiels internes ;
• l'évaluation de l'efficacité réelle des mesures existantes ;
• la mise en perspective des risques émergents avec les objectifs métiers ;
• la définition de plans de traitement adaptés aux usages modernes de l'identité numérique.

Cette démarche peut également être complétée par des mesures techniques permettant de réduire les risques liés à l'exploitation des identités :

• le renforcement des mécanismes d'authentification et des politiques MFA ;
• la sécurisation des environnements IAM et des solutions de fédération d'identité ;
• la gouvernance des applications OAuth et le contrôle des consentements ;
• la détection des comportements anormaux et des compromissions de comptes ;
• la protection des postes de travail et des navigateurs face aux tentatives de détournement de session ;
• la mise en œuvre d'approches Zero Trust adaptées aux usages actuels.

L'objectif n'est pas d'ajouter des contrôles pour ajouter des contrôles.

L'objectif est de s'assurer que les risques réellement exploités par les attaquants aujourd'hui sont correctement identifiés, analysés puis couverts par un ensemble cohérent de mesures organisationnelles et techniques.

Lorsque la cible de l'attaquant devient l'utilisateur et sa capacité à prendre une décision, la réponse ne peut être uniquement humaine ou uniquement technique. Elle doit combiner gouvernance, sensibilisation, gestion des identités et capacités de détection.

Les RFC 10017 et 10027 racontent finalement la même histoire. Les attaquants ne cherchent plus uniquement à contourner les mécanismes de sécurité ; ils cherchent parfois à les utiliser à leur avantage. [rfc-editor.org], [rfc-editor.org]

Le MFA reste indispensable. Les solutions de sécurité restent indispensables. Mais elles ne répondent plus seules à l'ensemble des scénarios observés.

Pour les organisations, le défi consiste désormais à comprendre comment les mécanismes de confiance peuvent être détournés. Pour les équipes GRC, cela implique de faire évoluer en permanence les analyses de risques afin d'intégrer ces nouvelles formes de menace.

Car en 2026, la question n'est peut-être plus :

« Comment un attaquant pourrait-il contourner nos contrôles ? »

mais plutôt :

« Comment pourrait-il convaincre un utilisateur légitime de les utiliser pour lui ? »