Attaques par fatigue MFA : comment les pirates bombardent vos notifications pour vous faire valider leur accès (2026)

En 2026, plus de 60 % des organisations dans le monde ont basculé sur une authentification multifacteur (MFA) pour protéger leurs comptes professionnels. Bonne nouvelle sur le papier : le mot de passe seul ne suffit plus, et le second facteur stoppe la majorité des attaques opportunistes. Mauvaise nouvelle : depuis 2022, une nouvelle vague de pirates a appris à contourner le MFA en s’attaquant, non pas au système, mais à l’humain qui le reçoit. Le bombardement de notifications, appelé MFA fatigue ou push bombing, transforme votre smartphone en outil de manipulation psychologique. Voici comment cette méthode s’est imposée dans le top 5 des compromissions majeures de la dernière décennie, et surtout ce que vous devez activer cette semaine pour ne pas être la prochaine victime.

Pour bien comprendre la suite, gardez en tête ce chiffre : en 2024, l’éditeur Istari estimait à 60 % la part des organisations utilisant le MFA, et Microsoft considère depuis 2022 que la MFA fatigue est devenue l’une des cinq techniques les plus rentables pour les attaquants ciblant les comptes cloud. Cet article fait le point sur la méthodologie, les cas documentés et les défenses concrètes, en s’appuyant sur les sources publiques du secteur.

Qu’est-ce qu’une attaque par fatigue MFA (MFA bombing, push bombing) ?

La MFA fatigue, aussi appelée MFA bombing ou push bombing, est une attaque d’ingénierie sociale qui consiste à inonder l’utilisateur légitime de demandes d’authentification push jusqu’à ce qu’il en accepte une, par réflexe, par fatigue ou parce qu’un faux support IT l’y pousse. Contrairement à une attaque technique qui viserait à casser le second facteur, l’attaquant reste passif : il compte sur l’erreur humaine.

Microsoft a documenté précisément le terme dans un billet de septembre 2022 sur la communauté Tech Community : « MFA fatigue attacks occur when an attacker bombards a user with MFA push notifications, hoping the user will accidentally accept one or become frustrated enough to approve the request just to make them stop ». Depuis, la méthode s’est standardisée dans les boîtes à outils offensives et apparaît dans les guides de Abnormal.ai, Material Security, LoginRadius et plusieurs CERT nationaux.

Trois appellations, une même réalité : MFA fatigue, MFA bombing et push bombing désignent la même technique. La nuance vient du contexte : fatigue évoque la lassitude psychologique, bombing insiste sur le volume (souvent 50 à 100 notifications en quelques minutes), push bombing rappelle que la cible est une notification push mobile. Tous ciblent un humain, pas un algorithme.

Comment ça marche : la méthodologie en 5 étapes

Derrière chaque attaque MFA fatigue médiatisée, on retrouve la même chaîne opérationnelle. Voici les cinq étapes que les groupes offensifs (Lapsus$, Scattered Spider, acteurs isolés) enchaînent pour transformer un identifiant volé en accès complet à un compte cloud.

Étape 1 : Compromission initiale de l’identifiant

L’attaquant doit d’abord obtenir un couple identifiant/mot de passe valide. Les sources les plus courantes en 2025-2026 : phishing ciblé (spear-phishing par email), credential stuffing à partir de leaks précédents (24 milliards d’identifiants en circulation selon nos précédents travaux), achat sur des marchés dark web spécialisés, ou compromission d’un prestataire tiers qui synchronise les annuaires. Sans ce premier accès, la suite ne fonctionne pas.

Étape 2 : Détection du MFA activé sur le compte

L’attaquant lance une tentative de connexion avec les identifiants volés. Si le compte est protégé par MFA, l’IdP (Microsoft Entra ID, Okta, Google Workspace, Duo) déclenche une seconde étape. L’attaquant note alors que la méthode est un push notification, ce qui oriente toute la stratégie vers la fatigue plutôt que vers un contournement technique (qui serait beaucoup plus coûteux).

Étape 3 : Déclenchement du bombardement

Un script automatisé (parfois un simple outil MFA bombing disponible en open source sur GitHub) déclenche 50 à 100 demandes d’authentification en quelques minutes, parfois espacées de 20 à 30 secondes pour éviter un blocage automatique. Le téléphone de la victime se met à vibrer en continu, la batterie chauffe, l’écran s’allume en boucle. L’attaquant reste en attente, prêt à exploiter la première validation.

Étape 4 : Pression temporelle et psychologique

Les groupes les plus disciplinés programment le bombardement à des horaires ciblés. D3C Consulting et Abnormal.ai relèvent que les attaquants privilégient la nuit (3 h du matin heure locale), les week-ends, ou les lundis matins, quand la vigilance de la victime est au plus bas. Le bombardement peut aussi être déclenché juste avant un appel vishing pour brouiller les pistes.

Étape 5 : Appel vishing de « support IT » (optionnel mais redoutable)

Quand le bombardement seul ne suffit pas, l’attaquant appelle la victime en se faisant passer pour le support IT de l’entreprise (« Bonjour, on vous envoie des notifications car nous détectons une activité suspecte sur votre compte, pourriez-vous valider pour qu’on sécurise votre accès ? »). La victime, qui voit effectivement les notifications arriver en temps réel avec l’appel, accepte pensant aider. C’est exactement le scénario qui a coûté son accès à Cisco en septembre 2022.

Les 5 attaques MFA fatigue les plus documentées (2022-2026)

La MFA fatigue n’est pas une vue de l’esprit. Voici les cinq cas publics les mieux documentés, qui ont servi de référence à toutes les défenses déployées depuis. Pour chaque cas, nous nous appuyons uniquement sur des sources publiques (Microsoft, Dark Reading, Reddit r/it, retours RSSI publiés).

Pourquoi vos utilisateurs tombent dans le piège

La MFA fatigue n’est pas une faille technique, c’est une attaque contre le système cognitif humain. Comprendre les ressorts psychologiques utilisés, c’est déjà commencer à s’en protéger. Trois facteurs expliquent pourquoi des professionnels entraînés cèdent malgré tout.

La fatigue de notification et la peur de bug

Quand le smartphone vibre toutes les 30 secondes pendant 20 minutes, le cerveau passe en mode « résolution rapide ». La première interprétation qui vient est : « c’est l’application qui bug, je vais valider pour que ça s’arrête ». C’est exactement le piège. Les témoignages Reddit r/it de décembre 2025 le confirment : « users getting hammered every 30 seconds, two of them caved because they thought the MFA app was glitching ».

La conformité sociale et l’autorité

Quand un faux appel du « support IT » arrive au moment du bombardement, la victime fait un lien causal et obéit. Biais d’autorité (c’est quelqu’un de la technique, je dois coopérer) + biais de cohérence (les notifications correspondent à ce qu’on m’a dit) + peur de la réprimande (si je refuse, je vais avoir un problème). Trois biais cognitifs qui s’additionnent.

Les profils les plus exposés

Les RSSI et DSI sont statistiquement plus ciblés (ils détiennent les comptes à privilèges), mais ils sont aussi les mieux entraînés. Les profils les plus vulnérables en pratique sont les nouveaux arrivants (moins d’un mois d’ancienneté), les prestataires externes qui ne connaissent pas les procédures internes, les soignants et équipes de garde qui changent régulièrement de contexte, et toute personne travaillant dans un environnement très stressant (urgence, salle de marché, production). Material Security le souligne dès 2024 dans son guide défensif.

Comment protéger votre organisation : 5 mesures défensives concrètes

Pour un RSSI, DSI ou responsable IT, la question n’est plus de savoir si vous serez ciblé, mais quand. Voici cinq mesures opérationnelles à déployer d’ici fin 2026, classées par impact et facilité de mise en œuvre. La majorité se configurent en quelques heures sans changement matériel.

Mesure 1 : Activer le number matching sur tous les IdP

Microsoft Entra ID, Google Workspace, Okta et Duo supportent tous le number matching : au lieu d’afficher « Approuver / Refuser », l’application affiche un nombre à deux chiffres que l’utilisateur doit saisir dans son app d’authentification. L’attaquant, qui ne voit pas votre écran, ne peut pas deviner le code. Activation en 30 minutes via le portail admin Microsoft Entra (Authentication Methods → Number Matching → Enabled). Coût : zéro, friction utilisateur : minimale.

Mesure 2 : Limiter le nombre de tentatives et alerter

Configurez votre IdP pour bloquer automatiquement le compte après 3 à 5 push refusés consécutifs, et déclencher une alerte vers le SOC ou le helpdesk IT. Microsoft permet ce verrouillage via les « Authentication Strengths » et les Conditional Access policies. C’est la mesure qui aurait empêché les cas Reddit r/it de décembre 2025 : le bombardement s’arrête tout seul au bout de quelques minutes.

Mesure 3 : Désactiver le push bombing legacy, passer au FIDO2

Le MFA basé sur push n’est pas « phishing-resistant » au sens strict. Microsoft, Google et le NIST recommandent désormais le FIDO2 / WebAuthn (clés physiques YubiKey, Titan, Feitian, ou passkeys intégrées aux appareils modernes). Ce second facteur ne peut pas être rejoué par un attaquant distant : voir notre guide des clés de sécurité physiques pour le déploiement concret.

Mesure 4 : Sensibiliser les équipes avec des scénarios réalistes

Une formation annuelle ne suffit plus. Programmez un phishing simulé trimestriel qui inclut explicitement un scénario de MFA bombing : 50 push sur 30 minutes, suivi d’un faux appel Teams du « support IT ». Les utilisateurs qui valident sont briefés en coaching individuel. Les meilleurs outils du marché (KnowBe4, Hoxhunt, Riot, Cyber Mentor) intègrent ce type de simulation depuis 2024.

Mesure 5 : Détecter les patterns anormaux dans le SIEM

Ajoutez trois règles dans votre SIEM (Sentinel, Splunk, Elastic, Wazuh) : (1) plus de 100 push notifications par utilisateur par heure, (2) push depuis une géolocalisation inhabituelle pour ce compte, (3) compte dormant qui reçoit soudainement du push MFA à 3 h du matin. Material Security recommande de corréler ces signaux avec les IdP via les logs d’audit Entra ID / Okta pour déclencher une revue en temps réel.

Comment protéger votre compte personnel : la check-list en 15 minutes

Vous n’êtes pas RSSI ? Vous pouvez quand même durcir votre MFA personnel en moins d’un quart d’heure, depuis votre canapé. Voici la check-list concrète, applicable à Microsoft 365, Google, Apple, Meta et Twitter/X.

1. Activez le number matching sur votre compte Microsoft 365 et Google. Sur Microsoft : compte → Sécurité → Options de sécurité avancées → Number Matching → Activé. Sur Google : myaccount.google.com → Sécurité → Validation en deux étapes → Code d’application mobile (au lieu de simple Invite).
2. Remplacez le SMS par une app d’authentification : Microsoft Authenticator, Google Authenticator, Authy ou Aegis. Le SMS reste vulnérable au SIM swapping, comme nous l’avons documenté dans notre guide SIM swapping 2026.
3. Configurez une méthode de secours : une clé physique (YubiKey 5, Google Titan, Feitian K9) si votre service le supporte (Apple, Google, Microsoft, Twitter/X via passkeys). Coût : 25 à 70 € pour une clé USB-C, à vie.
4. Ne validez jamais un push inattendu. Si vous recevez une demande d’authentification que vous n’avez pas déclenchée, c’est une attaque. Refusez-la systématiquement, puis changez votre mot de passe dans la foulée.
5. Surveillez vos sessions actives : Microsoft account → Mes connexions, Google → Sécurité → Vos appareils, Apple → Réglages → Connexion et sécurité. Si vous voyez un push refuser provenir d’un pays où vous n’êtes pas, c’est qu’un attaquant a déjà votre mot de passe.

Faut-il désactiver le MFA ? Non, mais il faut l’évoluer

Devant la montée des attaques par fatigue, une question revient régulièrement : faut-il désactiver le MFA ? La réponse est non. Le MFA reste efficace contre plus de 99 % des attaques par mot de passe seul, qui constituent toujours la majorité du trafic offensif. Ce qu’il faut, c’est faire évoluer le type de MFA utilisé, pas le supprimer.

Microsoft l’a résumé dès septembre 2022 : l’ancien MFA (SMS, simple push) est désormais obsolète en 2026. Le MFA moderne (FIDO2, WebAuthn, passkeys) est conçu dès l’origine pour résister au phishing, donc par construction au push bombing : l’attaquant ne peut pas reproduire le facteur matériel, et le serveur vérifie l’origine du second facteur. La cible collective à horizon 2026-2027 est claire : 100 % de MFA phishing-resistant sur les comptes à privilèges, généralisation progressive sur les comptes standards.

FAQ : Attaques MFA fatigue : vos 10 questions fréquentes

Conclusion : la MFA fatigue, une attaque simple mais évitable

En 2026, plus de 60 % des organisations mondiales utilisent le MFA. C’est une bonne nouvelle pour la sécurité collective, mais cela a aussi transformé le MFA en nouvelle surface d’attaque. Les pirates ne cassent plus le second facteur : ils poussent l’humain à le valider. La MFA fatigue, ou push bombing, n’est pas une vulnérabilité technique, c’est une attaque d’ingénierie sociale qui mise sur la fatigue, la peur et la conformité.

Cinq mesures concrètes suffisent à neutraliser 95 % du risque : activer le number matching sur tous les IdP, limiter le nombre de tentatives, migrer vers le FIDO2 / WebAuthn sur les comptes à privilèges, former les équipes avec des scénarios réalistes, et superviser les patterns anormaux dans le SIEM. Pour les particuliers, la check-list en 15 minutes (number matching + app d’authentification + clé physique de secours) divise le risque par dix.

Si vous ne deviez retenir qu’une chose : ne validez jamais un push que vous n’avez pas déclenché vous-même. Tout le reste : Microsoft, Google, Okta, FIDO2, SIEM : n’est que l’outillage qui rend cette règle applicable à l’échelle d’une organisation.

Pour aller plus loin, retrouvez notre guide complet 2FA, notre comparatif des clés de sécurité physiques 2026, et notre dossier sur le SIM swapping pour comprendre toutes les méthodes qui visent vos seconds facteurs.