Le téléphone affiche une demande de connexion que vous n’avez pas lancée. Puis une deuxième. À la dixième, appuyer sur « approuver » peut sembler le moyen le plus rapide de faire cesser les notifications. C’est précisément le geste à éviter : une notification MFA ne devient pas légitime parce qu’elle insiste.
La deuxième étape ne doit pas être validée seule
L’authentification multifacteur demande plusieurs éléments pour ouvrir une session. Une notification d’approbation est censée correspondre à une connexion que vous reconnaissez. Si vous n’avez rien initié, le simple fait de recevoir la demande ne prouve pas que le service a besoin de votre confirmation.
Une avalanche de demandes peut accompagner une tentative d’accès à un compte. Elle peut aussi venir d’une configuration ou d’une session qui se comporte mal. Le diagnostic doit être fait par le chemin habituel, sans approuver une demande inconnue pour tester ce qui se passe.
Refuser, puis retrouver un canal fiable
Ne validez pas la notification. Si l’application propose un refus ou un signalement, utilisez cette fonction selon les consignes de votre organisation. Contactez ensuite le support par un numéro, une application ou une adresse déjà connus, plutôt que par des coordonnées contenues dans un message reçu au même moment.
Un interlocuteur qui vous demande de confirmer « juste pour arrêter l’attaque » ne donne pas une raison suffisante. L’approbation ouvre potentiellement la session attendue par l’autre personne. Le support doit pouvoir expliquer une procédure qui n’exige pas de valider une connexion inconnue.
L’urgence affichée ne remplace pas l’identification de l’action.
Depuis un appareil et un accès de confiance, consultez les informations de sécurité disponibles. Notez l’heure des demandes, le service concerné et ce que vous aviez réellement lancé. Ces éléments aideront le support à distinguer une tentative externe d’un problème interne, sans vous demander de partager les codes reçus.
Une validation accidentelle exige une réponse rapide
Si une demande inconnue a été approuvée, prévenez immédiatement le responsable du compte ou le support. L’entreprise pourra examiner les sessions, révoquer celles qui doivent l’être et vérifier les changements effectués. Modifier un mot de passe ne doit pas être supposé suffisant pour fermer toutes les sessions ou retirer toutes les connexions existantes : cela dépend du service.
La réaction doit tenir compte des privilèges du compte. Un administrateur, un utilisateur ordinaire et une boîte de réception partagée ne présentent pas le même périmètre. Décrivez aussi les applications auxquelles le compte donne accès, afin que l’enquête ne se limite pas au premier écran de connexion.
Notre guide sur les passkeys et la préparation d’un changement de téléphone aborde une autre façon d’organiser les accès. Les mécanismes ne se valent pas tous face aux mêmes tentatives ; le choix doit tenir compte des fonctions du service et des possibilités de récupération.
Réduire les approbations ambiguës
Une organisation peut privilégier des méthodes qui lient plus clairement la confirmation à la connexion, par exemple lorsque le service propose une correspondance de nombres, ou adopter des méthodes plus résistantes au phishing adaptées à son environnement. Il faut vérifier les options réellement disponibles, puis accompagner les utilisateurs.
La consigne doit rester courte : une demande non initiée ne s’approuve pas ; elle se signale. Ajoutez un canal de contact facile à retrouver sans ouvrir la notification suspecte. La meilleure règle de sécurité des comptes devient inutile si le collaborateur ne sait pas qui joindre pendant que son téléphone vibre sans arrêt.
