Une employée reçoit un courriel qui semble annoncer le partage d’un document. Elle ouvre le lien, arrive sur une page familière et entre son mot de passe Microsoft 365. Pourtant, la page appartient à un fraudeur. Sans protection supplémentaire, ce dernier pourrait accéder à ses courriels, à ses fichiers et aux échanges avec vos clients.
L’authentification multifacteur, souvent appelée MFA, réduit ce risque en ajoutant une preuve d’identité à la connexion. Mais toutes les méthodes ne protègent pas de la même façon. Pour une PME sans équipe informatique interne, l’essentiel est de choisir une protection adaptée, de bien la configurer et d’expliquer aux employés quoi faire devant une demande inhabituelle.
Pourquoi le mot de passe ne suffit plus
Un bon mot de passe demeure nécessaire lorsqu’un compte en utilise un. Il doit être unique et difficile à deviner. Le problème, c’est qu’un mot de passe peut être volé même s’il est long. Une fausse page de connexion peut simplement demander à votre employé de le fournir.
Trois situations expliquent pourquoi une protection supplémentaire est utile :
- La réutilisation : un mot de passe divulgué sur un autre site est essayé sur le compte professionnel.
- L’hameçonnage : un message conduit vers une fausse page Microsoft 365 qui recueille les renseignements de connexion.
- Les essais de mots de passe courants : le fraudeur essaie quelques mots de passe populaires sur plusieurs comptes. Cette technique est appelée password spraying.
Un gestionnaire de mots de passe aide à créer et à conserver des mots de passe distincts. La MFA ajoute une autre barrière : connaître le mot de passe ne suffit généralement plus pour entrer. Cette protection doit toutefois couvrir l’ensemble des utilisateurs, y compris les comptes rarement utilisés.
Comprendre les méthodes et choisir les plus solides
La MFA demande des preuves provenant de catégories différentes, comme un mot de passe que vous connaissez et un appareil que vous possédez. Certaines méthodes sans mot de passe combinent la possession d’un appareil avec son déverrouillage par un NIP ou une donnée biométrique.
Voici les principales options, des moins solides aux plus résistantes à l’hameçonnage :
- Texto ou appel : mieux que le mot de passe seul, mais les plus faibles parmi ces options. Un code peut être soutiré sur une fausse page, et un numéro de téléphone peut être détourné.
- Microsoft Authenticator avec correspondance de nombres : vous entrez dans l’application le nombre affiché pendant la connexion. Microsoft a imposé cette correspondance pour les notifications d’approbation, ce qui réduit les approbations machinales.
- Méthodes résistantes à l’hameçonnage : les clés d’accès, aussi appelées passkeys, notamment celles dans Microsoft Authenticator, les clés de sécurité FIDO2 et Windows Hello Entreprise offrent une protection plus forte lorsqu’elles sont correctement déployées.
Une clé FIDO2 est un dispositif physique utilisé pour prouver votre identité. Windows Hello Entreprise permet une connexion liée à un appareil configuré par l’entreprise. Attention : une notification Authenticator et une clé d’accès dans Authenticator sont deux méthodes différentes. Le nom de l’application ne suffit pas pour déterminer le niveau de protection.
Comment une fausse page peut contourner certaines MFA
Certains outils d’hameçonnage servent d’intermédiaires entre vous et le véritable service Microsoft. Ils transmettent votre mot de passe et votre validation MFA pendant que vous vous connectez. On parle d’une attaque par adversaire au milieu, ou AiTM.
Après une connexion réussie, le service remet au navigateur un jeton de session : une preuve temporaire que vous êtes déjà connecté. L’intermédiaire malveillant peut voler cette preuve et tenter de la réutiliser. Voilà pourquoi un code reçu par texto ou une correspondance de nombres ne bloque pas nécessairement cette attaque.
Les méthodes résistantes à l’hameçonnage lient la preuve de connexion au véritable service. Une fausse adresse ne peut pas obtenir une preuve valable pour Microsoft de la même manière. Elles bloquent ainsi le mécanisme de ces pages intermédiaires. Elles ne rendent toutefois pas un ordinateur infecté inoffensif : la protection des appareils demeure nécessaire.
Refuser les demandes inattendues et signaler rapidement
La fatigue MFA consiste à multiplier les demandes d’approbation jusqu’à ce qu’une personne accepte par distraction ou pour faire cesser les notifications. La correspondance de nombres réduit ce risque, mais elle ne remplace pas une règle simple : n’approuvez jamais une connexion que vous n’avez pas commencée.
Si votre cellulaire affiche une demande inattendue, refusez-la. Ne communiquez aucun code à une personne qui appelle en prétendant faire du soutien informatique. Joignez votre fournisseur par ses coordonnées habituelles, sans utiliser celles contenues dans le message suspect.
Pour les courriels, prenez l’habitude de vérifier :
- l’adresse complète de l’expéditeur, au-delà du nom affiché;
- la destination du lien, surtout avant d’entrer un mot de passe;
- le contexte : attendiez-vous réellement ce document ou cette demande?
Utilisez la fonction de signalement d’hameçonnage d’Outlook si elle est disponible et configurée, puis suivez la procédure interne pour prévenir le soutien. Si vous avez approuvé une demande ou entré votre mot de passe, dites-le immédiatement. Le soutien pourra notamment révoquer les sessions et vérifier le compte. Notre article sur la sécurité des courriels en 2026 complète ces habitudes.
Choisir entre les paramètres de sécurité par défaut et l’accès conditionnel
Les paramètres de sécurité par défaut de Microsoft offrent une protection de base, notamment autour de l’inscription à la MFA et du blocage des anciennes méthodes de connexion. Ils conviennent à un environnement simple, mais offrent peu de personnalisation.
L’accès conditionnel permet plutôt d’établir des règles selon la personne, l’appareil ou le contexte de connexion. Il nécessite Microsoft Entra ID P1, inclus dans Microsoft 365 Business Premium, pour les utilisateurs concernés. Ces deux approches sont des choix de configuration distincts, à évaluer avec votre fournisseur.
Les règles à examiner comprennent :
- exiger la MFA pour tous les utilisateurs;
- bloquer l’authentification héritée, soit les anciennes façons de se connecter qui ne prennent pas en charge les protections modernes;
- imposer des méthodes résistantes à l’hameçonnage aux administrateurs;
- exiger des appareils conformes aux exigences de sécurité définies par l’entreprise;
- bloquer les connexions provenant de pays où vous n’exercez aucune activité, lorsque cela convient à vos opérations.
La conformité des appareils exige aussi leur gestion et leur configuration. Le filtrage géographique reste une barrière complémentaire : un fraudeur peut masquer son emplacement. Prévoyez les déplacements des employés et vérifiez les effets des règles avant de les appliquer.
Prévoir un accès d’urgence sans ouvrir une porte facile
Un problème de configuration ou la perte d’un appareil ne devrait pas vous empêcher de reprendre le contrôle de votre environnement. Un compte administrateur d’urgence, parfois appelé break-glass, sert à rétablir l’accès lorsque les moyens habituels échouent.
Ce compte doit rester réservé aux urgences. Ses moyens d’authentification doivent être conservés de façon sécuritaire, avec une procédure connue des personnes autorisées. Chaque utilisation devrait déclencher une alerte et faire l’objet d’une vérification. Testez périodiquement l’accès et documentez les étapes.
Microsoft impose la MFA pour la connexion à ses portails d’administration. Il ne faut donc pas concevoir le compte d’urgence comme un simple compte sans MFA. Votre fournisseur doit prévoir une méthode forte et indépendante des moyens habituels, puis définir soigneusement les éventuelles exclusions aux règles d’accès conditionnel.
Déployer progressivement dans une petite entreprise
Une mise en place réussie commence par une explication claire. Présentez le changement, montrez une demande légitime et indiquez où obtenir de l’aide. Prévoyez aussi les personnes sans cellulaire professionnel, les appareils partagés et la perte d’un moyen d’authentification.
- Faire l’inventaire : identifier les utilisateurs, les administrateurs et les applications qui utilisent encore une ancienne connexion.
- Inscrire les méthodes : accompagner chaque personne et prévoir un moyen de récupération sécuritaire.
- Commencer par les administrateurs et les finances : vérifier les connexions et corriger les difficultés avant d’élargir le déploiement.
- Étendre à toute l’équipe : appliquer les règles et retirer les exceptions temporaires devenues inutiles.
- Revoir la configuration : vérifier les accès lors des départs, des changements d’appareil et des révisions périodiques.
Le bon objectif est une protection que votre équipe comprend et peut utiliser au quotidien. Des méthodes solides, des règles cohérentes et un signalement rapide réduisent les occasions de compromettre un compte.
Pour faire le point sur votre environnement Microsoft 365, découvrez les services informatiques gérés d’Evolute T.I. ou communiquez avec nous pour discuter de vos besoins.
