Cinq piliers pour une vérification d’identité résiliente

La recrudescence des attaques basées sur l’usurpation d’identité et l’ingénierie sociale (en hausse de 160 % en 2025) impose une modernisation des systèmes d’authentification. L’efficacité repose désormais sur une vérification multi-niveaux intégrant le contexte de l’utilisateur et de son appareil.

Points clés :

• Vulnérabilités exploitées : Les attaquants utilisent l’IA pour générer des deepfakes audio, réaliser des attaques de type SIM swapping, prompt bombing ou exploiter les processus de réinitialisation de mot de passe via le support technique.
• Limites des méthodes actuelles : La dépendance aux codes SMS/e-mail et aux facteurs de connaissance (mots de passe) est devenue insuffisante face aux techniques modernes d’hameçonnage.
• Stratégie de défense : La sécurité ne doit plus se limiter à l’identité, mais intégrer la confiance accordée au terminal et l’intégrité des processus de support.

Recommandations de sécurité :

1. Privilégier l’authentification résistante au phishing : Abandonner les OTP (SMS/e-mail) au profit des clés de sécurité FIDO2, des passkeys ou de l’authentification basée sur les certificats.
2. Sécuriser le centre d’assistance (Helpdesk) : Imposer une vérification d’identité stricte (scanning de documents officiels, détection de vitalité biométrique) avant toute action sensible comme une réinitialisation de mot de passe.
3. Intégrer la confiance du terminal : Évaluer l’état de santé du dispositif (OS patché, présence d’EDR, absence de jailbreak) avant d’autoriser l’accès aux ressources critiques.
4. Adopter les passkeys : Utiliser la cryptographie à clé publique pour supprimer la transmission des mots de passe sur le réseau et neutraliser le vol d’identifiants.
5. Protéger les données biométriques : Ne jamais stocker de données biométriques brutes. Privilégier le stockage de modèles chiffrés et effectuer la vérification en local sur l’appareil de l’utilisateur.

Note : Bien que l’article mentionne des risques critiques, aucune CVE spécifique n’est citée, car les menaces décrites relèvent de l’exploitation de processus et de l’ingénierie sociale plutôt que de vulnérabilités logicielles identifiées par des identifiants CVE.

Source