Double authentification (MFA) : pourquoi l'activer sur tous les comptes de votre PME

Dans beaucoup de PME, un mot de passe volé suffit encore pour lire la messagerie d'un salarié et ouvrir les fichiers partagés. La double authentification (MFA) bloque ce scénario. Sur Microsoft 365, elle est incluse dans l'abonnement.

Comment un mot de passe se fait voler

Il suffit d'une fuite de base de données, d'un mail d'hameçonnage (phishing), d'un mot de passe réutilisé d'un service à l'autre ou trop faible. Avec les identifiants d'un collaborateur, un attaquant accède à sa messagerie, à vos fichiers, parfois à toute votre infrastructure.

Dans la plupart des intrusions, l'attaquant se connecte avec un identifiant valide. Le MFA bloque cette étape : sans le téléphone du salarié, le mot de passe ne suffit pas.

Comment fonctionne le MFA

L'authentification multifacteur ajoute une seconde preuve d'identité au moment de la connexion, en plus du mot de passe. Elle combine deux éléments de natures différentes, parmi :

• Ce que vous savez : votre mot de passe.
• Ce que vous possédez : votre téléphone, qui reçoit une notification ou génère un code temporaire.
• Ce que vous êtes : votre empreinte ou votre visage (biométrie).

En pratique, après son mot de passe, le salarié recopie dans l'application Microsoft Authenticator le nombre affiché à l'écran, ou saisit un code à six chiffres. Cela prend quelques secondes. Un attaquant qui n'a pas le téléphone reste bloqué.

Pourquoi les PME sont particulièrement concernées

Les PME sont visées parce qu'elles ont rarement quelqu'un dédié à la sécurité. Une attaque réussie peut bloquer l'activité plusieurs jours, faire perdre des données clients et coûter cher à réparer.

Le MFA ne résout pas tout, mais il neutralise la voie d'entrée la plus fréquente. C'est aussi de plus en plus une condition exigée par les assureurs cyber et par vos propres clients ou donneurs d'ordre.

Déployer le MFA sans freiner vos équipes

Vos équipes craindront de perdre du temps à chaque connexion. Avec quelques réglages, la demande n'apparaît que de temps en temps :

• Commencer par les comptes les plus sensibles : messagerie, administrateurs, accès à distance.
• Utiliser l'application Microsoft Authenticator : depuis mai 2023, l'utilisateur recopie un nombre affiché à l'écran, ce qui évite de valider par erreur une demande frauduleuse. Pour les comptes administrateurs, préférer une clé de sécurité ou une clé d'accès (passkey).
• Configurer des appareils de confiance pour limiter les demandes répétées au bureau.
• Prévoir dix minutes d'explication avant l'activation : une contrainte comprise est mieux acceptée.

Sur Microsoft 365, le MFA se règle par utilisateur ou par groupe. Avec un gestionnaire de mots de passe comme UpsignOn, chaque compte a son propre mot de passe : une fuite sur un site ne donne plus accès aux autres.

Par où commencer

Commencez par lister les comptes sans MFA : messagerie, comptes administrateurs, accès à distance. L'auto-diagnostic vous aide à faire ce point en deux minutes, ou appelez-nous au 05 25 63 13 05.