MFA Fatigue 2025 : Protégez Vos Comptes par l'Authentification Sans Mot de Passe

Publié par Cindy sur 22 Décembre 2025, 07:20am

Catégories : #Cybersecurité, #sécurité, #sécurité informatique

MFA Fatigue 2025 : Protégez Vos Comptes par l'Authentification Sans Mot de Passe | SafeITExperts

📋 Points Clés 2025 :

🔴 MFA Fatigue : Le hacking par harcèlement qui pousse à l'erreur. Exemple : l'affaire Uber.
🟠 Phishing AiTM : La technique pro qui intercepte tout, même vos codes. Exemple : les kits « EvilProxy ».
🔵 FIDO2 & Passkeys : La fin du phishing ? L'authentification sans mot de passe s'impose.
🟣 SIM-Swap : Le piratage de ligne qui coûte des millions. Les SMS, à bannir.
🟢 MFA : Le B.A.-BA C'est quoi, pour qui, comment ça marche : on vous explique tout.
🟡 Vigilance : Pourquoi il ne faut surtout pas désactiver la MFA.
⚫ Plan 2025 : La checklist ultime pour sécuriser vos comptes critiques.

Préambule

MFA, ça vous parle ? Cet acronyme est partout dans notre monde numérique. Votre application bancaire, votre boîte mail, vos boutiques en ligne, vos accès administratifs... il est là, tapi dans l'ombre, à exiger un code ou une validation. Parfois, il nous agace avec sus notifications incessantes. Mais saviez-vous que cette Multi-Factor Authentication, ce bouclier incontournable, pouvait aussi "fatiguer" ? Et quand elle fatigue, votre sécurité peut vaciller.

1. Introduction

Un paradigme dépassé : La MFA traditionnelle n'est plus un rempart infaillible contre les cyberattaques.
Menaces émergentes : Des techniques comme le MFA bombing (notification fatigue) et le phishing AiTM exploitent ses faiblesses.
Impact réel : Les attaques par « MFA Fatigue » montre une augmentation globale de 2.75x (soit +175%) pour les attaques par rançongiciel en 2024, conduisant à des sanctions lourdes (ex. : T-Mobile, 33M$ d'amende en 2025).
La réponse : Le passage à des standards robustes comme FIDO2 et l'utilisation de Passkeys constituent la nouvelle frontière de l'authentification.
Notre objectif : Vous fournir une analyse claire et des solutions pratiques pour renforcer la sécurité de vos comptes.

2. Les Fondamentaux : La MFA, Un Bouclier Essentielle (Mais Perfectible)

2.1. MFA : Le B.A.-BA - C'est quoi, pour qui, comment ça marche ?

L'authentification multifactorielle (MFA) repose sur un principe simple : exiger plusieurs preuves d'identité distinctes pour accéder à un compte. Ces preuves se répartissent en trois catégories :

Quelque chose que vous connaissez

Un mot de passe, un code PIN.

Quelque chose que vous avez

Votre téléphone (pour recevoir un SMS ou une notification), une clé de sécurité physique.

Quelque chose que vous êtes

Une empreinte digitale, une reconnaissance faciale (biométrie).

Le processus est standardisé : saisie des identifiants → demande d'une seconde preuve → validation → accès accordé. Selon Microsoft, cette méthode bloque plus de 99% des attaques automatisées.

2.2. Une Brève Histoire de la MFA

1984 : Invention des premiers tokens physiques (RSA SecurID)
Années 2000 : Standardisation avec l'initiative OATH (HOTP, TOTP)
Années 2010 : Démocratisation suite aux méga-fuites de données (Yahoo, Adobe)
2020+ : Ère du "sans mot de passe" avec FIDO2/WebAuthn

2.3. Son Utilité au Quotidien : Pour Qui, Pour Quoi ?

2.4. 📊 Où Trouver la MFA ? L'Écosystème 2025

Catégorie	Exemples	Niveau de Sécurité
Web Apps	Google, Microsoft, AWS	Moyen (vulnérable à AiTM)
Mobile Apps	Apps bancaires, Authenticators	Élevé (risque de fatigue)
Hardware	YubiKey, Google Titan	Très élevé (anti-phishing)
Réseaux Sociaux	X (Twitter), Facebook, LinkedIn	Basique (upgrade conseillé)
Entreprises	Salesforce, SAP, VPN d'entreprise	Avancé (policies conditionnelles)
IoT / Émergent	Nest, Ring, voiture connectée	Variable (en développement)

3. Les Attaques Modernes Qui Contournent la MFA Classique

3.1. MFA Fatigue : Le Harcèlement Qui Pousse à l'Erreur

Le MFA bombing exploite la faiblesse humaine plutôt que technologique. L'attaquant, après avoir obtenu vos identifiants (par phishing ou fuite de données), déclenche des dizaines de tentatives de connexion. Votre téléphone reçoit alors une avalanche de notifications "Voulez-vous approuver cette connexion ?". Épuisé ou distrait, vous finissez par appuyer sur "Approuver" pour faire cesser le spam, donnant ainsi accès au pirate.

Statistique

+175% d'attaques en 2024 (Microsoft)

Exemple réel

Attaque contre Uber en 2022 où un employé a cédé à la fatigue

3.2. Phishing AiTM : La Technique Pro Qui Intercepte Tout

L'Adversary-in-the-Middle (AiTM) est un phishing sophistiqué utilisant un proxy invisible. Lorsque vous saisissez vos identifiants sur un faux site, ils sont relayés en temps réel au vrai site. Quand ce dernier demande la MFA, le proxy vous transmet la demande et intercepte votre code ou cookie de session. Le pirate peut ainsi usurper votre session sans jamais posséder vos identifiants.

Kits disponibles

EvilProxy, Tycoon 2FA (Phishing-as-a-Service)

Conséquence

Rend obsolètes les codes SMS et TOTP

3.3. SIM-Swap : Le Piratage de Ligne Qui Coûte des Millions

Le SIM-swap cible spécifiquement la MFA SMS. Le pirate persuade votre opérateur de transférer votre numéro sur sa propre carte SIM. Il intercepte ainsi tous vos codes de validation par SMS, pouvant vider vos comptes bancaires ou usurper votre identité.

Chiffres 2024

26 millions de dollars de pertes aux USA (DeepStrike)

Chiffres 2025

33 millions de dollars (condamnation de T-Mobile, DeepStrike)

Statistique mondiale

+1055% d'attaques non autorisées au Royaume-Uni en 2024 (Cifas)

Exemple récent

Fuite de 850 000 données clients chez Orange Belgique en 2025

3.4. Tableau Récapitulatif des Menaces MFA en 2025

Attaque	Mécanisme	Vulnérabilité	Exemple
MFA Fatigue	Inondation de notifications	Faiblesse humaine	Uber (2022)
Phishing AiTM	Proxy intercepteur	Confiance dans les sites	Kits EvilProxy
SIM-Swap	Portage frauduleux	Dépendance au SMS	Orange Belgique (2025)

3.5. Visualiser les Attaques : Schémas Explicatifs

Comprendre visuellement les différents scénarios d'attaque permet de mieux appréhender les risques. Voici trois diagrammes illustrant respectivement : le processus normal d'authentification, une attaque ciblant un particulier, et une attaque sophistiquée visant une PME.

Légende pour les schémas :

Entité malveillante ou action de l'attaquant

Point de défaillance ou d'action de la victime

Système légitime

3.6. Processus d'Authentification Sécurisé

Processus d'Authentification Sécurisé

Ce diagramme illustre le flux normal d'une authentification MFA sécurisée, sans aucune attaque. Notez les multiples vérifications et la création d'une session sécurisée.

sequenceDiagram participant U as Utilisateur (Légitime) participant N as Navigateur Web participant A as Serveur d'Authentification participant S as Application/Site Web Note over U, S: 🟢 Phase 1 : Initiation de la Connexion (Sécurisée) U->>N: 1. Accède à l'URL officielle N->>S: 2. Requête HTTPS (GET /login) S-->>N: 3. Renvoie le formulaire de login N-->>U: 4. Affiche la page de connexion Note over U, S: 🟠 Phase 2 : Authentification (Vérification des Identifiants) U->>N: 5. Saisit ses identifiants
(Login + Mot de passe) N->>A: 6. Envoie les identifiants (chiffrés) A->>A: 7. Vérifie le mot de passe (haché) A-->>N: 8. « Succès » + Demande le code MFA Note over U, S: 🔵 Phase 3 : Vérification MFA (Double Garantie) N-->>U: 9. Affiche le champ pour le code MFA U->>U: 10. Génère le code sur son appareil de confiance U->>N: 11. Saisit le code MFA N->>A: 12. Envoie le code pour validation A->>A: 13. Valide le code MFA Note over U, S: 🟣 Phase 4 : Établissement de la Session A->>S: 14. « Authentification réussie » S->>S: 15. Crée une session utilisateur S-->>N: 16. Accès accordé + Cookie de session (HttpOnly, Secure) N-->>U: 17. Redirige vers la page d'accueil sécurisée Note over U, S: 🟡 Phase 5 : Interaction Continue (Sécurisée) U->>N: 18. Navigue sur le site N->>S: 19. Envoie le cookie de session avec chaque requête S->>S: 20. Vérifie le cookie de session S-->>N: 21. Renvoie les données demandées N-->>U: 22. Affiche les données

3.7. Attaque d'un Particulier (Phishing AiTM)

Attaque d'un Particulier (Phishing AiTM)

Cette attaque cible généralement les comptes personnels (email, réseaux sociaux, banque). L'attaquant utilise un proxy invisible pour intercepter les identifiants et le code MFA en temps réel.

sequenceDiagram participant V as Victime (Particulier) participant P as Proxy Malveillant participant S as Vrai Service (Gmail, Facebook...) Note over V, S: 🟥 Phase 1 : Leurre & Usurpation d'Identité V->>P: 1. Clique sur un lien d'email/phishing Note right of V: L'URL semble légitime (ex: gmail-security.com) P->>S: 2. Relaye la requête vers le vrai site S->>P: 3. Renvoie la vraie page de login P->>V: 4. Affiche la page (visuellement identique) Note over V, S: 🟧 Phase 2 : Vol des Identifiants V->>P: 5. Saisit ses identifiants Note right of V: Pensant être sur le vrai site P->>P: 6. Enregistre les identifiants P->>S: 7. Injecte les identifiants volés Note over V, S: 🟨 Phase 3 : Contournement du MFA S->>P: 8. Demande le code MFA P->>V: 9. Affiche le champ MFA V->>P: 10. Saisit le code MFA (valide 60s) P->>S: 11. Injecte le code MFA en temps réel Note over V, S: 🟪 Phase 4 : Vol de Session S->>P: 12. Authentification réussie + Cookie de session P->>P: 13. Vole le cookie de session P--x V: 14. Redirige vers une fausse page d'erreur Note right of P: La victime pense à une erreur Note over V, S: ⬛ Phase 5 : Hijacking de Session P->>S: 15. Utilise le cookie volé pour accéder au compte S-->>P: 16. Accès complet et silencieux au compte Note right of P: L'attaquant peut tout voir et tout exporter

3.8. Attaque d'une PME/Entreprise (Ciblée)

Attaque d'une PME/Entreprise (Ciblée)

Cette attaque sophistiquée vise les entreprises avec des conséquences plus graves. L'attaquant utilise l'ingénierie sociale pour cibler des employés spécifiques et accéder aux systèmes internes.

sequenceDiagram participant E as Employé (Victime) participant P as Proxy Malveillant participant S as Serveur d'Entreprise (VPN, OWA, CRM) Note over E, S: 🟥 Phase 1 : Ingénierie Sociale Ciblée E->>P: 1. Clique sur un lien d'email
usurpant un collègue/fournisseur Note right of E: L'email semble urgent et légitime P->>S: 2. Relaye la requête S->>P: 3. Renvoie la page de login corporate P->>E: 4. Affiche la page (copie parfaite) Note over E, S: 🟧 Phase 2 : Vol des Accès Professionnels E->>P: 5. Saisit ses identifiants AD/SSO P->>P: 6. Enregistre les credentials d'entreprise P->>S: 7. Injecte les identifiants S->>P: 8. Demande le code MFA (le cas échéant) Note over E, S: 🟨 Phase 3 : Contournement MFA Entreprise P->>E: 9. Affiche le champ MFA E->>P: 10. Saisit le code MFA P->>S: 11. Injecte le code MFA Note over E, S: 🟪 Phase 4 : Accès Lateral & Élévation S->>P: 12. Accès accordé + Cookie de session P->>P: 13. Vole le jeton de session P--x E: 14. Redirige ou simule une maintenance Note over E, S: ⬛ Phase 5 : Mouvement Lateral & Exfiltration P->>S: 15. Utilise l'accès pour explorer le réseau P->>S: 16. Tente une élévation de privilèges P->>S: 17. Exfiltre des données sensibles Note right of P: Accès aux fichiers partagés, emails, DB...

4. L'Ère du "Sans Mot de Passe" : Solutions Avancées pour Contrer les Détournements de MFA

Face aux menaces émergentes comme le MFA Fatigue et le phishing AiTM, l'enjeu n'est pas d'abandonner l'authentification multifacteur, mais de l'évoluer vers des méthodes résilientes. Cette section explore les alternatives robustes qui protègent contre le phishing tout en offrant une expérience utilisateur optimisée.

4.1. FIDO2 & Passkeys : L'Authentification Résistante au Phishing

Le standard FIDO2 utilise la cryptographie asymétrique pour éliminer les vulnérabilités des méthodes traditionnelles. Lors de l'inscription, votre appareil génère une paire de clés unique : une clé publique partagée avec le service, et une clé privée stockée localement. L'authentification repose sur la signature cryptographique d'un "défi" envoyé par le site.

Pourquoi FIDO2 est inviolable ?

Lien au domaine : La clé privée fonctionne uniquement avec le site légitime, rendant le phishing technique impossible. Aucun secret partagé : Il n'y a rien à intercepter (pas de code SMS, pas de mot de passe). Seul un échange cryptographique a lieu.

Les Passkeys : La démocratisation de FIDO2

Clés privées sauvegardées dans le cloud (Google, Apple, Microsoft) et synchronisées sur vos appareils. +20% d'adoption en 2025 selon Microsoft. Plus faciles à utiliser avec 20% de réussite en plus pour les connexions (FIDO Alliance).

4.2. Clés de Sécurité Physiques : La Protection Ultime

Dispositifs matériels (USB, NFC) stockant vos clés FIDO2, offrant la protection maximale contre les malwares et l'exfiltration de données.

✅ Avantages

Sécurité maximale : Immunisée contre les malwares ciblant les solutions logicielles. Protocoles multiples : Supporte U2F, HOTP, TOTP et OpenPGP. Adoption professionnelle : 50% dans les entreprises vs 10% chez les particuliers.

⚠️ Inconvénients

Coût : 20 à 70€ par unité. Risque de perte : Nécessite une clé de secours configurée. Logistique : Gestion physique des dispositifs.

🎯 Pour qui ?

Professionnels de la cybersécurité, comptes administratifs critiques, personnes à haut risque d'exposition (journalistes, dissidents).

4.3. IA et Biométrie Comportementale : La Détection Proactive

Systèmes d'analyse contextuelle intégrés aux plateformes d'identité (Microsoft Entra ID, Okta, Google) pour détecter les comportements anormaux.

🔍 Comment ça marche ?

Analyse contextuelle : Appareil, localisation, réseau, heure. Biométrie comportementale : Rythme de frappe, motifs de navigation. Précision : 95% de détection des anomalies (Okta 2025).

🚀 Avantages

Transparence : Sécurité renforcée sans friction utilisateur. Détection proactive : Bloque les connexions suspectes avant compromission. Adoption : 25% des PME en 2025 (Gartner).

⚠️ Limites

Coût : 1 000 à 10 000€/an (solutions enterprise). Vie privée : Collecte étendue de données comportementales. Faux positifs : 5 à 10% de risque de blocage légitime.

⚠️ Vie Privée & Transparence

Ces systèmes analysent des schémas comportementaux ; vérifiez la politique de confidentialité de votre fournisseur pour comprendre quelles données sont collectées et comment elles sont utilisées.

4.4. Authentification Adaptative : La Sécurité Contextuelle

Approche dynamique ajustant les exigences d'authentification selon le niveau de risque de chaque tentative.

⚙️ Fonctionnement

Évaluation en temps réel : Score de risque basé sur 10+ facteurs. Réponse adaptative : Facteur supplémentaire, blocage ou accès direct. Transparence : Expérience fluide pour les connexions légitimes.

📋 Implémentations

Google Advanced Protection Program, Microsoft Conditional Access, Solutions IAM (Okta, Ping Identity).

⚖️ Avantages & Limites

+ Équilibre sécurité/expérience
+ Protection contre les déplacements anormaux
- Contournable par imitation contextuelle
- Dépendant de la qualité des données

4.5. Bonnes Pratiques : Renforcer la MFA Traditionnelle

Mesures immédiates pour sécuriser vos accès en attendant l'adoption complète des solutions sans mot de passe.

📱 Applications Authentificatrices (TOTP)

Privilégiez Google Authenticator ou Authy aux SMS. Élimine 95% des risques SIM-swap (DeepStrike).

🛡️ Désactiver les Approbations Automatiques

Exigez la saisie manuelle des codes. Neutralise 80% des attaques MFA bombing (Proofpoint).

🎓 Formation Utilisateurs

Sensibilisez aux notifications suspectes. Selon le Verizon DBIR 2025, la formation reste un pilier majeur de réduction du risque.

🏢 Accès Conditionnel (Entreprise)

Restreignez l'accès aux appareils/emplacements approuvés. Bloque 90% des tentatives suspectes.

4.6. Tableau Comparatif Approfondi des Solutions MFA en 2025

Solution	Résistance au Bombing	Résistance à l'AiTM	Résistance au SIM-Swap	Facilité d'Usage	Coût approximatif	Adoption 2025	Pour qui ?
SMS	Faible	Faible	Faible	Très Facile	Faible	Déclin	Débutants (à éviter)
App Authenticator (TOTP)	Moyenne (saisie manuelle)	Moyenne	Élevée (vs SMS)	Facile	Faible	~80%	Tous (transition)
Clé Physique FIDO2	Élevée (pas de push)	Élevée (phishing-resistant)	Élevée (pas de SMS)	Moyenne	20-70€	~20% (FIDO Alliance)	Experts, Pros
Passkeys	Élevée (biométrie/PIN)	Élevée (FIDO2-based)	Élevée (pas de SMS)	Très Facile	Faible (intégrées OS)	+20% (Microsoft)	Tout le monde
IA Comportementale	Élevée (détection anomalies)	Moyenne (complément)	Élevée (contextuelle)	Transparente	1k-10k €/an	~25% PME (Gartner)	Entreprises
Bonnes Pratiques MFA	Moyenne (désactiver push)	Faible (vulnérable proxies)	Moyenne (TOTP > SMS)	Élevée (immédiat)	Gratuit à faible coût	~80%	Tous publics
Authentificateur Open-Source (ex: Aegis)	Élevée (saisie manuelle)	Moyenne (vulnérable aux proxies)	Élevée (vs SMS)	Facile	Gratuit	~15% (niche avertie)	Utilisateurs tech, soucieux de l'auditabilité

5. Votre Plan d'Action Pragmatique en 2025

5.1. Priorisation par type de compte/utilisateur

5.2. Guide de migration progressive

Période	Sujet	Action
Semaine 1	Sécuriser	Sécuriser le compte email principal avec une Passkey.
Semaine 2	MFA SMS	Remplacer la MFA SMS par une app authentificatrice sur les comptes bancaires.
Semaine 3	Désactiver	Désactiver les "approbations push automatiques" sur toutes les apps authentificatrices.
Semaine 4+	Passkeys	Étendre l'utilisation des Passkeys ou des clés physiques à d'autres services importants (GitHub, PayPal, etc.).
Mensuel	Revue	Revue des comptes et vérification des méthodes de récupération.

5.3. Checklist d'Action Immédiate

🛑 NE DÉSACTIVEZ SURTOUT PAS LA MFA !

Elle reste essentielle contre 99% des attaques automatiques

🔐 Priorité Absolue : Protégez Votre Compte E-Mail Principal

Remplacez la MFA par une Passkey (Gmail, Outlook, Apple)

⚙️ Optimisez Vos Applications Authentificatrices

Désactivez l'option "Approuver" → Forcez la saisie manuelle du code à 6 chiffres

📱 Bannissez les SMS comme Second Facteur

Passez aux apps authentificatrices (Google Authenticator, Authy)

👀 Vigilance : Une Notification Non Sollicitée = Alerte Rouge

Signale que quelqu'un a votre mot de passe → Changez-le immédiatement

🔄 Passez aux Passkeys Progressivement

Activez-les sur chaque service important (Amazon, GitHub, PayPal)

🛡️ Pour les comptes critiques :

Envisagez l'achat d'une clé de sécurité physique FIDO2.

6. Comment les entreprises peuvent protéger leurs équipes

Politique MFA Obligatoire

Rendre la MFA (de préférence TOTP ou FIDO2) obligatoire pour tous les accès administratifs et systèmes sensibles.

Formation Continue

Sensibiliser régulièrement les employés aux nouvelles techniques d'attaque (MFA Fatigue, phishing AiTM) via des briefings de cybersécurité.

Mise en place de politiques de sécurité claires

Documenter les procédures de configuration MFA, de gestion des clés de secours, et de réponse aux alertes.

Solutions d'authentification centralisées

Utiliser des solutions IAM (Identity and Access Management) comme Azure AD, Okta ou Google Workspace pour gérer et surveiller l'authentification à l'échelle.

Authentification Adaptative

Implémenter des politiques conditionnelles (Conditional Access) pour limiter les connexions selon le contexte (appareil, localisation).

Audit de sécurité régulier

Vérifier périodiquement les configurations MFA des comptes critiques et former les équipes aux bonnes pratiques.

7. Les erreurs courantes à éviter

Ne jamais approuver une notification MFA non sollicitée

C'est le point d'entrée principal des attaques MFA Fatigue.

Éviter les codes SMS pour les comptes critiques

Le SMS est intrinsèquement vulnérable aux SIM swaps.

Ne pas utiliser le même appareil pour tous les facteurs

Si l'appareil est compromis, toutes les couches de sécurité tombent.

Ignorer les alertes de sécurité des plateformes

Les notifications de connexion suspecte doivent être prises au sérieux et investiguées immédiatement.

Ne pas avoir de méthode de récupération secondaire

Risque de verrouillage du compte en cas de perte d'accès au facteur principal (perte de téléphone/clé).

Ne pas mettre à jour les appareils et applications

Les mises à jour contiennent souvent des correctifs de sécurité cruciaux.

8. Conclusion

La MFA évolue

La MFA n'est pas morte, elle évolue. Le temps où "n'importe quelle MFA suffisait" est révolu. Face à des adversaires utilisant des outils sophistiqués, il faut choisir la bonne MFA.

L'avenir est aux standards résistants

Les solutions traditionnelles (SMS, notifications push simples) montrent leurs limites face au harcèlement psychologique (MFA bombing) et à l'interception technique (AiTM). L'avenir est aux standards phishing-resistant comme FIDO2 et aux Passkeys, offrant une sécurité supérieure sans compromis sur la simplicité.

Agir pragmatiquement

L'objectif n'est pas de paniquer mais de agir pragmatiquement : ne jetez pas votre authentificateur, mais renforcez votre protection là où c'est nécessaire, en commençant par votre boîte mail. Comprendre ces limites, c'est se donner les moyens de rester en sécurité. En adoptant les bonnes solutions, vous ne subissez plus la cybersécurité, vous avez une longueur d'avance.

9. Glossaire

AiTM (Adversary-in-the-Middle)

Technique d'attaque où l'attaquant se place entre l'utilisateur et le service pour intercepter et relayer les informations d'authentification en temps réel.

FIDO2

Standard d'authentification ouvert développé par l'Alliance FIDO, permettant une authentification forte, résistante au phishing, basée sur la cryptographie à clé publique.

CTAP (Client to Authenticator Protocol)

Protocole utilisé par FIDO2 pour la communication entre le client (navigateur/appareil) et l'authentificateur (clé de sécurité).

MFA Bombing

Technique d'attaque consistant à bombarder un utilisateur de notifications d'authentification jusqu'à ce qu'il approuve par fatigue ou erreur.

Passkeys

Forme grand public de FIDO2, permettant une authentification sans mot de passe synchronisée dans le cloud entre tous vos appareils.

Phishing

Technique de tromperie visant à voler des informations personnelles en imitant l'apparence d'un site ou service légitime.

SIM-Swap

Attaque consistant à transférer frauduleusement un numéro de téléphone sur une nouvelle carte SIM contrôlée par l'attaquant pour intercepter les codes SMS.

TOTP (Time-based One-Time Password)

Algorithme qui génère un code temporaire unique basé sur l'heure actuelle, utilisé par les applications d'authentification comme Google Authenticator.

WebAuthn

API web standardisée qui permet aux sites web d'utiliser l'authentification FIDO2 via le navigateur.

10. Sources Vérifiées

Organisation	Type	Données	Année
Microsoft	Rapport Sécurité	+175% attaques MFA Fatigue	2024
FIDO Alliance	Étude Usage	74% des consommateurs connaissent les passkeys et que 69% de ceux-ci les ont activés clés FIDO2	2025
DeepStrike	Analyse Attaques	$33M condamnation T-Mobile	2025
Cifas (UK)	Statistiques Fraude	+1055% attaques télécom	2024
Security Intelligence Blog	Analyse	+1000% (10x) des fraudes SIM-Swap	2024

11. Lectures Recommandées SafeITExperts

Lecture	Description
Deepfake Vocal 2025	Comment les Arnaques Audio Piratent Votre Vie Privée
Quels sont les 50 pires échecs tech ?	Leçons pour 2025
Virus PC : 5 Gestes Urgents et Solutions 2025	(Windows, macOS, Linux)
Sécurité Carte Bancaire	Guide complet pour voyageurs