Quelle est la réponse la plus courte ?
La sécurité des comptes repose sur une seule idée : l'attaquant doit réunir tout ce dont vous avez besoin pour vous connecter. Votre tâche est de rendre au moins un de ces éléments impossible à voler à distance. C'est pourquoi l'ordre de qualité du second facteur est le suivant : clé matérielle ou passkey > application à codes à usage unique > SMS. Le SMS est le plus faible de ce qui se propose couramment.
Cette leçon parle de comptes (plateforme d'échange, e-mail, cloud), pas d'un portefeuille autonome. Pour un portefeuille non-custodial, c'est la phrase de récupération (seed) qui décide, et nous l'expliquons à part dans le glossaire sous l'entrée seed-phrase.
Qu'est-ce que le 2FA au juste et pourquoi son type compte ?
Le 2FA (authentification à deux facteurs) signifie que vous vous connectez avec deux éléments indépendants : habituellement quelque chose que vous connaissez (le mot de passe) et quelque chose que vous possédez (téléphone, clé). L'idée est qu'un mot de passe volé seul ne suffit pas.
Le hic, c'est que tous les "seconds facteurs" ne sont pas aussi robustes. La différence est concrète :
| Type de 2FA | Ce dont l'attaquant a besoin | Faiblesse |
|---|---|---|
| Code SMS | Détourner votre numéro de téléphone ou intercepter le code | Vulnérable au SIM swap et au phishing |
| Application à codes (TOTP) | Vous soutirer un code à six chiffres en temps réel | Le code peut être extorqué sur un faux site |
| Clé matérielle / passkey | Posséder physiquement la clé et être sur le vrai domaine | Pratiquement résistant au phishing à distance |
Le détail clé pour la clé matérielle et le passkey : la vérification est liée à l'adresse du site. Si un site de phishing vous imite, la clé refuse de valider, car le domaine ne correspond pas. Cela fait tomber l'attaque qui fonctionne pourtant avec les codes SMS et TOTP.
À quoi ressemble le phishing en pratique, sur un scénario ?
Imaginez un e-mail : "Nous avons détecté une connexion inhabituelle, confirmez votre compte sous 24 heures." Le lien mène vers une page qui ressemble à votre plateforme d'échange. Vous saisissez votre mot de passe. La page dit ensuite "saisissez votre code 2FA". Vous entrez aussi ce code à six chiffres de l'application.
Ce qui vient de se passer : l'attaquant est au milieu. Il transmet immédiatement votre mot de passe et votre code au vrai site et se connecte à votre place. Le code TOTP n'est valide que brièvement, mais ces quelques dizaines de secondes suffisent. C'est pourquoi nous disons que l'application à codes est meilleure que le SMS, mais qu'elle n'arrête pas le phishing à elle seule.
Deux habitudes qui cassent ce scénario :
- Ne jamais cliquer sur un lien issu d'une sollicitation et se connecter uniquement via son propre favori ou une adresse saisie à la main.
- Utiliser une clé matérielle ou un passkey, car il ne fonctionne pas sur un faux domaine, même si vous avez cliqué sur le lien.
Qu'est-ce que le SIM swap et pourquoi casse-t-il la protection par SMS ?
Le SIM swap est une fraude au cours de laquelle l'attaquant convainc (ou soudoie) l'opérateur pour qu'il transfère votre numéro de téléphone sur sa propre carte SIM. À partir de ce moment, vos codes SMS lui parviennent, pas à vous. Votre téléphone perd généralement le signal, ce qui est souvent le premier signe visible.
Une fois qu'il détient le numéro, il peut lancer un "mot de passe oublié" sur l'e-mail et sur les comptes où la réinitialisation passe par SMS, et reprendre progressivement tout ce qui est rattaché à ce numéro. C'est pourquoi il est dangereux d'avoir un numéro de téléphone comme moyen de récupération pour des comptes importants.
Les défenses qui changent réellement la donne :
- Retirer le SMS comme 2FA et comme moyen de récupération partout où c'est possible.
- Configurer chez l'opérateur une protection du numéro contre le transfert (PIN / mot de passe du compte, si c'est proposé).
- Protéger le compte le plus sensible, c'est-à-dire votre e-mail principal, avec le facteur le plus robuste, car presque tout le reste se réinitialise par son intermédiaire.
Quel compte protéger en premier ?
Pas la plateforme d'échange. L'e-mail. Votre e-mail principal est la colonne vertébrale de toute votre identité en ligne : la récupération des mots de passe de la plupart des autres services passe par lui. Si l'attaquant contrôle l'e-mail, il contrôle toute la chaîne. L'ordre de priorité en pratique :
- E-mail principal (2FA le plus robuste, mot de passe unique).
- Comptes sur les plateformes d'échange et les services financiers.
- Cloud / gestionnaire de mots de passe, si vous y stockez des éléments sensibles.
Quoi faire en premier quand quelque chose tourne mal ?
L'objectif des premières minutes est simple : couper l'accès à l'attaquant. Pas déplacer ses fonds dans la panique, car un transfert précipité vers une mauvaise adresse est une autre erreur, distincte.
Un ordre d'étapes raisonnable :
- Changer le mot de passe du compte compromis et surtout de l'e-mail auquel il est rattaché.
- Déconnecter tous les appareils / sessions actives, si le service le permet. Sinon l'attaquant reste connecté même après le changement de mot de passe.
- Vérifier et supprimer les 2FA et les clés API étrangers que l'attaquant a pu ajouter pour conserver son accès.
- Vous avez perdu le signal ? Appeler l'opérateur depuis un autre téléphone et traiter un possible SIM swap, récupérer votre numéro.
- Vérifier les règles de l'e-mail (transfert, filtres). Les attaquants configurent souvent un transfert silencieux du courrier pour voir les codes de récupération même après votre changement de mot de passe.
- Contacter le support du service par la voie officielle depuis une adresse vérifiée, pas via un lien que quelqu'un vous a envoyé.
Un rappel sur la limite que charliedesk ne franchit jamais : il n'existe pas de "ligne d'assistance" qui vous demanderait votre phrase de récupération, vos codes ou un accès à distance à votre écran. Quiconque demande cela est un attaquant. Un vrai support n'a jamais besoin de ces choses.
Que devriez-vous savoir faire maintenant ?
Après cette leçon, vous devriez :
- distinguer les trois types de 2FA et savoir pourquoi le SMS est le plus faible,
- reconnaître un scénario de phishing et de SIM swap sur un déroulé concret,
- savoir que l'e-mail principal est le compte numéro un,
- avoir en tête l'ordre des premières étapes quand quelque chose tourne mal, en commençant par couper l'accès, pas par des transferts.
Qu'est-ce qui reste incertain ?
La sécurité n'est pas un état, mais une course. Les techniques d'attaque précises évoluent et ce qui est "assez bon" aujourd'hui ne le restera pas forcément. Nous n'avons pas de chiffre en direct sur la fréquence d'échec de telle ou telle méthode, et nous n'en inventons volontairement aucun. Par ailleurs, aucune combinaison de mesures ne donne une certitude à 100 % ; l'objectif est de rendre l'attaque assez coûteuse pour qu'elle ne vaille pas la peine. Et attention à ne pas confondre deux mondes : cette leçon porte sur les comptes, où le support et la récupération peuvent vous aider. Pour un portefeuille non-custodial, rien de tel n'existe, c'est la phrase de récupération qui décide, celle que nous abordons dans le glossaire.