Fatigue de la double authentification (MFA bombing)
Vous recevez, parfois en pleine nuit, une rafale de notifications « Confirmez votre connexion ? » ou de codes non demandés. L’attaquant a déjà votre mot de passe et vous spamme en espérant un « Oui » d’épuisement : c’est le MFA bombing (fatigue de double authentification).
Dernière mise à jour : 1 juillet 2026
« Vers 3 h du matin, votre app bancaire (ou email) envoie coup sur coup : « Nouvelle connexion — Approuvez-vous ? ». Excédé, on est tenté d’appuyer sur « Oui » pour que ça s’arrête. »
Pourquoi ce harcèlement fonctionne
La double authentification (2FA) protège même si votre mot de passe a fuité. Mais si l’attaquant le possède déjà, il tente sans cesse de se connecter : chaque tentative déclenche une demande d’approbation chez vous.
Le but est de vous lasser : un seul « Oui » accordé par fatigue lui ouvre le compte. Certaines attaques ajoutent un faux appel du « support » pour vous convaincre de valider.
La bonne réaction
Ne validez jamais une demande de connexion que vous n’avez pas déclenchée, même sous le harcèlement. Refusez, puis changez immédiatement le mot de passe du compte concerné (il est compromis).
Privilégiez une app d’authentification avec code à saisir plutôt qu’un simple « Oui/Non », et activez les alertes de connexion.
- Des demandes d’approbation de connexion en rafale, non déclenchées.
- Des codes 2FA reçus sans avoir tenté de vous connecter.
- Souvent la nuit, ou à un moment où vous baissez la garde.
- Parfois un faux « support » qui vous presse de valider.
- Refusez toutes les demandes non initiées, sans exception.
- Changez immédiatement le mot de passe du compte visé.
- Passez à une app d’authentification (code à saisir).
- Vérifiez les connexions actives et déconnectez les inconnues.
Pourquoi je reçois ces demandes ?
Parce que quelqu’un connaît déjà votre mot de passe et tente de se connecter en boucle. La 2FA vous protège tant que vous refusez.
J’ai validé par erreur, que faire ?
Changez le mot de passe immédiatement, déconnectez les sessions actives et surveillez le compte. Prévenez le service si de l’argent est en jeu.