À quoi ça sert concrètement
La plupart des compromissions de messagerie d'entreprise commencent par un mot de passe récupéré, soit par phishing, soit dans une fuite de données d'un autre service où le salarié utilisait le même. Le MFA casse cette chaîne : l'attaquant a le mot de passe, il lui manque le téléphone.
Il protège aussi contre l'attaque silencieuse la plus rentable, la redirection de facture. Un accès à une boîte aux lettres pendant quelques semaines suffit à intercepter un échange fournisseur et à faire virer un paiement ailleurs.
Ce qu'il faut savoir avant de s'en servir
Toutes les méthodes ne se valent pas. Le SMS reste vulnérable au détournement de carte SIM. La notification dans Microsoft Authenticator est nettement plus sûre, surtout avec la correspondance de numéro qui oblige à recopier un chiffre affiché à l'écran. Les clés physiques et les méthodes sans mot de passe offrent le meilleur niveau.
Le MFA est disponible dans toutes les licences Microsoft 365. Ce qui dépend de la licence, c'est la finesse du pilotage via l'accès conditionnel. Prévoyez enfin une procédure de réinitialisation : un téléphone perdu ne doit pas immobiliser un salarié une journée.
Les erreurs qu'on voit le plus souvent
Le déploiement partiel arrive en tête. On active le MFA sur les comptes de direction et on oublie les comptes techniques, les boîtes partagées avec mot de passe et les prestataires. L'attaquant, lui, cherche exactement ces comptes-là. Le déploiement s'arrête presque toujours au périmètre nominatif, parce que c'est le seul qui ait un visage et un interlocuteur à prévenir. Les identités sans personne derrière elles restent donc protégées par un mot de passe seul — et rien ne signale une connexion anormale sur une boîte que personne ne consulte.
La deuxième erreur est de ne pas fermer les protocoles anciens. Tant que l'authentification héritée reste ouverte, une connexion peut contourner le second facteur.
La troisième est le lancement sans communication. Un MFA imposé un lundi matin sans préparation génère un pic d'appels et une résistance durable. Un déploiement par vagues, appuyé sur notre approche adoption et formation, passe beaucoup mieux.
