Une nouvelle génération d’outils exploitant l’intelligence artificielle est désormais capable de contourner l’authentification à deux facteurs (2FA), l’un des mécanismes de sécurité les plus robustes du web. Cette faille, révélée par Journal du Geek, met en lumière la rapidité avec laquelle les technologies émergentes peuvent rendre obsolètes les protections traditionnelles.

Ce qu'il faut retenir

  • L’authentification à deux facteurs (2FA) reste efficace contre 99 % des attaques automatisées selon les experts en cybersécurité.
  • Des outils dopés à l’IA générative sont désormais capables de bypasser le 2FA en quelques minutes.
  • Les méthodes ciblées incluent l’usurpation d’identité vocale et la simulation de comportements humains.
  • Les secteurs les plus exposés sont la finance, la santé et les services gouvernementaux.

Une protection jusqu’ici quasi infaillible menacée par l’IA

Longtemps considérée comme un rempart efficace contre les intrusions, l’authentification à deux facteurs repose sur une double vérification : un mot de passe suivi d’un code envoyé par SMS, d’un appel vocal ou d’une notification mobile. Selon Journal du Geek, cette méthode bloque encore la quasi-totalité des attaques automatisées grâce à la présence d’un facteur humain ou matériel supplémentaire. Pourtant, une étude récente montre que des outils exploitant l’intelligence artificielle pourraient bientôt rendre ce dispositif vulnérable.

Les chercheurs en cybersécurité ont mis en évidence que des algorithmes d’IA générative, capables de reproduire des voix ou des messages de manière quasi indétectable, sont désormais utilisés pour tromper les systèmes de vérification. « En combinant la synthèse vocale et l’analyse comportementale, il est possible de contourner le 2FA en moins de cinq minutes dans certains cas », a précisé un expert interrogé par Journal du Geek, sans révéler son identité pour des raisons de sécurité.

Des méthodes de contournement de plus en plus sophistiquées

Parmi les techniques les plus redoutables figurent l’usurpation d’identité vocale et la simulation de comportements utilisateurs. Un attaquant peut, par exemple, enregistrer la voix d’une victime via des extraits disponibles en ligne (réseaux sociaux, podcasts) et l’utiliser pour répondre aux appels téléphoniques de vérification. « Les systèmes de reconnaissance vocale actuels peinent à distinguer une voix synthétique d’une voix réelle », a expliqué un responsable de la société de cybersécurité Kaspersky, cité par Journal du Geek.

Autre méthode : l’exploitation des failles logicielles des applications de 2FA. Certaines applications mobiles, comme Google Authenticator ou Authy, stockent des données sensibles en local. Une attaque ciblant ces faiblesses pourrait permettre à un pirate d’accéder aux codes de vérification avant même qu’ils ne soient utilisés.

Les secteurs les plus exposés à ces nouvelles menaces

Les domaines où la sécurité des données est critique sont les premiers concernés. Le secteur financier, qui utilise massivement le 2FA pour sécuriser les transactions en ligne, se retrouve en première ligne. Les banques en ligne et les plateformes de paiement, comme PayPal ou Stripe, pourraient devenir des cibles privilégiées. « Un contournement réussi du 2FA dans le secteur bancaire pourrait entraîner des pertes financières colossales », a averti un analyste de la société Gartner.

La santé et les services gouvernementaux ne sont pas épargnés. Les dossiers médicaux électroniques, protégés par des protocoles stricts, ou les systèmes d’accès aux données sensibles des États pourraient être compromis. Selon un rapport de l’ANSSI (Agence nationale de la sécurité des systèmes d’information), 40 % des attaques ciblant les infrastructures critiques en 2025 ont exploité des failles liées à l’authentification. Journal du Geek souligne que ces chiffres pourraient exploser d’ici la fin de l’année.

Et maintenant ?

Face à cette menace, les éditeurs de solutions de sécurité accélèrent le développement de mécanismes de protection plus résistants. Plusieurs pistes sont explorées : l’intégration de biométries comportementales (analyse de la façon dont une personne tape sur un clavier ou se déplace), l’utilisation de tokens matériels inviolables, ou encore l’adoption de protocoles de vérification décentralisés basés sur la blockchain. Une entreprise spécialisée, Okta, a annoncé pour septembre 2026 le déploiement d’un système de 2FA utilisant l’IA pour détecter les tentatives de contournement en temps réel. Reste à voir si ces innovations parviendront à devancer les attaquants.

Pour les utilisateurs, la prudence reste de mise. Les experts recommandent de privilégier les applications de 2FA open source, de mettre à jour régulièrement ses appareils et d’éviter les solutions basées uniquement sur les SMS, jugées moins sécurisées. Autant dire que l’ère de la 2FA « inviolable » pourrait toucher à sa fin, poussant l’industrie à repenser en profondeur ses standards de sécurité.

D’après Journal du Geek, les outils les plus redoutés sont ElevenLabs pour la synthèse vocale, MidJourney ou DALL·E pour générer des faux visuels utilisés dans des attaques par hameçonnage, et des modèles d’IA open source comme Whisper pour transcrire et analyser des conversations en temps réel. Ces technologies, combinées à des techniques d’ingénierie sociale, permettent de tromper les systèmes de vérification les plus avancés.