Les attaques fondées sur le vol d’identifiants continuent de placer l’identité au centre du risque cyber. Lorsqu’un compte compromis donne accès à une console d’administration, l’enjeu dépasse largement la boîte mail ou l’application d’un seul utilisateur : l’attaquant peut atteindre un outil capable de piloter de nombreux équipements, d’appliquer des politiques de sécurité ou d’accéder à des informations techniques sur le parc. Dans ce contexte, l’authentification multifacteur, ou MFA, devient une protection essentielle pour les accès à privilèges. PushManager intègre désormais cette protection pour renforcer l’accès à sa console d’administration.
Le compte administrateur est une cible à part
Une console UEM ou MDM concentre des droits importants. Selon les fonctions et les autorisations accordées, elle peut permettre de consulter l’état des appareils, de modifier leur configuration, de déployer des applications ou de déclencher des actions à distance. La compromission d’un compte administrateur ne constitue donc pas un incident ordinaire : elle peut donner à l’attaquant un levier sur une partie significative du système d’information mobile.
Cette concentration des privilèges impose une protection adaptée. Un mot de passe, même robuste et unique, reste exposé au phishing, au vol d’informations stockées dans le navigateur, aux logiciels malveillants ou à une erreur humaine. L’objectif de la MFA consiste à demander une preuve supplémentaire, issue d’une catégorie différente : un élément connu par l’utilisateur, un équipement qu’il possède ou une caractéristique qui lui est propre. Le vol du seul mot de passe ne suffit alors plus à ouvrir la session.
Une sanction récente centrée sur la sécurité des accès
Le 22 janvier 2026, la CNIL a prononcé une amende de 5 millions d’euros contre France Travail après une violation de données. La décision porte sur l’insuffisance des mesures de sécurité encadrant l’accès de conseillers Cap Emploi au système d’information. Elle examine notamment le retard pris dans le déploiement d’une authentification multifacteur et un mécanisme qui ne bloquait un compte qu’après 50 tentatives de connexion infructueuses.
La sanction ne repose pas sur l’idée que la MFA serait obligatoire dans toutes les situations. Elle rappelle que le responsable de traitement doit choisir des mesures adaptées aux risques, conformément à l’article 32 du RGPD. Dans cette affaire, la sensibilité et le volume des données accessibles, ainsi que les conditions d’accès au système, exigeaient des protections plus robustes.
Si ce cas ne peut pas être transposé automatiquement à toute organisation, il illustre néanmoins un principe utile pour les consoles techniques : plus un compte dispose de droits étendus et donne accès à des ressources sensibles, plus son authentification doit être protégée. Les comptes administrateurs, les accès distants et les interfaces de pilotage doivent donc être traités en priorité.
NIS2 inscrit la MFA dans la gestion des risques
La directive NIS2 cite explicitement, parmi les mesures de gestion des risques à considérer, l’utilisation de solutions d’authentification multifacteur ou d’authentification continue lorsque cela est approprié. Pour certaines catégories d’acteurs numériques précisément énumérées, le règlement d’exécution européen 2024/2690 détaille les exigences techniques et méthodologiques relatives à la gestion des risques, notamment en matière de contrôle des accès.
La présence d’une MFA ne suffit pas, à elle seule, à rendre une organisation conforme à NIS2. La conformité dépend d’un ensemble de mesures techniques, opérationnelles et organisationnelles : gouvernance, analyse de risques, gestion des incidents, continuité, sécurité de la chaîne d’approvisionnement ou encore contrôle des accès. La MFA constitue néanmoins une mesure concrète, identifiable et particulièrement pertinente pour les comptes à privilèges.
Pour les DSI et RSSI, la bonne question n’est donc plus seulement de savoir si la MFA est disponible, mais où son activation doit être prioritaire. Les consoles d’administration des terminaux figurent naturellement parmi ces accès critiques.
Toutes les méthodes MFA ne présentent pas la même résistance
Un code à usage unique fourni par une application d’authentification ajoute une barrière importante par rapport au mot de passe seul. Toutefois, certaines attaques de phishing en temps réel peuvent intercepter le mot de passe et le code saisi, puis détourner la session. Les notifications de validation peuvent également être détournées lorsque l’utilisateur accepte une demande répétée ou mal comprise.
Les mécanismes fondés sur la cryptographie à clé publique, comme les clés de sécurité et les passkeys conformes aux standards FIDO, offrent une meilleure résistance au phishing, car la preuve d’authentification est liée au service légitime. Le choix dépend cependant du niveau de risque, des contraintes d’exploitation et des possibilités offertes par chaque solution. L’essentiel est de ne pas considérer toutes les formes de MFA comme équivalentes et d’organiser une progression vers les méthodes les plus robustes pour les comptes sensibles.
Déployer un MFA sans fragiliser l’exploitation
L’activation doit être accompagnée de règles simples. Chaque administrateur devrait utiliser un compte nominatif, distinct des comptes courants lorsque l’organisation le permet. Les comptes partagés compliquent l’attribution des actions et la révocation d’un accès ; ils doivent être supprimés ou strictement encadrés. Le nombre d’administrateurs doit également rester limité au besoin réel.
Les procédures de récupération méritent la même attention que la connexion elle-même. Un mécanisme de secours trop permissif peut neutraliser la protection apportée par la MFA. L’organisation doit donc prévoir l’enrôlement initial, le remplacement d’un téléphone, la perte d’un facteur, le départ d’un collaborateur et l’accès d’urgence, tout en conservant une traçabilité suffisante.
Enfin, la MFA doit s’inscrire dans un ensemble cohérent : mots de passe uniques, gestion précise des rôles, revue périodique des droits, journalisation, surveillance des connexions inhabituelles et mise à jour régulière des composants. Elle réduit fortement un scénario d’attaque fréquent, mais ne remplace ni le principe du moindre privilège ni la supervision.
PushManager renforce la protection de sa console
PushManager intègre désormais l’authentification multifacteur pour l’accès à sa console d’administration. Cette évolution ajoute une vérification supplémentaire lors de la connexion et réduit le risque qu’un mot de passe compromis suffise à ouvrir un accès administrateur.
Cette protection répond à un enjeu propre à la gestion des terminaux : sécuriser non seulement les appareils administrés, mais aussi l’outil depuis lequel les politiques et les actions sont pilotées. Elle complète les bonnes pratiques qui doivent entourer chaque compte disposant de droits élevés.
Les organisations souhaitant activer la MFA ou préparer son déploiement peuvent se rapprocher du support PushManager afin de vérifier les modalités adaptées à leur environnement.
Une mesure simple pour un accès particulièrement sensible
Les attaques contre les identités et l’évolution des exigences européennes convergent vers la même conclusion : le mot de passe seul offre une protection insuffisante pour les comptes capables d’administrer des ressources critiques. Protéger une console UEM par MFA ne règle pas l’ensemble du risque cyber, mais réduit nettement le risque qu’un mot de passe compromis suffise à ouvrir un accès administrateur.
Pour les organisations, la priorité consiste désormais à cartographier leurs interfaces d’administration, identifier les comptes les plus puissants et activer une authentification renforcée en commençant par ces accès. La sécurisation du parc passe aussi par la sécurisation de ceux qui le pilotent.
Les points à vérifier
- Comptes concernés : la MFA couvre-t-elle en priorité tous les comptes administrateurs et les accès distants ?
- Méthode utilisée : le facteur retenu est-il adapté au niveau de risque et, si possible, résistant au phishing ?
- Récupération : la procédure de secours est-elle contrôlée, documentée et traçable ?
- Droits : les privilèges sont-ils limités au besoin réel et revus régulièrement ?
- Départs et incidents : les facteurs et les sessions peuvent-ils être révoqués rapidement ?
PushManager peut vous aider à activer l’authentification multifacteur sur sa console d’administration et à préparer son déploiement auprès de vos administrateurs.
Sources officielles
- ANSSI, Recommandations relatives à l’authentification multifacteur et aux mots de passe, octobre 2021
- CNIL, Authentification multifacteur, recommandations de la CNIL, 1er avril 2025
- Union européenne, directive NIS2, article 21
- Union européenne, règlement d’exécution 2024/2690 du 17 octobre 2024
- CNIL, Violation de données, sanction de 5 millions d’euros à l’encontre de France Travail, 29 janvier 2026
- Légifrance, délibération CNIL SAN-2026-003 du 22 janvier 2026
