Il est 3 h 15 du matin et votre smartphone commence à vibrer sans interruption sur votre table de chevet. Les notifications système se succèdent à un rythme effréné : « Demande de connexion : compte Microsoft », « Venez-vous de tenter de vous connecter au PlayStation Network ? » ou encore « Demande de vérification en 2 étapes Ubisoft ». En l'espace de dix minutes, plusieurs dizaines d'invitations d'autorisation saturent l'écran de votre appareil. Hagard de sommeil, agacé et persuadé qu'il s'agit d'un dysfonctionnement de serveur ou d'un bug d'application, vous tendez le bras et appuyez sur « Approuver » dans le seul but de faire cesser cette vibration insupportable.
Moins de quatre-vingt-dix secondes plus tard, votre adresse e-mail principale est supprimée et remplacée, votre mot de passe modifié, vos applications d'authentification révoquées, et l'intégralité de votre ludothèque numérique — représentant des centaines de jeux, de contenus téléchargeables et des années de sauvegardes — est passée sous le contrôle total d'un cybercriminel.
Cette méthode d'attaque ciblée est connue dans le domaine de la sécurité informatique sous le nom de fatigue de l'authentification multifacteur (MFA Fatigue), également désignée par les termes de bombardement de notifications push (Push Bombing) ou d'épuisement par invites (Prompt Exhaustion). Alors que les joueurs se sont massivement équipés de dispositifs d'authentification à deux facteurs (2FA/MFA), les réseaux malveillants ont fait évoluer leurs tactiques : au lieu de s'attaquer à des clés de chiffrement réputées inviolables, ils exploitent la vulnérabilité psychologique humaine pour contourner le second niveau de sécurité.
Le mécanisme d'une attaque par fatigue MFA
Le bombardement d'invites de sécurité ne relève jamais du hasard ; il constitue l'étape finale d'une opération de bourrage d'identifiants (credential stuffing) soigneusement préparée :
- Collecte d'identifiants dérobés : Les attaquants obtiennent votre adresse e-mail et votre mot de passe à partir de fuites de données antérieures ayant touché des forums de jeux, des boutiques de périphériques ou des bases de données diffusées sur le Web.
- Confrontation avec le second facteur : L'assaillant renseigne vos identifiants valides sur le portail de connexion officiel (Xbox, PlayStation Network ou Ubisoft). Le compte étant protégé par une double authentification, le serveur suspend l'accès et émet une requête de validation vers votre smartphone.
- Bombardement automatisé : L'assaillant ne renonce pas et déclenche un script qui répète la tentative de connexion toutes les quelques secondes. Cela provoque un flux ininterrompu de pop-ups, d'alertes push et de messages de confirmation sur l'écran de la victime.
- Usure psychologique de la cible : L'attaque est délibérément menée au cœur de la nuit ou durant des sessions de jeu intenses afin d'amoindrir l'attention du joueur. L'objectif est d'induire un geste réflexe d'approbation accidentelle ou d'amener l'utilisateur à capituler pour retrouver le silence.
Les 60 premières secondes après avoir appuyé sur « Approuver »
Une simple pression sur « Approuver » génère un jeton de session assorti de privilèges d'administration complets au profit du pirate. Des robots de prise de contrôle exécutent alors une suite d'actions automatisées en un temps record :
- Remplacement de l'alias principal : Sur un compte Microsoft, les pirates créent immédiatement un nouvel alias outlook.com, le désignent comme identifiant principal et effacent l'adresse d'origine du joueur. Cette démarche détruit instantanément toute possibilité de réinitialiser le mot de passe par courriel.
- Révocation des méthodes d'authentification : L'attaquant enregistre sa propre clé de sécurité, révoque l'application de la victime et génère de nouveaux codes de secours d'urgence.
- Pillage des moyens de paiement : Les cartes bancaires, comptes PayPal ou portefeuilles virtuels sont immédiatement vidés pour acquérir des cartes cadeaux numériques ou des devises de jeux, transférées vers des comptes de blanchiment.
- Dissociation des consoles physiques : Les consoles PlayStation ou Xbox rattachées au profil sont déconnectées à distance, interdisant aux appareils de salon d'exécuter les licences dématérialisées achetées.
Architectures de protection des grandes plateformes de jeu
La méthode de double authentification retenue par chaque écosystème conditionne son degré de vulnérabilité face au bombardement de notifications push :
1. Microsoft et Xbox : Le rempart de la concordance des nombres (Number Matching)
Les invites basiques à boutons « Approuver / Refuser » constituent la cible privilégiée de la fatigue MFA. Pour y mettre fin, Microsoft a rendu obligatoire la concordance des nombres (Number Matching) sur son application d'authentification. Lors d'une tentative de connexion, l'écran du navigateur affiche un nombre aléatoire à deux chiffres que l'utilisateur doit obligatoirement saisir sur son téléphone. L'attaquant à distance ignorant ce nombre, aucune validation aveugle n'est possible. De surcroît, les comptes Microsoft permettent de supprimer totalement le mot de passe grâce à l'authentification sans mot de passe.
2. PlayStation Network : Sortir des limites du SMS
Le PlayStation Network propose l'authentification par SMS ou par application tierce (comme Google Authenticator). Les SMS sont vulnérables au spam et aux attaques par échange de carte SIM (SIM swap). L'adoption d'une application reposant sur des mots de passe à usage unique basés sur le temps (TOTP) immunise le compte, car ces applications calculent un code local à 6 chiffres renouvelé toutes les 30 secondes, sans envoyer la moindre notification push sur le mobile.
3. Steam : La robustesse structurelle de Steam Guard
L'application Steam Guard sur mobile n'utilise pas de validation push en un clic pour les connexions sur ordinateur. Se connecter à Steam exige soit de scanner un QR code dynamique affiché à l'écran, soit de saisir manuellement le code alphanumérique à 5 caractères généré localement. Bien que les échanges fassent l'objet d'alertes, l'accès initial au compte ne peut pas être extorqué par fatigue.
4. Ubisoft Connect et Compte EA
Ubisoft et EA utilisent des codes envoyés par e-mail ou des applications d'authentification. La réception inopinée d'un code de sécurité alors que vous n'effectuez aucune démarche signifie formellement qu'un individu est en train de taper votre mot de passe exact sur sa page de connexion.
Protocole de réaction d'urgence en cours d'attaque
Si votre téléphone fait l'objet d'un assaut de notifications de sécurité en ce moment même, appliquez immédiatement les mesures suivantes :
- Ne cliquez jamais sur approuver : Appuyez sur « Refuser », puis cochez « Ce n'est pas moi » ou « Signaler une activité suspecte ».
- Prenez la mesure de l'alerte : Un bombardement prouve que l'attaquant détient d'ores et déjà votre mot de passe exact. Refuser la notification ne fait que retenir la porte ; changer de mot de passe est obligatoire et prioritaire.
- Changez de mot de passe depuis un appareil sain : Rendez-vous sur la page de sécurité officielle depuis un autre ordinateur ou navigateur sécurisé et définissez un mot de passe unique et robuste de plus de 16 caractères.
- Déconnectez l'ensemble des sessions actives : Utilisez l'option « Se déconnecter de tous les appareils » dans le tableau de bord de sécurité afin d'annuler tous les jetons temporaires émis.
- Vérifiez les données du profil : Assurez-vous qu'aucun e-mail secondaire, numéro de téléphone inconnu ou console étrangère n'a été rattaché à votre compte.
Face à la multiplication nocturne de requêtes de confirmation visant vos comptes de jeu sur console ou PC, les guides de sécurité de 365Finds préconisent d'interpréter ces alertes répétées comme l'indication indiscutable que vos identifiants principaux ont été compromis.
Liste de contrôle pour le verrouillage des comptes
- Activer la concordance des nombres ou le TOTP : Délaissez les validations push en un clic au profit d'applications générant des codes tournants ou exigeant la saisie du nombre affiché à l'écran.
- Proscrire la réutilisation de mots de passe : N'utilisez jamais le mot de passe de vos comptes de jeu principaux sur des forums, des serveurs Discord ou des sites communautaires.
- Conserver les codes de secours hors ligne : Notez les codes d'urgence à usage unique dans un carnet physique ou un gestionnaire de mots de passe chiffré, en évitant toute capture d'écran stockée sur le cloud.
- Sécuriser les achats sur console : Imposez la saisie d'un code PIN lors de toute transaction sur vos consoles afin d'éviter le débit de vos cartes en cas d'intrusion.