La double authentification était considérée comme le bouclier ultime contre les pirates informatiques. Activer ce second facteur de vérification — un code reçu par SMS, une application comme Google Authenticator, une clé physique — semblait suffire à dormir tranquille. C'était avant.
Selon un rapport publié par Google, des hackers ont pour la première fois utilisé une intelligence artificielle pour identifier et exploiter une faille dite « zero day » capable de contourner la double authentification. Ce n'est plus une menace théorique. C'est une réalité documentée, et elle change profondément ce que vous devez faire pour protéger vos comptes.
Ce que Google a découvert : une première mondiale inquiétante
Une faille zero day désigne une vulnérabilité inconnue du fabricant du logiciel au moment où elle est exploitée. Historiquement, les trouver demandait des semaines de travail à des équipes de chercheurs spécialisés. L'IA vient de bouleverser cette équation.
Des acteurs malveillants ont utilisé un modèle d'intelligence artificielle pour analyser automatiquement des millions de lignes de code, repérer des failles potentielles et générer des exploits fonctionnels en un temps record. Résultat : ils ont réussi à contourner la double authentification sur des services ciblés, sans que les victimes ne reçoivent la moindre alerte.
Ce qui inquiète les experts, c'est la vitesse. Là où une équipe humaine aurait mis des semaines, l'IA a travaillé en quelques heures. Le rapport de Google précise que cette technique a été utilisée dans des cyberattaques réelles, pas seulement dans un environnement de laboratoire.
Comment fonctionne concrètement cette attaque ?
L'IA comme outil d'analyse automatisée
Les pirates ont nourri leur modèle d'IA avec le code source de logiciels populaires — navigateurs, gestionnaires de mots de passe, applications d'authentification. L'IA a ensuite cherché des comportements anormaux, des chemins d'exécution non prévus par les développeurs, des cas limites exploitables.
Once la faille identifiée, un second outil — également piloté par IA — a généré automatiquement le code d'exploitation. Le tout sans intervention humaine significative.
Le contournement de la double authentification
Dans le cas documenté par Google, la faille permettait d'intercepter le jeton d'authentification après validation du second facteur. Concrètement : vous entrez votre mot de passe, vous validez le code SMS ou l'application, et c'est à ce moment précis que le logiciel malveillant capture le jeton de session. Le hacker se connecte alors à votre place, comme si c'était lui qui venait de s'authentifier.
Cette technique, appelée « session hijacking », existait déjà. Ce qui est nouveau, c'est que l'IA a permis de l'appliquer à une faille que personne n'avait encore détectée.
Quels services et utilisateurs sont concernés ?
La faille documentée touchait un logiciel spécifique, désormais patché. Mais la méthode, elle, est généralisable à n'importe quelle application. Les services les plus ciblés restent :
- Les messageries : Gmail, Outlook, WhatsApp Web
- Les services bancaires en ligne et applications de paiement
- Les gestionnaires de mots de passe en ligne
- Les plateformes professionnelles : Microsoft 365, Google Workspace
- Les réseaux sociaux utilisés à des fins professionnelles
Les particuliers ne sont pas épargnés. Un compte Gmail compromis peut donner accès à des années d'échanges, à des documents partagés, à des identifiants stockés dans les emails. Pour un professionnel ou un commerçant, les conséquences peuvent être catastrophiques.
La double authentification reste-t-elle utile ?
Oui, et il ne faut surtout pas l'abandonner. Cette nouvelle menace ne rend pas la double authentification obsolète — elle souligne simplement que certaines implémentations sont plus solides que d'autres.
Les méthodes à privilégier
Les clés de sécurité physiques (YubiKey, clé FIDO2) restent la méthode la plus résistante. Elles fonctionnent selon un protocole cryptographique qui lie l'authentification au domaine du site visité. Même si un hacker intercepte votre session, il ne peut pas réutiliser les données sur un autre service.
Les applications d'authentification (Aegis, Authy, Google Authenticator) sont nettement plus sûres que les SMS. Le code par SMS peut être intercepté via des attaques SIM swap ou des failles chez l'opérateur.
Les passkeys, la nouvelle norme portée par Apple, Google et Microsoft, offrent une protection similaire aux clés physiques sans nécessiter de matériel supplémentaire. De plus en plus de services les acceptent en 2026.
Ce qu'il faut éviter
- Les SMS comme seul second facteur sur des comptes critiques
- Réutiliser le même mot de passe sur plusieurs services, même avec la double authentification activée
- Valider une demande d'authentification que vous n'avez pas initiée
Les bons réflexes à adopter maintenant
Face à cette évolution des cyberattaques IA, quelques actions concrètes s'imposent.
Mettez à jour tous vos logiciels immédiatement. Les failles zero day deviennent des failles connues une fois publiées. Les correctifs arrivent vite, mais encore faut-il les appliquer. Sur Windows, vérifiez Windows Update. Sur Android et iOS, vérifiez les mises à jour des applications, pas seulement du système.
Vérifiez les sessions actives de vos comptes. Gmail, Facebook, Microsoft 365 permettent de voir tous les appareils connectés. Si vous repérez une connexion depuis un pays inconnu ou un appareil que vous ne reconnaissez pas, révoquez-la immédiatement et changez votre mot de passe.
Activez les alertes de connexion. La plupart des services envoient un email ou une notification lorsqu'une nouvelle connexion est détectée. Cette option est souvent désactivée par défaut.
Utilisez un gestionnaire de mots de passe local plutôt qu'un service en ligne si vous gérez des données sensibles. Les solutions comme KeePass stockent vos identifiants sur votre appareil, pas sur un serveur distant.
Méfiez-vous des emails demandant une validation urgente. Les hackers combinent désormais phishing et exploitation de failles. Un email vous demandant de « confirmer votre identité » peut être le déclencheur d'une attaque automatisée.
Si vous avez un doute sur l'intégrité de votre ordinateur — comportements bizarres, ralentissements inexpliqués, alertes antivirus répétées — il vaut mieux ne pas attendre. Fix72, technicien informatique indépendant basé au Mans, intervient pour analyser et assainir les PC suspects. Joignable au 07 51 13 37 69, le service couvre Le Mans et l'ensemble de la Sarthe, avec une assistance à distance disponible pour les situations urgentes et une intervention sur place si nécessaire.
Questions fréquentes
Q : Si j'ai la double authentification activée, mon compte est-il quand même en danger ?
R : La double authentification reste une protection efficace contre la grande majorité des attaques. La menace documentée par Google exploite une faille spécifique, depuis corrigée. Privilégiez les applications d'authentification ou les passkeys plutôt que les SMS pour maximiser votre protection.
Q : Comment savoir si mon compte a déjà été compromis par ce type d'attaque ?
R : Consultez l'historique des connexions dans les paramètres de sécurité de chaque service (Gmail, Microsoft, etc.). Une connexion depuis un lieu ou un appareil inconnu est le signe le plus fiable. Vous pouvez aussi vérifier votre adresse email sur le site HaveIBeenPwned.com.
Q : Les passkeys sont-elles vraiment plus sûres que les mots de passe classiques avec double authentification ?
R : Oui. Les passkeys utilisent la cryptographie asymétrique et sont liées à un domaine précis, ce qui les rend imperméables au phishing et au session hijacking. Activez-les sur tous les services qui les proposent — Google, Apple, Microsoft et de nombreuses banques les supportent désormais.
