novauth
TarifsDocumentationBlogCommencer gratuitement
Retour au blog
Tendances du secteurPasskeysSMS OTP

Microsoft vient de supprimer l'authentification par SMS. Voici ce que révèlent les données

Novauth Team6 min de lecture

Le 13 juillet, Microsoft a annoncé qu'Entra ID — la plateforme d'identité derrière la connexion d'une grande partie des logiciels d'entreprise — supprime l'authentification multifacteur par SMS et par voix. Pas une dépréciation. Une suppression pure et simple. Les passkeys deviennent la méthode d'authentification par défaut à partir de septembre 2026, et d'ici le 1er février 2027, l'authentification multifacteur par SMS et voix fournie par Microsoft cessera tout simplement de fonctionner pour la connexion. Les utilisateurs qui l'utilisent encore seront automatiquement inscrits aux passkeys ; si le SMS ou la voix est la seule méthode d'authentification multifacteur de quelqu'un, il devra obligatoirement enregistrer une passkey avant de pouvoir se connecter.

Ce n'est pas un éditeur qui pousse gentiment ses clients vers une meilleure option. C'est l'un des plus grands fournisseurs d'identité au monde qui fixe une date d'arrêt pour une méthode d'authentification vieille de 20 ans. Nous sommes allés chercher les données derrière cette décision, et l'histoire dépasse largement la feuille de route d'une seule entreprise.

Le chiffre que Microsoft a réellement cité

La justification de Microsoft n'était pas abstraite. L'entreprise a pointé du doigt des campagnes de phishing assistées par IA atteignant des taux de clic allant jusqu'à 54 %, contre environ 12 % pour les tentatives de phishing traditionnelles. Les facteurs d'authentification hameçonnables — un code que l'on peut se faire piéger à lire ou à transmettre, un SMS que l'on peut se faire manipuler à transférer — sont ce que les attaquants parviennent désormais à contourner avec un taux de réussite presque 5 fois supérieur. Le SMS OTP entre exactement dans cette catégorie : rien n'empêche une fausse page de connexion suffisamment convaincante de simplement demander à coller le code.

Les passkeys ne sont plus un pari de niche

L'infrastructure capable de soutenir une date de suppression comme celle-ci existe déjà à grande échelle. Les chiffres 2026 de la FIDO Alliance, issus d'une étude menée auprès de 11 000 consommateurs et 1 400 décideurs d'entreprise dans dix pays :

  • 5 milliards de passkeys désormais actives dans le monde
  • 90 % des consommateurs connaissent les passkeys
  • 75 % des consommateurs ont activé une passkey sur au moins un compte
  • 68 % des organisations ont déployé ou déploient activement des passkeys pour la connexion de leurs employés
  • 33 % des consommateurs déclarent avoir subi une compromission de compte ou reçu une notification de violation de données au cours de l'année écoulée — la douleur sous-jacente qui alimente l'adoption

Ce n'est plus le territoire des early adopters. C'est désormais la voie par défaut pour une part significative des connexions sur Internet, et la décision de Microsoft en fait la voie obligatoire pour une grande partie de l'identité en entreprise.

Les données de fraude qui confirment le « pourquoi »

Les chercheurs en sécurité affirment depuis un moment que le SMS OTP est le maillon faible — le Verizon Data Breach Investigations Report déconseille explicitement les mots de passe à usage unique par SMS comme facteur d'authentification multifacteur, en citant l'exposition au SIM swap. Les chiffres de la fraude confirment cela, de façon inégale mais claire :

  • Le rapport Cifas Fraudscape du Royaume-Uni a recensé des SIM swaps non autorisés passant de 289 à près de 3 000 en une seule année — une hausse de 1 055 %.
  • L'Australie a connu une hausse de 240 % en glissement annuel du nombre de personnes demandant de l'aide pour des fraudes de type SIM swap et portage de numéro (IDCARE).
  • Les données du FBI IC3 aux États-Unis montrent que le nombre de plaintes pour SIM swap est en fait en baisse — 2 026 en 2022 contre 982 en 2024 — mais les chercheurs préviennent que cela reflète probablement le fait que les victimes signalent la fraude en aval (comptes vidés, cryptomonnaies volées) sous d'autres catégories, plutôt qu'une réelle baisse des attaques, d'autant que les opérateurs ajoutent des frictions qui déplacent les tactiques plutôt qu'elles ne les éliminent.
  • L'interception au niveau du protocole SS7 — la faille réseau qui permet à un attaquant de rediriger ou de lire des SMS sans toucher au téléphone de la victime — reste un vecteur d'attaque actif ; la banque britannique Metro Bank et plusieurs banques allemandes ont eu leurs codes d'authentification à deux facteurs interceptés de cette manière, et les signalements d'exploitations actives se poursuivent.

Aucune de ces attaques ne nécessite de casser un chiffrement ou de deviner un mot de passe. Elles exploitent le fait qu'un numéro de téléphone n'a jamais été conçu pour être un identifiant sécurisé — c'est une adresse de routage qui peut être redirigée, obtenue par ingénierie sociale, ou lue au niveau d'une couche réseau antérieure aux hypothèses de sécurité modernes.

Ce que cela ne résout pas — et pourquoi c'est important pour la vérification

Voici ce qui se perd dans les titres du type « le SMS est mort » : les passkeys résolvent la connexion, pas la vérification téléphonique, et ce sont deux problèmes différents portant la même étiquette « 2FA ».

Une passkey prouve que vous êtes le même appareil/compte qui s'est enregistré auparavant. Elle excelle dans ce rôle — résistante au phishing, aucun code à intercepter, aucune carte SIM à échanger. Mais elle ne peut pas faire le travail pour lequel le SMS OTP, le flash call, le WhatsApp OTP et le Telegram OTP ont réellement été conçus au départ : confirmer qu'un tout nouveau numéro de téléphone appartient à une personne réelle et joignable lors de l'inscription, avant même qu'un compte ou une passkey n'existe pour servir de référence. Les passkeys n'ont rien à quoi s'authentifier lors de la toute première interaction de quelqu'un avec votre produit.

Le changement réaliste n'est donc pas que « la vérification disparaît ». C'est que la vérification se divise en deux missions avec deux outils différents :

  • Connexion des utilisateurs existants → les passkeys, de plus en plus par défaut, suivant exactement la voie que Microsoft vient d'imposer.
  • Vérification téléphonique au premier contact → nécessite toujours un canal actif vers un numéro non vérifié, ce qui veut dire que le choix du canal — et son exposition au SIM swap, au SS7 et à la fraude AIT — compte toujours énormément. C'est tout l'argument en faveur de la vérification par flash call plutôt que par SMS classique : elle n'hérite d'aucune des expositions au SIM swap ou au SS7 décrites ci-dessus, car aucun code n'est transmis sous forme de données à intercepter.

Microsoft vient de prouver que le secteur prend au sérieux la suppression du SMS comme facteur de connexion. La prochaine question — quel canal mérite réellement le moment de l'inscription — est exactement là où cela devient intéressant.

Sources