Le SMS n'est pas un second facteur
Un numéro se détourne chez l'opérateur, et ce détournement ne laisse aucune trace côté victime.
Le code à usage unique par SMS reste le second facteur le plus déployé. C’est aussi l’un des plus faibles, pour une raison qui n’a rien à voir avec la cryptographie : le canal n’appartient pas à l’utilisateur.
Un numéro se transfère chez l’opérateur, sur présentation d’informations qu’un attaquant motivé rassemble. L’opération est légitime du point de vue du réseau, et la victime ne voit rien jusqu’au moment où son téléphone perd le signal.
Ce qui résiste
Une passkey ou une clé matérielle est liée au domaine qui l’a créée. Un site d’hameçonnage ne peut pas s’en servir, même si l’utilisateur y consent : la clé refuse de signer pour une origine qui n’est pas la sienne. Ce n’est pas une question de vigilance, c’est une propriété du protocole.
Là où ça se rejoue
La récupération de compte. C’est là que la plupart des déploiements réintroduisent le SMS par une porte dérobée, et annulent ce qu’ils venaient de gagner.