Jérémy Chieppa
J’aide les DSI de PME/ETI à reprendre le contrôle de leur cybersécurité | Gouvernance claire | Alignement DG | Sans techno imposée | Membre CLUSIR ARA | Référencé MonAideCyber (ANSSI)
Follow me
September 10, 2025
MFA n’est plus une barrière. C’est juste une étape de plus à contourner.
Un nouveau kit open-source rend le contournement de la double authentification accessible à n’importe quel attaquant.
Fonctionnement :
- L’utilisateur est redirigé vers une fausse page (identique à celle de Microsoft, Google, etc.).
- Le kit agit comme un reverse proxy qui intercepte en live les identifiants et le code 2FA.
- Il transfère le token d’accès en temps réel à l’attaquant, qui accède immédiatement au compte visé.
Particularités de Salty2FA :
- Basé sur Evilginx2.
- Ajout d’une interface web intuitive pour gérer les campagnes de phishing.
- Personnalisation simple des pages ciblées : Microsoft 365, GitHub, AWS, etc.
- Génération automatique de liens de phishing.
- Hébergement facile avec Cloudflare Tunnel (plus besoin d’IP publique).
En résumé :
✅ Moins de compétences techniques nécessaires
✅ Moins de friction pour l’attaquant
✅ Contournement en “quasi” 1 clic
💡 Ce que les RSSI/DSI devraient mettre en place dès maintenant :
- Détection de connexions à partir de tokens OAuth hors périmètre connu
- Surveillance des domaines typés en reverse proxy
- Formation sur le phishing MFA-aware (pas juste “ne clique pas sur un lien”)
- Blocage conditionnel basé sur le comportement et la géolocalisation
- Stratégie de MFA avec app d’authentification, token matériel ou passkey
- Zéro confiance, pas zéro clic.
❌ Activer le MFA ne suffit plus.
✅ Il faut en comprendre les limites, et renforcer le contexte d’usage.
source : infosecurity-magazine.com
---
En cybersécurité, il ne s'agit pas d'être parfait. Il s'agit d'être prêt.
PS : Si tu veux du contenu stratégique sur la cybersécurité pensée comme un actif business, follow + cloche. On monte le niveau ici.
41 Likes
September 10, 2025
Discussion about this post
Adaman Soumahoro
1 month ago
Cybersécurité & Infogérance : on protège ton activité et tes données clients pour une croissance sans interruption I Fondateur de Sys Project ✅️
La préparation ou l'anticipation, c'est ce qui sauve réellement en fait. Mais de nombreuses entreprises préfèrent attendre un incident avant d'agir.
Parfois, c'est lié au manque de budget alors qu'il existe des solutions simples, accessibles mais puissantes.
Romain Premaz
1 month ago
Responsable de la Sécurité des Systèmes d’Information (RSSI) | Transformer la cybersécurité en valeur pour l’entreprise | Stratégie, gestion des risques & conseil auprès des comités de direction
Très juste merci Jérémy Chieppa 🙂
Ce type de kit montre bien que MFA n’est pas une fin en soi, mais une brique dans un ensemble.
Le vrai problème ici n’est pas seulement le facteur d’authentification, mais la confiance aveugle accordée au navigateur : tant que l’utilisateur pense être sur un site légitime, il donnera tout.
👉 Ce que cela implique côté défense :
- Passkeys et FIDO2 : car basés sur le domaine, et donc immunisés aux reverse proxies.
- Threat hunting orienté token : surveiller les usages anormaux d’un jeton OAuth est aussi critique que surveiller les identifiants.
User experience ≠ sécurité : plus le MFA est simple (push, SMS), plus il est exploitable. Le compromis doit être réfléchi.
Le Zero Trust devrait s’appliquer au token lui-même, pas seulement au mot de passe 🤐
Fabrice Willot
1 month ago
J’aide entreprises, fédérations et institutions à utiliser l’IA de manière éthique et responsable | Conférencier, essayiste, formateur, consultant | Auteur de la trilogie “Shadow AI”
En effet, Salty2FA illustre bien les limites des 2FA classiques (SMS, TOTP, push…).
je pense qu'une piste de mitigation reste l’usage d’une clé matérielle FIDO2/WebAuthn, comme une YubiKey récente (firmware 5.7 minimum).
Elle est a priori pour le moement résistante au phishing et aux interceptions type man-in-the-middle.
A condition de maintenir à jour le module pam-u2f si utilisé, de privilégier les clés avec firmware récent, de rester attentif aux bulletins de sécurité de Yubico etc..
C’est une des approches les plus robustes aujourd’hui face à ce genre d’attaques.
