Mots de passe et MFA : passer à FIDO2 dans une PME suisse

Les identifiants volés restent le vecteur d'attaque numéro un

Un fichier de 10 millions de credentials suisses circule sur un forum criminel depuis 2024 — adresses e-mail en .ch, mots de passe en clair issus de fuites de services tiers. Une PME vaudoise de 45 employés n'en saura rien jusqu'au jour où un attaquant se connecte à son Microsoft 365 avec les accès du directeur financier, exfiltre les fiches de salaire et les contrats clients, puis demande une rançon. À ce stade, l'entreprise est à la fois victime d'une intrusion et potentiellement en infraction avec la loi fédérale sur la protection des données (nLPD).

Le problème n'est pas le mot de passe faible : c'est que le mot de passe, même fort, reste phishable, rejouable et partageable. Le MFA par SMS ou TOTP (code à 6 chiffres) réduit le risque mais ne l'élimine pas — les attaques de type real-time phishing (EvilGinx2, Modlishka) capturent le code OTP en temps réel. FIDO2/WebAuthn coupe ce vecteur structurellement.

Cadre légal suisse : ce que la nLPD impose concrètement

Obligation de sécurité technique

L'art. 8 nLPD impose des mesures techniques et organisationnelles appropriées pour protéger les données personnelles. L'Ordonnance sur la protection des données (OPDo) précise que ces mesures doivent tenir compte de l'état de la technique. En 2025, le Centre national pour la cybersécurité (NCSC) recommande explicitement l'authentification forte sans mot de passe pour les accès aux systèmes traitant des données personnelles sensibles. Continuer à s'appuyer sur des mots de passe seuls pour des comptes accédant à des données de santé, financières ou RH constitue une mesure techniquement obsolète — ce qui peut caractériser une violation de l'art. 8.

Notification obligatoire en cas de violation

Dès que des données personnelles sont compromises et que cela est susceptible d'engendrer un risque élevé pour les personnes concernées, l'art. 24 nLPD impose une notification au Préposé fédéral à la protection des données et à la transparence (PFPDT) dans les meilleurs délais. Il n'existe pas de délai fixe de 72 heures comme dans le RGPD, mais la jurisprudence et les recommandations du PFPDT convergent vers une fenêtre de 48 à 72 heures. Une PME victime d'un vol de credentials sans MFA robuste sera difficilement en mesure d'argumenter que ses mesures étaient « appropriées ».

Sanctions

La nLPD prévoit des amendes allant jusqu'à CHF 250 000 à l'encontre des personnes physiques responsables (directeur, DSI) — pas de l'entreprise directement. Ce point est souvent mal compris : c'est le dirigeant qui engage sa responsabilité pénale. En cas de violation liée à une absence de MFA documentée, le PFPDT peut également formuler des recommandations contraignantes et rendre l'affaire publique.

Pourquoi FIDO2 et pas juste un second facteur classique

Architecture cryptographique

FIDO2 repose sur une paire de clés asymétriques générée localement sur le authenticator (clé de sécurité USB/NFC, TPM intégré au poste, smartphone via passkey). La clé privée ne quitte jamais le dispositif. Le serveur ne stocke que la clé publique et un identifiant de session. Conséquences :

• Aucun secret partageable : pas de code OTP à intercepter en transit.
• Liaison à l'origine (origin binding) : la clé est cryptographiquement liée au domaine. Un faux site de phishing ne peut pas générer une assertion valide.
• Résistance au replay : chaque assertion contient un nonce unique signé.

Comparaison des niveaux MFA

• SMS OTP : phishable, interceptable par SIM-swapping. Niveau de sécurité : faible.
• TOTP (Google Authenticator, Authy) : phishable en temps réel. Niveau : moyen.
• Push notification (Duo, Authenticator) : vulnérable au MFA fatigue. Niveau : moyen-haut.
• FIDO2 hardware key ou passkey : résistant au phishing par conception. Niveau : élevé, conforme aux recommandations NIST CSF et CIS Controls v8 (contrôle 6).

Passkeys vs clés physiques

Les passkeys (FIDO2 synchronisés via iCloud Keychain, Google Password Manager ou Windows Hello) offrent une expérience utilisateur quasi transparente mais impliquent que la clé privée est sauvegardée dans le cloud du fournisseur. Pour une PME traitant des données sensibles (fiduciaire, santé, juridique), les clés physiques type YubiKey 5 NFC ou Nitrokey FIDO2 restent préférables : la clé privée est liée au hardware et ne peut pas être exportée. Prix unitaire : CHF 55 à 90 par clé, généralement deux clés par utilisateur (principale + backup).

Architecture de déploiement dans un environnement hybride PME

Prérequis techniques

• Azure AD / Entra ID ou Okta comme Identity Provider (IdP) — support FIDO2 natif depuis 2021.
• Postes Windows 11 avec TPM 2.0 activé (Windows Hello for Business possible sans clé physique).
• macOS 14 Sonoma : support natif des passkeys via Safari et applications compatibles WebAuthn.
• Navigateurs : Chrome 70+, Firefox 60+, Safari 14+. Edge 18+ sur Windows.
• Applications SaaS : vérifier la compatibilité WebAuthn de chaque application métier — la plupart des suites modernes (Microsoft 365, Google Workspace, Salesforce, GitHub) sont compatibles.

Scénario hybride typique (Active Directory on-prem + Azure AD)

1. Activer Azure AD Hybrid Join ou migration vers Entra ID uniquement si la roadmap le permet.
2. Activer la méthode d'authentification FIDO2 dans le portail Entra ID → Sécurité → Méthodes d'authentification.
3. Déployer la stratégie de Conditional Access : exiger une clé FIDO2 enregistrée pour tous les accès aux applications classées sensibles (ERP, DMS, RH).
4. Distribuer les clés physiques via un processus de remise en main propre avec enregistrement dans l'IdP par l'utilisateur lui-même (auto-enrollment) sous supervision IT.
5. Conserver un processus de récupération documenté : si l'utilisateur perd sa clé principale, la clé backup permet de révoquer et réenregistrer la clé principale sans intervention au helpdesk.

Applications legacy sans support WebAuthn

Les applications internes héritées (ERP de production, logiciels comptables anciens) peuvent ne pas supporter FIDO2 nativement. La solution courante est un proxy d'authentification (SAML/OIDC gateway) qui expose une interface WebAuthn côté utilisateur et traduit vers le protocole legacy côté application. Cela ajoute une couche d'infrastructure mais maintient la cohérence du modèle de sécurité.

Procédure de migration étape par étape

1. Inventaire des applications et des comptes à risque — Lister toutes les applications accédées avec un identifiant/mot de passe. Prioriser les comptes administrateurs, les comptes accédant à des données personnelles et les accès distants (VPN, RDP).
2. Choix du modèle d'authenticator — Clé physique pour les rôles admin et les postes sans TPM ; passkey / Windows Hello for Business pour les postes Windows 11 avec TPM 2.0 ; passkey Apple pour les utilisateurs macOS/iOS dans un environnement confiance Apple Business Manager.
3. Phase pilote (2 semaines) — 5 à 10 utilisateurs techniques. Tester les scénarios de perte de clé, de changement de poste, d'accès en déplacement (connexion sur un poste tiers).
4. Formation utilisateur — 30 minutes suffisent. Focus sur : brancher la clé, appuyer sur le bouton, ne jamais prêter la clé. Documenter la procédure de signalement de perte (délai cible : < 2 heures pour révocation).
5. Déploiement par vague — Rôles admin d'abord, puis métiers sensibles (RH, finance, juridique), puis ensemble des collaborateurs. Horizon recommandé : 6 à 10 semaines pour une PME de 50 postes.
6. Retrait du MFA faible — Une fois 90 % des comptes migrés, désactiver les méthodes SMS/TOTP pour les comptes sensibles via la politique Conditional Access. Ne pas supprimer la méthode backup avant d'avoir validé la procédure de récupération.
7. Mise à jour de la politique de sécurité — Documenter le changement dans le registre des traitements nLPD (art. 12 nLPD) et mettre à jour la politique de gestion des accès.
8. Test de pénétration post-déploiement — Valider que les accès clés sont bien protégés contre le phishing et le credential stuffing. Budget estimé : CHF 3 000 à 8 000 pour une PME de 50 postes (test ciblé sur l'authentification).

Cas pratique : fiduciaire genevoise de 38 collaborateurs

La fiduciaire Dumont & Associés SA (nom fictif, profil représentatif) gère les comptes de 420 clients PME, traite des données fiscales et financières, et emploie 38 personnes sur deux sites (Genève et Nyon). Environnement : Microsoft 365 Business Premium, ERP Abacus on-prem, NAS Synology pour les archives, VPN Cisco. Parc : 38 postes Windows 11, 12 MacBook Pro (macOS 14), 38 smartphones iOS sous gestion MDM.

Situation initiale

• MFA activé sur Microsoft 365 via TOTP (Authenticator app) pour 70 % des comptes — les 30 % restants n'ont que le mot de passe.
• Aucun MFA sur l'accès VPN (authentification username/password LDAP).
• Abacus accessible via RDP exposé sur le port TCP 3389 (port standard, indexé par Shodan).
• Politique de mot de passe : longueur minimale 8 caractères, renouvellement annuel.

Incident déclencheur

En mars 2025, un collaborateur reçoit un e-mail usurpant l'identité du helpdesk Microsoft. Il saisit ses credentials sur une page de phishing. L'attaquant capture le token TOTP en temps réel via un proxy transparent. Résultat : accès à la boîte Microsoft 365 pendant 11 heures, téléchargement de 2 300 fichiers dont des bilans clients et des fiches de paie. Détection via une alerte de connexion depuis une IP bulgare dans les logs Entra ID. L'entreprise dispose de 48 à 72 heures pour notifier le PFPDT.

Plan de remédiation et migration FIDO2

1. Semaine 0 (incident) — Révocation immédiate de tous les tokens de session, réinitialisation forcée des mots de passe, activation de la méthode FIDO2 dans Entra ID. Notification au PFPDT préparée par le DSI et le juriste externe (délai respecté : 52 heures).
2. Semaine 1-2 — Commande de 90 YubiKey 5 NFC (38 utilisateurs × 2 clés + 14 de réserve) au prix de CHF 75 par clé = CHF 6 750. Création d'un processus de remise en main propre avec formulaire signé.
3. Semaine 3 — Pilote sur les 6 associés et les 3 IT. Configuration de la Conditional Access : les comptes admin et les accès à SharePoint (documents clients) exigent FIDO2. Les applications non critiques acceptent encore TOTP en transition.
4. Semaine 4-6 — Déploiement aux 38 collaborateurs. Formation en groupes de 8, 30 minutes par session. Enregistrement des clés backup dans un coffre physique au bureau (procédure documentée).
5. Semaine 7 — Migration VPN : remplacement de l'authentification LDAP par SAML + FIDO2 via Azure AD Application Proxy. Le port RDP 3389 est fermé ; accès Abacus uniquement via le VPN authentifié FIDO2.
6. Semaine 8 — Désactivation du TOTP pour les comptes accédant à des données clients. SMS OTP retiré définitivement. Test de phishing interne simulé : 0 credential capturé (l'assertion FIDO2 est rejetée sur le faux domaine).

Bilan chiffré

• Coût total de la migration : CHF 6 750 (hardware) + CHF 4 200 (jours IT internes estimés à 3 jours × CHF 1 400/jour) + CHF 2 800 (test de pénétration ciblé) = CHF 13 750.
• Coût estimé de l'incident : CHF 18 000 (forensique externe, communication client, heures juridiques, perte de productivité sur 5 jours).
• La migration FIDO2 coûte moins que la gestion d'un seul incident moyen.
• Prime d'assurance cyber réduite de 12 % à la renouvellement suivant, sur attestation du déploiement FIDO2 et du test de pénétration.

Récapitulatif opérationnel

1. Inventorier tous les comptes avec accès à des données personnelles ou sensibles — prioriser admin, finance, RH, juridique.
2. Vérifier la compatibilité FIDO2 de votre IdP (Entra ID, Okta, Google Workspace) et de vos applications métier critiques.
3. Choisir le modèle d'authenticator adapté : clé physique (YubiKey, Nitrokey) pour les rôles à risque élevé, passkey / Windows Hello pour les postes Windows 11 avec TPM 2.0.
4. Mener un pilote de 2 semaines sur 5 à 10 utilisateurs avant tout déploiement général — tester explicitement les scénarios de perte de clé et d'accès hors bureau.
5. Déployer par vague : admins → métiers sensibles → ensemble des collaborateurs. Délai cible : 6 à 10 semaines pour 50 postes.
6. Fermer les méthodes MFA faibles (SMS, TOTP) pour les comptes sensibles via Conditional Access une fois la migration à 90 %.
7. Documenter la migration dans le registre des traitements nLPD et mettre à jour la politique de gestion des accès — ces documents seront demandés en cas de contrôle PFPDT.
8. Définir une procédure de révocation en cas de perte de clé : délai cible < 2 heures, responsable désigné (DSI ou helpdesk senior).
9. Valider le déploiement par un test de phishing interne simulé et, si le budget le permet, un test de pénétration ciblé sur l'authentification (CHF 3 000 à 8 000).
10. Documenter l'ensemble pour votre assureur cyber : les garanties et primes sont directement liées au niveau de MFA déployé.

SynGuard accompagne les PME romandes dans l'évaluation de leur posture d'authentification et le déploiement de solutions MDM compatibles avec une stratégie FIDO2 cohérente.

Sources

• Loi fédérale sur la protection des données (nLPD) — fedlex.admin.ch — Texte consolidé de la nLPD en vigueur depuis le 01.09.2023, notamment les art. 8 (sécurité) et art. 24 (notification des violations).
• Ordonnance sur la protection des données (OPDo) — fedlex.admin.ch — Précisions sur les mesures techniques appropriées au sens de la nLPD.
• Obligation de notification au PFPDT — edoeb.admin.ch — Procédure et formulaire de notification en cas de violation de données personnelles.
• Centre national pour la cybersécurité (NCSC) — ncsc.admin.ch — Recommandations et alertes pour les entreprises suisses, incluant les conseils sur l'authentification forte.
• NIST Cybersecurity Framework — nist.gov — Cadre de référence pour la gestion des identités et des accès, aligné sur les bonnes pratiques internationales d'authentification.