Dans un établissement bancaire, la DSP2 — directive (UE) 2015/2366 — ne se lit pas comme un chapitre de politique de sécurité mais comme une contrainte qui traverse des dizaines de parcours clients concrets : virement, ajout de bénéficiaire, relèvement de plafond, initiation de paiement par un tiers, paiement en ligne, renouvellement de carte, réinitialisation de l'accès. Ces parcours n'ont pas été conçus ensemble, ils n'ont pas le même âge, et c'est presque toujours à leurs jonctions que la fraude s'installe. La mécanique générale de l'authentification forte du client est détaillée dans DSP2 : les obligations qui touchent l'authentification ; cette page entre directement dans les parcours.
Cet article propose une lecture opérationnelle et ne constitue pas un avis juridique. La qualification des opérations soumises à l'authentification forte du client relève de votre analyse réglementaire et de vos conseils.
Les parcours où la SCA se joue vraiment
| Parcours client | Ce qui est réellement en jeu | Faiblesse fréquemment observée |
|---|---|---|
| Ajout d'un bénéficiaire | L'opération qui rend tous les virements suivants « légitimes » | Validation générique, sans affichage lisible du bénéficiaire ajouté |
| Virement ponctuel | Montant et destinataire, donc le lien dynamique lui-même | Écran de confirmation qui n'indique ni le montant ni le compte crédité |
| Relèvement de plafond | Préparation d'une opération à venir, souvent hors radar | Traité comme un simple paramètre, pas comme une action sensible |
| Initiation de paiement par un tiers | Répartition des rôles entre l'initiateur et le teneur de compte | Zone grise sur qui affiche quoi, et qui conserve la preuve |
| Paiement en ligne par carte | Validation dans un canal souvent différent de celui de l'achat | Bascule vers un canal moins résistant quand le premier échoue |
| Renouvellement ou réémission de carte | Réception physique et activation | Activation adossée à une donnée connue plutôt qu'à un facteur |
| Réinitialisation de l'accès | Reconstruction complète de l'identité numérique du client | Parcours conçu pour désengorger le support, pas pour résister |
Un principe se dégage de ce tableau : les opérations les plus dangereuses ne sont pas toujours celles qui déplacent de l'argent. Ce sont celles qui préparent un déplacement d'argent. Un bénéficiaire ajouté frauduleusement transforme les virements suivants en opérations apparemment normales, validées par un client apparemment légitime.
La récupération de compte : la porte de service du dispositif
Un dispositif d'authentification vaut ce que vaut son parcours de secours. Un client qui a changé de téléphone, perdu sa carte ou oublié ses identifiants doit pouvoir revenir — et ce chemin de retour est souvent le seul du système à ne reposer sur aucun facteur fort.
Trois situations reviennent systématiquement en audit. Le retour par courriel, lorsque la boîte du client est elle-même protégée par un simple mot de passe. Le retour par pièce justificative, quand la photographie d'un document scanné suffit à réenrôler un terminal. Le retour par téléconseiller, lorsque la vérification repose sur des informations que l'attaquant a pu obtenir ailleurs.
La règle de conception tient en une phrase : le parcours de récupération ne doit pas être plus faible que le parcours qu'il restaure. Si l'accès nominal exige deux facteurs indépendants et que la récupération se contente d'un code envoyé sur une adresse de courriel, le niveau de sécurité réel du compte est celui de la boîte de courriel.
Le centre de relation client, angle mort du dispositif technique
Les investissements portent sur l'application mobile et le portail. La fraude, elle, prend souvent le téléphone. Le scénario du faux conseiller reste une voie d'entrée majeure sur des comptes pourtant protégés par une authentification forte : l'appelant se présente comme un agent de la banque, annonce une opération suspecte, met la personne en situation d'urgence, et lui demande de valider une action « pour bloquer la fraude ». Le client valide lui-même, avec son propre facteur. Le contrôle technique fonctionne parfaitement, et l'argent part.
La synthèse vocale rend ce scénario plus difficile à détecter encore, comme l'analyse la fraude au faux conseiller. Deux directions restent accessibles sans attendre : rendre l'opération visible et compréhensible au moment exact de la validation, pour que la personne manipulée ait une chance de voir un bénéficiaire inconnu ; et supprimer, côté centre de relation client, toute procédure qui demande au client de communiquer ou de saisir un code.
Ce que la SCA ne couvre pas : la manipulation du client lui-même
Il faut le dire sans détour : l'authentification forte du client répond à la question « est-ce bien le client ? », pas à la question « le client comprend-il ce qu'il autorise ? ». Une SCA irréprochable, avec deux facteurs indépendants et un lien dynamique correctement implémenté, ne détecte pas qu'un tiers a construit l'intention à la place du client.
C'est la limite structurelle du dispositif, et elle explique pourquoi les travaux réglementaires ultérieurs se concentrent sur la fraude dite « autorisée ». Techniquement, la seule voie de progression consiste à faire porter la preuve non plus sur la détention d'un secret mais sur un acte délibéré, situé dans le contexte de l'opération. C'est l'objet du quatrième facteur cognitif « je sais faire » proposé par l'authentification cognitive, qui vise à attester d'une intention humaine consciente plutôt que d'une simple possession.
Un plan de travail réaliste sur un trimestre
- Recenser les parcours qui préparent un mouvement de fonds — ajout de bénéficiaire, plafond, coordonnées de contact, appairage d'un nouveau terminal — et vérifier qu'ils sont traités au même niveau d'exigence qu'un virement.
- Auditer les écrans de validation : le montant et le bénéficiaire sont-ils affichés là où le client confirme, ou seulement dans le navigateur qu'il vient de quitter ?
- Reprendre le parcours de récupération de compte de bout en bout, variantes traitées par le support humain comprises, et supprimer les replis plus faibles que le chemin nominal.
- Interdire toute demande de code par un conseiller, l'inscrire dans les scripts et le communiquer aux clients.
- Documenter la traçabilité : que produit-on, plusieurs mois après, pour démontrer l'origine d'une opération contestée ?
FAQ
L'ajout d'un bénéficiaire doit-il être traité comme un virement ?
Du point de vue du risque, oui : c'est l'opération qui rend les virements suivants apparemment légitimes. La fraude ne porte souvent pas sur le virement contesté, mais sur l'inscription du compte qui l'a précédé.
Comment traiter les clients qui ne disposent pas d'un smartphone récent ?
La question est réelle et ne se règle pas par une exception permanente, qui deviendrait la voie d'entrée privilégiée. La démarche consiste à définir un parcours alternatif de niveau équivalent, documenté et surveillé, plutôt qu'un contournement au cas par cas décidé par le support.
Un dispositif conforme protège-t-il contre la fraude au faux conseiller ?
Non, et il est important de le formuler ainsi en interne. La conformité porte sur la vérification de l'identité et le rattachement du code à l'opération ; elle ne dit rien de la manipulation psychologique qui a conduit le client à valider. Les deux sujets appellent des réponses distinctes.
Que faut-il conserver pour répondre à une opération contestée ?
Au minimum, la nature de l'opération, les données auxquelles le code d'authentification était lié, le canal et le contexte de la validation, ainsi que la décision d'exemption éventuelle et son fondement. L'objectif est de pouvoir reconstituer un enchaînement compréhensible longtemps après les faits.
Aller plus loin : DORA appliqué à la banque · repenser la récupération de compte