Pendant trente ans, une organisation qui devait se justifier après un accès frauduleux répondait à une question : l'authentification a-t-elle eu lieu ? La réponse se trouvait dans un journal, et cela suffisait. Cette question n'est plus celle qui décide de l'issue d'un litige.
Celle qui décide désormais est différente : cette personne a-t-elle voulu cette opération, en comprenant ce qu'elle engageait ? Aucun journal d'authentification ne la documente, et c'est un problème d'architecture avant d'être un problème de traçabilité.
Trois questions successives, trois régimes de preuve
| Ce qui est en cause | La question posée | Ce qui y répondait | Ce qui la contourne |
|---|---|---|---|
| L'accès | qui se connecte ? | un secret partagé | vol et rejeu d'identifiants |
| La session | la connexion est-elle légitime ? | second facteur, contexte technique | relais en temps réel, vol de jeton |
| L'acte | l'opération était-elle voulue ? | rien, dans la plupart des architectures | persuasion de l'utilisateur |
Les deux premières lignes ont produit une industrie : mots de passe, MFA, détection d'anomalies, gestion des sessions. La troisième est restée sans réponse technique, et c'est celle que le contentieux et le régulateur ont commencé à poser.
Pourquoi la troisième question est d'une autre nature
Les deux premières portent sur l'identité du sujet. La troisième porte sur sa volonté. Une preuve d'identité ne peut pas répondre à une question de volonté : ce n'est pas une insuffisance de degré, c'est une différence d'objet.
La conséquence est brutale pour les architectures existantes. Dans une fraude au faux conseiller, la victime s'authentifie correctement, avec le bon facteur, depuis son appareil habituel, et valide elle-même l'opération. Tous les contrôles fonctionnent comme spécifié. Il n'y a aucune vulnérabilité à corriger, aucun correctif à déployer, aucune alerte à affiner. Un système optimisé pour prouver une identité n'est pas partiellement capable de prouver une intention : il en est incapable par construction.
C'est ce constat qui sépare la fraude autorisée des attaques classiques, et qui explique pourquoi les indicateurs de couverture MFA ne bougent pas quand ce type de fraude progresse.
Ce que le droit européen a déjà écrit
Le déplacement n'est pas une anticipation : une partie est déjà dans les textes.
- DSP2 (directive (UE) 2015/2366) impose, au-delà de l'authentification forte, un lien dynamique entre l'authentification et le montant ainsi que le bénéficiaire de l'opération. Le législateur y demande déjà que la preuve porte sur l'acte et non sur la session. C'est le seul endroit où l'exigence est explicite, et c'est celui qui est le plus souvent traité comme une formalité d'affichage.
- NIS2 (directive (UE) 2022/2555) inscrit l'authentification multifacteur et la traçabilité dans les mesures de gestion des risques attendues.
- DORA (règlement (UE) 2022/2554), applicable depuis janvier 2025 au secteur financier, ajoute la maîtrise démontrable de la chaîne de sous-traitance.
- Le Cyber Resilience Act (règlement (UE) 2024/2847), dont les obligations principales portent à l'horizon fin 2027, déplace une part de la charge vers le fabricant du produit.
- Le paquet DSP3 / PSR est encore en processus législatif européen : rien n'en est applicable. Sa direction — élargir le débat aux opérations « autorisées » par la victime — est néanmoins assez nette pour peser sur des choix d'architecture engagés aujourd'hui, dont l'amortissement dépassera son adoption.
Cette lecture est opérationnelle et ne constitue pas un avis juridique. La qualification d'un cas et les conséquences d'un manquement dépendent du contexte et doivent être validées avec vos conseils.
Trois conséquences d'architecture, pas de politique interne
Un déplacement de la charge de la preuve ne se traite pas par une note de service.
- La preuve doit être produite au moment de l'acte, et porter sur l'acte. Une session ouverte le matin ne prouve rien d'une opération de l'après-midi. C'est la différence entre authentifier et autoriser puis prouver.
- Le contexte affiché devient un élément du dossier. Ce que l'utilisateur a vu à l'écran au moment de valider détermine s'il pouvait comprendre. Presque aucun système ne le conserve, ce qui rend le journal d'authentification muet sur le point décisif.
- L'indépendance des chemins devient mesurable. Deux contrôles qui reposent sur le même appareil n'en font qu'un. La question n'est pas combien de facteurs sont déployés, mais combien d'obstacles réellement distincts un attaquant doit franchir.
La réponse au troisième niveau suppose un élément que la possession d'un secret ne fournit pas : la démonstration qu'un acte a été accompli par un raisonnement propre à la personne, au moment de l'opération. C'est l'objet du 4ᵉ facteur cognitif.
Ce que ce déplacement ne règle pas
Il ne dit rien de la répartition du coût. Savoir qui supporte la perte quand un client a validé lui-même une opération frauduleuse est une question d'allocation de responsabilité, pas de preuve, et les incitations y sont mal placées — c'est l'objet de l'asymétrie économique de la fraude.
Il ne rend pas non plus un dossier auto-suffisant : un journal, même scellé, reste le récit qu'un système fait de lui-même.
Enfin, il crée une tension réelle avec la minimisation attendue par le RGPD. Conserver ce qui a été affiché à un utilisateur, pendant la durée où une contestation reste possible, se justifie mais ne va pas de soi. Cet arbitrage doit être écrit avant l'incident, pas improvisé après.
FAQ
Faut-il attendre l'adoption de DSP3 pour agir ?
Non, et pas parce que le texte serait imminent — il ne l'est pas. Parce que les décisions concernées portent sur des infrastructures d'authentification dont le cycle de vie dépasse largement le calendrier législatif. Une architecture choisie aujourd'hui sera encore en place quand la question se posera.
Un journal horodaté et signé ne suffit-il pas ?
Le scellement établit qu'un enregistrement n'a pas été modifié. Il ne dit rien de ce que l'enregistrement omet. Si le journal atteste une session sans rattacher la preuve à l'opération, le sceller renforce un élément qui ne porte pas sur le point contesté.
Cette question concerne-t-elle les organisations non financières ?
Le contentieux le plus visible est financier, parce que la perte y est immédiatement chiffrable. Le mécanisme est général : dès qu'une action est irréversible — suppression, divulgation, engagement contractuel, modification de droits — l'organisation doit pouvoir établir qu'elle était voulue.
Comment un comité exécutif s'en saisit-il utilement ?
En posant une question unique sur ses trois parcours les plus sensibles : que serions-nous capables de produire, six mois après, si l'opération était contestée ? La réponse, souvent, tient en peu de mots et se passe de tableau de bord. La méthode de restitution est détaillée dans présenter le risque à une direction.
Aller plus loin : pilier : authentification cognitive · quel dossier de preuve produire · taxonomie de la preuve · NIS2, DORA, DSP3, CRA