Le SMS-OTP est classé « restricted » par le NIST SP 800-63B — déconseillé — depuis des années. Il reste massivement déployé. L'explication habituelle invoque l'inertie ou le manque de moyens. Elle est insuffisante : dans la plupart des organisations, ce choix est rationnel pour celui qui le fait.
C'est le signe d'une asymétrie d'incitations, et non d'un déficit de connaissance. Une asymétrie ne se corrige pas par de la sensibilisation.
La première asymétrie : décider sans supporter
| Acteur | Ce qu'il optimise | Ce qu'il supporte | L'écart |
|---|---|---|---|
| Direction produit | conversion, taux d'achèvement des parcours | rien de la fraude | total |
| Direction technique | disponibilité, volume de sollicitations du support | rien de la perte | total |
| Direction des risques | pertes constatées | la perte, sans maîtriser le parcours | inverse |
| Client final | son temps | tout ou partie de la perte, selon le régime applicable | maximal |
| Assureur | sinistralité du portefeuille | une part de la perte, après franchise | partiel |
La ligne décisive est la première. Une friction ajoutée à un parcours d'inscription produit un effet mesurable la semaine suivante, imputable à une équipe identifiée. Une fraude évitée ne produit aucune observation : elle n'existe pas dans les données. Un arbitrage trimestriel entre un coût observé et un coût non observable est tranché d'avance.
La deuxième asymétrie : coût continu contre coût de queue
La friction est un coût certain, faible et récurrent. La fraude est un coût incertain, élevé et rare. Les deux ne se comparent pas dans le même exercice budgétaire, et la comparaison directe favorise systématiquement le premier terme.
Trois effets en découlent, tous observables.
- Le parcours de reprise devient la variable d'ajustement, parce que c'est là que la friction est la plus visible et la fraude la moins attribuable.
- La méthode la plus faible survit sur les populations les plus nombreuses, où le coût de la friction est multiplié par le volume.
- Les décisions se prennent par exception cumulée : chaque dérogation est défendable seule, et l'ensemble n'est jamais réexaminé.
La méthode pour rendre cet arbitrage explicite plutôt que subi est traitée dans arbitrer entre sécurité et friction.
La troisième asymétrie : les externalités
Un parcours de récupération faible chez un acteur ne produit pas seulement une perte chez lui. La boîte de messagerie sert de clé maîtresse à des dizaines de services : celui qui accepte de réinitialiser un accès sur la seule base d'un code envoyé par courriel délègue de fait sa sécurité au fournisseur de messagerie, et expose tous les autres services qui font le même choix.
Aucun acteur n'a d'intérêt individuel à traiter cette externalité, ce qui est la définition même d'un problème qui ne se résout pas par le marché. C'est aussi ce qui justifie une intervention normative plutôt qu'une exhortation aux bonnes pratiques.
Ce qui corrige effectivement l'asymétrie
Trois mécanismes, par ordre d'efficacité constatée.
- Déplacer la charge par la règle. DSP2 (directive (UE) 2015/2366) a imposé l'authentification forte et le lien dynamique : le niveau a monté parce que la charge s'était déplacée, pas parce que la connaissance avait progressé. Le paquet DSP3 / PSR, encore en processus législatif européen, poursuit dans cette direction en portant le débat sur les opérations « autorisées » par la victime. Rien n'en est applicable, mais la direction est lisible.
- Faire porter le coût par le décideur, en interne. Imputer la perte au parcours qui l'a permise change les arbitrages plus sûrement qu'une politique de sécurité. C'est un mécanisme de gouvernance, pas de sécurité, et il ne demande aucun outil.
- Tarifer le risque. Un questionnaire d'assurance qui distingue les méthodes et les parcours de reprise transforme un choix technique en coût immédiat. L'effet est réel mais borné par la qualité des questions posées — voir ce qu'attend un assureur cyber.
Pourquoi cela intéresse un décideur public
Le levier le plus efficace n'est pas de prescrire une technologie. Une prescription technique vieillit, ferme le marché et déplace la conformité vers la case à cocher ; une réallocation de responsabilité laisse le choix des moyens et modifie durablement les incitations.
Cette lecture a une conséquence directe sur la conception des textes : exiger une propriété vérifiable — la preuve porte sur l'acte, le chemin de reprise n'est pas plus faible que le facteur principal — produit plus d'effet qu'imposer une méthode. C'est ce qui distingue le lien dynamique de DSP2, qui décrit un résultat, d'une liste de technologies admises, qui décrirait un état du marché.
Sur le fond, l'asymétrie tient à ce qu'aucun dispositif courant ne sait établir qu'une opération a été voulue : la perte se discute donc en équité plutôt qu'en preuve. Fournir cette preuve déplace le débat, et c'est l'objet du 4ᵉ facteur cognitif. Le versant juridique du même déplacement est traité dans la charge de la preuve.
Les limites de cette lecture
Internaliser le coût peut produire l'excès inverse : une organisation qui supporte l'intégralité des pertes a intérêt à sur-durcir, et l'exclusion des publics les moins équipés en est la conséquence directe. Ce coût n'apparaît dans aucun tableau de fraude.
Un transfert intégral de la charge vers le professionnel crée par ailleurs un aléa moral du côté de l'utilisateur, dont l'attention n'est plus sollicitée. La littérature économique sur l'assurance décrit ce mécanisme depuis longtemps ; il n'y a pas de raison qu'il épargne l'authentification.
Enfin, cette analyse explique la persistance des méthodes faibles, elle ne la justifie pas. Une décision rationnelle pour un service peut rester une mauvaise décision pour l'organisation — c'est précisément ce qu'une asymétrie produit.
FAQ
Comment imputer une perte à un parcours sans créer un climat de sanction ?
En imputant au parcours et non à l'équipe. L'objet est de rendre le coût visible là où le choix se fait, pas de désigner un responsable : une imputation nominative produit de la dissimulation d'incidents, ce qui aggrave le problème mesuré.
Le client doit-il supporter une part de la perte ?
La question est juridique et dépend du régime applicable, qui évolue. Économiquement, un partage maintient une incitation des deux côtés ; un transfert total en supprime une. C'est un arbitrage de politique publique, pas une évidence technique.
Cette analyse vaut-elle pour les accès internes ?
Oui, avec un décalage : la perte est moins chiffrable, donc l'asymétrie est plus forte. C'est ce qui explique que les comptes d'administration soient parfois protégés par des méthodes plus faibles que les comptes clients, alors que leur pouvoir est supérieur.
Comment un comité peut-il constater cette asymétrie chez lui ?
En posant deux questions sur les trois derniers arbitrages de parcours : qui a décidé, et qui aurait supporté la perte ? Si les réponses diffèrent systématiquement, l'asymétrie est établie sans avoir besoin de la chiffrer.
Aller plus loin : pilier : authentification cognitive · le coût d'une violation de données · ROI de l'authentification forte · indicateurs pour un comité exécutif