Dans la majorité des fraudes au virement, aucun contrôle n'est contourné : la victime valide elle-même l'opération. Elle saisit son code, approuve la notification, présente son visage. Tous les facteurs sont fournis, correctement, par la bonne personne. Ce qui a échoué n'est pas l'authentification, c'est le lien entre l'authentification et la volonté réelle de celui qui paie.
Trois scénarios, un seul point commun
| Scénario | Ce qui se passe | Ce que le système observe |
|---|---|---|
| Faux conseiller | un appel convainc la victime de « sécuriser » son argent | authentification nominale par le titulaire |
| Fraude au président | un dirigeant imité demande un virement urgent et confidentiel | ordre validé par un collaborateur habilité |
| Changement d'IBAN fournisseur | une facture légitime est payée sur un compte substitué | virement conforme au circuit de validation |
| Vol de session | un jeton dérobé permet d'agir sans facteur | session ouverte régulièrement |
Les trois premières lignes partagent une caractéristique : les journaux sont propres. L'analyse post-incident ne trouve aucune anomalie technique parce qu'il n'y en a pas. La quatrième diffère — l'attaquant agit lui-même — mais aboutit au même constat : la validation de la connexion ne dit rien de l'opération.
Ce que la DSP2 couvre déjà, et ce qu'elle laisse ouvert
La directive européenne 2015/2366 impose l'authentification forte du client : deux facteurs de catégories distinctes, et surtout le lien dynamique — le code de validation doit être rattaché au montant et au bénéficiaire de l'opération.
C'est une exigence forte, et elle traite un problème réel : la substitution technique de la transaction entre l'affichage et l'exécution. Elle ne traite pas la manipulation de la personne. Si la victime lit le bon montant et le bon bénéficiaire tout en croyant une histoire fausse, le lien dynamique est parfaitement respecté et le virement part.
Une seconde limite est fréquente en pratique : le canal de validation. Le SMS-OTP reste utilisé alors que le NIST SP 800-63B le classe « restricted », c'est-à-dire déconseillé, en raison de sa vulnérabilité au relais et au SIM swapping. Un lien dynamique transmis par un canal faible reste un lien dynamique fragile.
Valider l'opération, pas la connexion
Le facteur cognitif se place au moment du virement, pas au moment de l'entrée dans l'application. L'utilisateur applique une méthode de résolution personnelle, acquise lors d'un enrôlement hors ligne, à un challenge présenté avec le contexte de l'opération.
Trois effets sur les scénarios ci-dessus :
- Un temps de conscience est introduit. Résoudre suppose de regarder ce qui est affiché. Le geste réflexe — « appuyez sur valider » — n'existe plus comme raccourci, ce qui gêne particulièrement la manipulation en direct au téléphone.
- Rien ne se dicte. Un fraudeur qui demande « lisez-moi le code » n'obtient rien d'exploitable : la réponse ne vaut que pour le challenge en cours. Ce mode opératoire, central dans le vishing, perd son objet.
- Un jeton volé ne suffit plus. L'opération exige une preuve produite au moment de l'action, que l'attaquant ne peut pas extraire d'un cookie.
Une politique de seuils qui tient dans le temps
L'erreur classique consiste à raisonner sur un seuil de montant unique. Une politique robuste croise plusieurs dimensions :
- le montant, avec un seuil absolu et un seuil relatif à l'historique du compte ;
- la nouveauté du bénéficiaire — un premier virement vers un IBAN inconnu mérite plus qu'un virement récurrent ;
- la modification récente des coordonnées bancaires du bénéficiaire, signal le plus corrélé à la fraude au fournisseur ;
- le contexte : terminal inconnu, réseau inhabituel, horaire atypique, ce qu'un score de risque contextuel évalue ;
- le cumul sur une fenêtre glissante, pour éviter le fractionnement.
Le niveau d'exigence suit ces dimensions, dans un continuum du 2FA au 4FA : validation légère pour un virement interne récurrent, challenge complet pour un premier paiement vers un nouveau bénéficiaire au-delà d'un seuil.
Côté déploiement
Le facteur peut s'ajouter en overlay d'une chaîne existante, ce qui permet de traiter d'abord le parcours de virement sans refondre l'espace client ni l'IdP. Trois points à cadrer :
- les parcours de secours — un client qui ne peut pas valider doit avoir une voie qui ne soit pas plus faible que la voie nominale ;
- la preuve conservée : ce qui a été affiché au moment de la validation, et le fait qu'une résolution a eu lieu, ont plus de valeur en contentieux qu'une mention « MFA validée » ;
- les canaux hors application — virement par téléphone, par courrier, en agence — qui restent souvent le maillon faible.
FAQ
Cela empêche-t-il totalement la fraude au faux conseiller ?
Non, et aucune technologie ne le peut. Une personne déterminée à agir peut être manipulée jusqu'au bout. L'objectif est d'augmenter le coût et la durée de la manipulation, et de rétablir un moment de lucidité rattaché à l'opération affichée.
Est-ce compatible avec les exigences DSP2 ?
Le facteur cognitif s'ajoute à une chaîne conforme et n'a pas vocation à remplacer une exigence réglementaire. Il apporte ce que le texte n'exige pas explicitement : la preuve d'une intention consciente au moment de l'ordre.
Quel impact sur le taux d'abandon ?
Il dépend entièrement du réglage des seuils. Une validation renforcée appliquée à tous les virements crée de la friction inutile ; ciblée sur les nouveaux bénéficiaires et les montants atypiques, elle touche une fraction réduite des opérations.
Et pour les virements en entreprise, avec plusieurs valideurs ?
Le circuit à plusieurs approbations pose une question spécifique : deux validations effectuées par le même canal faible ne valent pas mieux qu'une seule. Chaque approbation doit être individuellement probante.
Aller plus loin : le principe du 4ᵉ facteur · prouver une intention humaine · la fraude au faux conseiller · DSP2 et authentification forte