Dans la banque, le phishing se décline en deux chaînes qui n'ont ni les mêmes leurres, ni les mêmes parades. La première vise le client et cherche à faire valider une opération frauduleuse par son propriétaire légitime. La seconde vise le collaborateur et cherche une session interne. Les confondre conduit à investir massivement dans la sensibilisation des clients pendant que la porte professionnelle reste ouverte.
Chaîne n° 1 : faire valider l'opération par le client lui-même
Le point souvent mal compris est que l'attaquant n'a pas besoin de contourner l'authentification forte du client : il lui suffit de s'en servir. Le déroulé est constant.
L'attaquant, en possession des accès du client ou de la maîtrise d'une page relais, déclenche une opération réelle. Le client reçoit alors une demande de validation authentique, émise par sa banque. Un appel simultané lui explique qu'il s'agit d'annuler une fraude en cours, de tester un dispositif ou de sécuriser son compte. La victime valide en pensant faire l'inverse de ce qu'elle fait. Techniquement, tout a fonctionné.
C'est exactement ce que le lien dynamique exigé par la DSP2 (directive (UE) 2015/2366) cherche à empêcher : l'authentification doit être rattachée au montant et au bénéficiaire réels de l'opération. La conséquence pratique est que la qualité de l'affichage de ces informations, au moment de la validation, compte autant que la robustesse cryptographique du facteur. Un écran qui affiche « Confirmez-vous cette connexion ? » ne satisfait pas l'intention du texte, quelle que soit la technologie employée.
Chaîne n° 2 : entrer par le collaborateur
Le phishing interne poursuit un objectif différent : obtenir une session. Il s'appuie sur un proxy inverse qui relaie en temps réel les saisies vers le service légitime et capte le cookie émis à l'issue de l'authentification. Les leurres sont adaptés au quotidien du secteur : notification d'outil de conformité, demande de validation d'un dossier client, alerte de surveillance des transactions, message d'un prestataire d'infogérance.
Une fois la session obtenue, la valeur ne réside pas dans la consultation mais dans la capacité d'action : modifier un référentiel de bénéficiaires, ajuster un plafond, désactiver une règle de contrôle, ou utiliser un outil de relation client pour appeler un client depuis un contexte authentique — ce qui alimente en retour la première chaîne.
| Cible | Leurre typique | Ce que l'attaquant obtient | Parade décisive |
|---|---|---|---|
| Client particulier | Faux conseiller, alerte de fraude | Validation d'une opération réelle | Affichage du montant et du bénéficiaire |
| Client entreprise | Changement de coordonnées fournisseur | Virement détourné | Double validation, rappel sur numéro connu |
| Chargé de clientèle | Notification d'outil métier | Session sur le poste de travail | Facteur lié à l'origine |
| Back-office paiement | Demande de régularisation urgente | Action sur les flux | Validation par opération |
| Administrateur, prestataire | Message d'infogérance | Privilèges étendus | Suppression des replis rejouables |
Le cadre : DSP2, DORA, et ce qui n'est pas encore applicable
La DSP2 impose l'authentification forte du client, avec deux facteurs de catégories distinctes et le lien dynamique déjà évoqué. Le règlement DORA (règlement (UE) 2022/2554), applicable depuis janvier 2025, ajoute une exigence de résilience opérationnelle numérique et de maîtrise des prestataires informatiques tiers : un phishing réussi sur un compte d'infogérant relève pleinement de ce périmètre.
Une précision utile pour les feuilles de route : la DSP3 et le règlement sur les services de paiement sont encore en processus législatif. Anticiper leur orientation est raisonnable ; les présenter comme applicables ne l'est pas, et un comité de conformité le relèvera.
Parades hiérarchisées
- Rendre le contenu de la validation indiscutable. Montant, bénéficiaire, nature de l'opération doivent apparaître dans l'acte de validation lui-même, pas dans un message séparé. C'est la seule mesure qui neutralise le scénario du faux conseiller, parce qu'elle rend le mensonge visible au moment décisif.
- Éliminer les facteurs rejouables sur les parcours internes. L'OTP par SMS ou par voix est classé « restricted » par le NIST dans sa publication SP 800-63B ; il n'a plus sa place sur un accès collaborateur.
- Déplacer le contrôle de la session vers l'opération. Le principe du lien dynamique, admis depuis longtemps côté client, s'applique tout aussi bien aux gestes internes à fort impact.
- Réduire la durée de vie des sessions et savoir révoquer les jetons. Le butin d'un phishing moderne est une session, pas un mot de passe : réinitialiser sans révoquer ne déloge personne.
- Traiter les prestataires au même niveau que les équipes internes, avec des comptes nominatifs et une méthode d'authentification imposée contractuellement.
Sur les opérations à fort impact, une preuve d'intention humaine apporte ce qu'aucune vérification de possession ne fournit : la validation porte sur l'action et sur ses paramètres, dans un canal éphémère chiffré, sans rien qui puisse être dicté au téléphone. Un déploiement en overlay permet de commencer par la validation des virements et les accès d'administration.
FAQ
La SCA protège-t-elle contre le phishing bancaire ?
Elle protège contre l'usage d'identifiants volés, mais pas contre la manipulation du client, puisque c'est lui qui valide. Le lien dynamique en atténue les effets à condition que le montant et le bénéficiaire réels soient effectivement présentés au moment de la validation.
Faut-il rappeler systématiquement les clients pour confirmer un virement ?
Le rappel n'a de valeur que s'il est initié par la banque vers un numéro déjà enregistré, jamais vers un numéro communiqué dans l'échange en cours. Cette règle, simple, élimine une grande partie des scénarios de faux conseiller.
Comment détecter un phishing interne réussi ?
Par les écarts entre le contexte d'authentification et le contexte d'usage : session utilisée depuis une infrastructure d'hébergement, géovélocité incohérente, ou enchaînement typique d'une prise de contrôle — ajout de facteur, règle de redirection de messagerie, puis action sur les flux.
Le collaborateur est-il vraiment plus exposé que le client ?
Il est moins souvent visé mais bien plus rentable, car son compte agit sur des flux agrégés et sur les paramètres qui gouvernent les contrôles. Le rapport entre effort et gain penche nettement de ce côté pour un attaquant organisé.
Aller plus loin : le 4e facteur cognitif · MFA résistante au phishing · DSP2 et authentification bancaire · valider un virement par un facteur cognitif