Valider un virement par SMS-OTP pose deux problèmes distincts qu'il faut refuser de confondre. Le premier est technique : le canal SMS est détournable, et le NIST SP 800-63B classe l'OTP par SMS ou par voix comme « restricted ». Le second est plus profond : même acheminé parfaitement, un code ne prouve pas que le client comprend l'opération qu'il valide. C'est ce second point qui explique la fraude au faux conseiller.
Ce que la DSP2 demande réellement
La directive (UE) 2015/2366 impose, pour une opération de paiement, une authentification forte combinant deux facteurs de catégories distinctes, et un lien dynamique : les éléments d'authentification doivent être rattachés au montant et au bénéficiaire de l'opération.
Confronté à cette exigence, un SMS-OTP se comporte ainsi :
| Exigence | Ce que fait le SMS-OTP | Écart |
|---|---|---|
| Deux catégories distinctes | apporte la possession ; l'autre facteur vient d'ailleurs | dépend du parcours complet |
| Lien avec le montant | possible si le montant figure dans le message | l'affichage n'est pas une liaison cryptographique |
| Lien avec le bénéficiaire | possible si l'IBAN ou le nom figure dans le message | dépend de la lecture par le client |
| Détection de modification en cours d'opération | aucune | un intermédiaire peut altérer l'opération réelle |
| Preuve conservable en cas de litige | trace d'envoi et de saisie | ne prouve pas ce que le client a compris |
L'écart central est là : rappeler le montant dans un SMS est un affichage, pas une liaison. Si le client saisit le code sur une page contrôlée par un attaquant, le montant affiché dans le message ne correspond pas nécessairement à l'opération finalement exécutée — et rien dans le protocole n'empêche cette divergence.
Les trois voies de contournement
Le détournement du numéro. Le SIM swapping consiste à obtenir la réattribution du numéro auprès de l'opérateur, souvent au moyen de données personnelles collectées en amont. Le code arrive alors chez l'attaquant sans qu'aucun système bancaire ne soit compromis. C'est la raison principale du classement « restricted » du NIST.
Le relais synchrone. Une page contrefaite recueille l'identifiant, déclenche la vraie opération et demande le code au client, qui le fournit de bonne foi. La banque voit une opération valide, validée par le bon numéro, dans une fenêtre normale.
La fraude autorisée. C'est la plus difficile à traiter, car il n'y a aucune faille technique. Un appel se faisant passer pour un conseiller convainc le client qu'un virement « de mise en sécurité » est nécessaire. Le client réalise lui-même l'opération et saisit lui-même le code. Tous les contrôles sont satisfaits. Les technologies de voix synthétique ont rendu ce scénario nettement plus crédible : le timbre et le débit d'un interlocuteur ne sont plus des indices fiables.
Ce qui améliore réellement le parcours
Sans changer de technologie, plusieurs mesures ont un effet mesurable :
- Faire figurer le bénéficiaire et le montant dans le message, au début, avant toute autre mention. Un code placé en tête est saisi avant que le contexte ne soit lu.
- Formuler le message comme une opération à vérifier, pas comme un code à recopier.
- Différer les virements vers un nouveau bénéficiaire, avec notification sur un canal distinct et possibilité d'annulation. C'est la mesure la plus efficace contre la fraude autorisée, parce qu'elle attaque la temporalité de l'attaque plutôt que sa technique.
- Détecter les changements récents de numéro de téléphone associés au compte et durcir l'opération dans cette fenêtre.
- Traiter le changement de coordonnées comme une opération sensible à part entière : c'est souvent l'étape préalable de la fraude.
Ces mesures réduisent la probabilité. Elles ne changent pas la nature du facteur : une valeur transmissible, saisissable ailleurs, qui n'établit aucune intention.
Passer d'un code à une preuve d'intention
Le glissement de vocabulaire est important. Un code prouve qu'un canal a fonctionné. Une opération irréversible demande une preuve portant sur l'action : montant, bénéficiaire, moment.
| Niveau de preuve | Ce qui est établi | Résiste à la fraude autorisée ? |
|---|---|---|
| Code reçu par SMS | un message est parvenu à un numéro | non |
| Approbation dans l'application | un appareil enrôlé a répondu | non |
| Signature liée à l'origine (FIDO2) | l'authentificateur du bon domaine a signé | non, l'opération est initiée par le client |
| Preuve cognitive portant sur l'opération | un humain a résolu un challenge lié à cette action | traite le cas, car elle exige une compréhension |
Cette dernière ligne est l'apport du 4ᵉ facteur « je sais faire » : la validation n'est pas un geste d'acceptation mais la résolution d'un problème rattaché à l'opération en cours. Un client sous influence est amené à s'interroger sur ce qu'il valide, là où une saisie de code s'exécute mécaniquement. Il ne s'agit pas d'une garantie absolue contre la manipulation, mais d'un déplacement du point de friction vers l'endroit où il est utile.
Faut-il retirer le SMS-OTP ?
Sur la validation d'opérations financières, la trajectoire raisonnable est le retrait progressif, pour trois raisons cumulatives : la position du NIST, l'exposition au détournement de numéro, et l'incapacité structurelle à établir un lien dynamique réel. Le calendrier dépend de vos populations — certaines clientèles n'ont pas d'alternative disponible — mais la direction ne devrait pas faire débat.
Une séquence pragmatique : retirer d'abord le SMS des opérations vers de nouveaux bénéficiaires et des changements de coordonnées, puis des montants élevés, en conservant temporairement le SMS comme canal de notification — un usage où il reste utile, parce qu'informer n'est pas authentifier.
FAQ
Le SMS-OTP est-il interdit par la DSP2 ?
Non, la directive ne nomme pas de technologie. Elle fixe des exigences de résultat, dont le lien dynamique avec le montant et le bénéficiaire. La question est de savoir si votre implémentation satisfait ces exigences, et si elle reste proportionnée au risque.
Une application bancaire avec approbation est-elle suffisante ?
Elle supprime la dépendance au réseau opérateur, ce qui est un gain net. Elle reste une approbation binaire : elle ne traite ni la manipulation du client, ni le cas où l'opération affichée diffère de l'opération exécutée par un intermédiaire.
Comment traiter les clients sans smartphone ?
Par un parcours dédié plutôt que par le maintien d'un plancher faible pour tous. Plafonds réduits, délais de sécurité renforcés, validation en agence pour les opérations importantes : la différenciation par population est plus défendable que l'alignement sur le plus petit dénominateur.
Que conserver comme preuve en cas de litige ?
La trace de ce qui a été présenté au client, ce qu'il a validé et à quel moment, avec les éléments de contexte. Une trace d'envoi de SMS et de saisie de code établit peu de choses sur le consentement éclairé, ce qui pèse dans l'analyse des responsabilités.
Aller plus loin : pilier : authentification cognitive · SMS-OTP face au SIM swapping · le SMS-OTP est-il encore sûr · facteur cognitif et validation de virement