En banque et en finance, l'authentification n'est pas seulement un contrôle d'accès : c'est le mécanisme qui engage un mouvement d'argent. La conséquence est directe — une preuve d'authentification valide mais donnée sous manipulation produit un préjudice immédiat et souvent irréversible. C'est pourquoi le secteur est le seul à disposer d'une obligation réglementaire liant explicitement l'authentification au montant et au bénéficiaire de l'opération.
Ce qu'il faut réellement protéger
Le périmètre dépasse largement l'espace client :
- L'ordre de paiement : virement, ajout de bénéficiaire, modification d'IBAN, prélèvement.
- Les postes de conseiller et le back-office : consultation et modification de dossiers, levée d'opposition, déblocage de plafonds. Un compte conseiller compromis vaut plus que dix comptes clients.
- Les accès d'administration au cœur bancaire, aux systèmes de paiement et aux passerelles d'échange interbancaire.
- Les interfaces ouvertes aux tiers dans le cadre des services de paiement, où l'authentification du client conditionne l'accès accordé à un prestataire.
- Les données clients : coordonnées, historique, éléments d'identité — matière première des campagnes de faux conseiller.
Les contraintes qui font échouer les dispositifs génériques
La relation est à distance. Le conseiller ne voit pas son client, et le client ne voit pas son conseiller. Cette symétrie est exactement ce qu'exploite la fraude au faux conseiller, aggravée par le clonage vocal.
Le canal téléphonique reste opérationnel. Les centres de relation client traitent des demandes sensibles à la voix, avec des objectifs de durée d'appel. C'est un contexte où l'urgence artificielle fonctionne particulièrement bien.
Les postes d'agence sont partagés. Rotation, remplacements, guichets multiples : le lien entre un poste et une personne est faible, ce qui rend le verrouillage de session et la réauthentification rapide déterminants.
La disponibilité est un engagement. Un dispositif d'authentification qui bloque un client légitime produit un appel au support, et le support devient alors la cible du contournement.
Les tiers sont nombreux : prestataires de gestion, éditeurs de progiciels, intégrateurs. Leurs accès distants font partie du périmètre à authentifier.
Le cadre réglementaire applicable
| Texte | Portée pour le secteur | Exigence en matière d'authentification |
|---|---|---|
| DSP2 — directive (UE) 2015/2366 | services de paiement | authentification forte du client : deux facteurs de catégories distinctes, plus un lien dynamique entre l'authentification, le montant et le bénéficiaire |
| DORA — règlement (UE) 2022/2554 | secteur financier, applicable depuis janvier 2025 | maîtrise documentée du risque numérique, contrôle d'accès, gestion des prestataires tiers, tests de résilience |
| NIS2 — directive (UE) 2022/2555 | entités concernées | mesures de gestion des risques citant l'authentification multifacteur ou continue |
| eIDAS 2 — règlement (UE) 2024/1183 | identité numérique | cadre du portefeuille d'identité européen, utilisable pour l'entrée en relation |
| RGPD | données clients et biométrie | minimisation, protection renforcée des données biométriques |
| DSP3 / PSR | paiements | encore en processus législatif : à suivre, pas à appliquer |
Le lien dynamique imposé par la DSP2 mérite une lecture attentive : il signifie que la preuve d'authentification doit être rattachée à l'opération précise, et non à une session. C'est un principe que beaucoup de dispositifs respectent formellement — le montant apparaît dans un message — sans le respecter réellement, lorsque l'utilisateur valide sans lire.
Les parcours sensibles à traiter en priorité
- Ajout de bénéficiaire et changement d'IBAN. C'est le point de bascule de la quasi-totalité des fraudes au virement. Un délai de refroidissement et une validation contextualisée y ont plus d'effet que n'importe quel renforcement de la connexion.
- Virement de montant élevé ou atypique. La preuve doit porter sur l'opération, avec ses données réelles affichées, et non sur l'ouverture de session.
- Connexion et élévation de privilèges côté conseiller. Y compris depuis un poste partagé, avec une réauthentification rapide mais non automatique.
- Récupération de compte client. Parcours le plus souvent visé lorsque l'authentification principale est solide. Il doit être aussi robuste qu'elle.
- Accès des prestataires aux environnements de production et aux données de paiement.
- Validation d'opérations à quatre yeux en salle des marchés ou en trésorerie, où la collusion et l'usurpation d'un valideur constituent le risque principal.
Sur ces parcours, la question n'est plus « est-ce bien l'utilisateur ? » mais « l'utilisateur comprend-il l'opération qu'il autorise ? ». Un facteur de connaissance, de possession ou d'inhérence répond à la première question. Le 4ᵉ facteur cognitif est conçu pour répondre à la seconde : l'utilisateur applique une méthode de résolution personnelle, établie hors ligne, à un défi éphémère lié à l'opération — preuve d'une intention humaine consciente plutôt que d'un simple geste d'approbation.
Menaces et conformité : les ressources du secteur
Menaces : hameçonnage en banque et finance · deepfake vocal · interception en temps réel (AiTM) · réutilisation d'identifiants · fatigue MFA · détournement de session
Conformité : DSP2 · DORA · DSP3 · eIDAS 2
FAQ
La conformité DSP2 suffit-elle à couvrir le risque de fraude ?
Non. La DSP2 impose une authentification forte, mais un client manipulé fournit lui-même ses deux facteurs. La conformité est un plancher réglementaire, pas une garantie contre l'ingénierie sociale.
L'OTP par SMS est-il encore acceptable ?
Il est encore largement déployé, mais le NIST le classe comme « restricted » dans la SP 800-63B, et il reste exposé au détournement de carte SIM comme au relais en temps réel. Il ne devrait plus constituer le facteur principal sur une opération de paiement.
Comment renforcer sans dégrader le taux de complétion ?
En modulant la friction selon le risque de l'opération plutôt qu'en l'appliquant partout. Une consultation de solde et un virement vers un nouveau bénéficiaire ne justifient pas le même niveau de preuve.
Faut-il remplacer la MFA existante ?
Pas nécessairement. Un facteur supplémentaire peut se déployer en overlay du dispositif en place, en ne se déclenchant que sur les parcours à fort enjeu.
Aller plus loin : pilier : authentification cognitive · panorama NIS2, DORA, DSP3 et CRA · fraude au faux conseiller · choisir une solution d'authentification