Authentification forte : comment sont sécurisés les paiements en ligne
Lorsque vous payez en ligne, votre banque vous demande souvent de valider l’opération dans son application ou avec un code reçu par SMS. Cette étape, appelée authentification forte, découle d’une directive européenne sur les services de paiement, la DSP2. Elle protège efficacement contre l’utilisation frauduleuse des numéros de carte, mais les fraudeurs ont appris à la détourner.
Le principe : deux facteurs sur trois
L’authentification forte repose sur la combinaison d’au moins deux éléments appartenant à deux catégories différentes :
| Catégorie | Exemples |
|---|---|
| Ce que je connais | Code secret, mot de passe |
| Ce que je possède | Téléphone enregistré, boîtier fourni par la banque, carte |
| Ce que je suis | Empreinte digitale, reconnaissance faciale |
Connaître le numéro, la date d’expiration et le cryptogramme d’une carte ne suffit plus : il faut aussi disposer de l’appareil du titulaire ou d’un code qu’il est seul à connaître.
Dans quels cas est-elle demandée ?
La réglementation impose l’authentification forte notamment pour :
- les paiements par carte sur internet ;
- l’accès à l’espace bancaire en ligne, à intervalles réguliers ;
- l’ajout d’un nouveau bénéficiaire de virement ;
- certaines opérations sensibles, comme l’enregistrement de la carte dans un portefeuille mobile.
Lors d’un paiement par carte en ligne, l’étape de validation est souvent désignée par le nom du protocole utilisé, 3-D Secure.
Les méthodes de validation
Les banques proposent plusieurs solutions :
- la validation dans l’application bancaire, protégée par un code ou par la biométrie : c’est aujourd’hui la méthode la plus répandue ;
- le code à usage unique reçu par SMS, combiné à un autre élément, comme un mot de passe ;
- un boîtier physique ou une carte générant des codes, pour les personnes sans téléphone compatible.
Les banques doivent proposer une solution aux clients qui n’ont pas de smartphone ou qui ne peuvent pas l’utiliser.
Les exemptions
L’authentification forte n’est pas systématique. Des exemptions sont prévues pour fluidifier certains paiements, par exemple :
- les paiements de faible montant, dans certaines limites de montant et de fréquence ;
- les paiements récurrents d’un même montant à un même commerçant, après la première opération ;
- les commerçants que le client a ajoutés à une liste de bénéficiaires de confiance, lorsque la banque le permet ;
- les opérations jugées à faible risque par l’analyse de la banque.
C’est pourquoi certains achats en ligne passent sans validation, alors que d’autres la demandent.
Le piège des faux conseillers
L’authentification forte a rendu la fraude plus difficile, mais les fraudeurs ont adapté leur méthode : ils cherchent désormais à obtenir la validation du titulaire lui-même. Le scénario le plus courant est celui du faux conseiller bancaire :
- un appel, souvent avec un numéro qui semble être celui de la banque, signale une opération suspecte ;
- l’interlocuteur demande de valider une notification ou de communiquer un code « pour annuler » l’opération ;
- en réalité, la validation autorise un paiement ou l’ajout d’un bénéficiaire au profit du fraudeur.
Une règle simple protège de ce piège : une banque ne demande jamais de valider une opération pour en annuler une autre, ni de communiquer un code reçu par SMS ou ses identifiants. Lisez toujours le texte de la notification avant de valider : il indique le montant et le bénéficiaire de l’opération. Notre article sur les arnaques bancaires décrit les autres variantes.
Si vous avez validé une opération frauduleuse
En cas de doute, raccrochez et rappelez votre banque au numéro habituel, figurant sur votre carte ou dans l’application. Puis :
- faites opposition sur votre carte si elle est concernée ;
- signalez les opérations frauduleuses et demandez leur remboursement par écrit ;
- déposez plainte ;
- changez vos codes d’accès.
Le remboursement d’une opération validée par le client sous l’effet d’une manipulation est souvent discuté avec la banque, qui peut invoquer une négligence grave. Il lui appartient cependant de la démontrer. En cas de refus, le médiateur bancaire peut être saisi.
En résumé
L’authentification forte ajoute quelques secondes à un paiement, mais rend inutilisables la plupart des données de carte volées. Sa limite tient au facteur humain : elle ne protège que si l’on ne valide jamais une opération que l’on n’a pas soi-même initiée.
Cet article peut contenir des liens partenaires. Ils n'influencent jamais ce que nous écrivons.