Opérations bancaires en ligne et DSP2 : les banques incitent à l’utilisation de smartphones et d’applications intrusives

L’Europe, les Etats et les banques obligent (rectification : "incitent très fortement") déjà à l’utilisation d’un téléphone mobile pour valider les opérations bancaires en ligne.
A présent, elles incitent très fortement à l’utilisation de smartphone ou de tablette via des applications de sécurité.

 voir Directive DSP2 : ce qui va changer pour vos achats en ligne à partir du 15 mai
(...)
6 - L’authentification par SMS va-t-elle disparaître ?
Beaucoup de paiements s’effectuent actuellement en recevant un code par SMS sur son téléphone. Ce code à usage unique (One Time Password ou OTP) sert ensuite à s’authentifier pour confirmer le paiement. Le procédé n’est hélas pas suffisamment sécurisé et ne satisfait plus à la directive DSP2. Ainsi, le plan de migration défini par l’Observatoire de la Sécurité de Moyens de paiement (présidé par le gouverneur de la Banque de France) implique que ce procédé sera de moins en moins utilisé et devra disparaître définitivement d’ici fin juin 2021. Toutefois, les clients de certaines banques, par exemple la Société Générale, pourraient bénéficier d’un répit jusqu’au 31 décembre 2021 pour se procurer un dispositif d’authentification forte.
L’authentification par SMS ne va toutefois pas totalement disparaître. Des banques telles que le Crédit Agricole, LCL, BPCE (Banque Populaire et Caisse d’Epargne), BNP Paribas et la Société Générale vont proposer une solution d’authentification par SMS « renforcé ». Le code reçu par SMS sera alors utilisé en association avec un mot de passe personnel (code d’accès à son compte bancaire en ligne ou code dédié fourni par la banque). Cette solution est tout à fait conforme à la directive DSP2, car elle met en œuvre deux éléments d’authentification de nature différente : un facteur de possession (code reçu par SMS) et un facteur de connaissance (mot de passe personnel).
7 - Et si je n’ai pas de smartphone ou si mon appareil est trop vieux ?
Il sera toujours possible d’utiliser la solution de SMS renforcé, qui ne nécessite qu’un simple téléphone mobile, quand elle sera disponible. Signons que le Crédit Mutuel propose pour 29 euros un boîtier autonome, baptisé Digipass. Ce boîtier est équipé d’un lecteur de QR Code et ne nécessite pas de connexion physique à un ordinateur. Pour l’utiliser, il faut scanner le QR Code qui s’affiche sur l’écran de l’ordinateur ou de l’appareil mobile, entrer sur le boîtier son code PIN personnel, puis saisir sur son ordinateur le code à 8 chiffres qui s’affiche sur le lecteur. Enfin certaines banques comme le groupe BPCE proposent à leurs clients, principalement professionnels, une solution d’authentification qui met en œuvre un lecteur de cartes à puce.

Opérations bancaires en ligne et DSP2 : les banques incitent à l’utilisation de smartphones et d’applications intrusives

Toujours plus de technologies et de dépendance

Certaines banques parlent de lecteur de carte à puce ou de QR code...
Sous le prétexte pratique de « la-sécurité » et la mise en avant de notre prétendue autonomie, on s’enfonce toujours plus loin dans la dépendance au tout numérique, dans une « société » de services virtuels, de fichage et de surveillance.

 De nombreux articles et forums dénoncent ces procédés commerciaux abusifs (qui parfois forcent les clients) et ces dispostifs policiers d’intrusion dans la vie privée :

• Sans smartphone, bientôt impossible d’acheter en ligne ?
• Certicode Plus chez la Banque Postale : « plus » d’intrusion
• Banque Postale : Certicode+ oblige à avoir un smartphone
• Certicode et certicode Plus ... LBP se mélange les pieds

Exemple avec la banque postale (feu service public La Poste)

Quand on se connecte au compte en ligne de la banque postale, seule l’option certicode Plus est mise en avant et on est obligé de fermer à la fenêtre à chaque fois.

Si on va dans les infos sur « Certicode », on peut se rendre compte qu’on est déjà abonné à Certicode (et on arrive à trouver ce pdf qui semble confirmer que l’option Certicode « simple » est possible).
Pourtant, à chaque connexion il y a une incitation intrusive à s’abonner à Certicode Plus (impossible à désactiver).

De plus un message (voir ci-dessous) arrive dans votre boite contact en ligne de la gestion de comptes, qui dit qu’une authentification forte est obligatoire, il indique une option sans smartphone, qui ouvre en fait la même page Certicode Plus qu’avec smartphone (sans mension de Certicode simple) !

Message de la banque postale sur la boite contact :

Pour plus de sécurité, la Directive européenne relative aux Services de Paiements (DSP2) impose une nouvelle étape d’authentification forte pour accéder à vos comptes et réaliser vos paiements en ligne.

La Banque Postale vous remercie de votre confiance.

Opérations bancaires en ligne et DSP2 : les banques incitent à l’utilisation de smartphones et d’applications intrusives

Codes, appli et biométrie, ...en attendant les puces incorporées sous la peau

Après le remplacement des opérations au guichet par la gestion de compte en ligne, maintenant c’est l’obligation d’avoir un smartphone et d’utiliser une application intrusive. Avec ces applis les banques ont moins de dépenses à faire et au passage elles peuvent mieux tracer votre activité.

Dans un monde sans argent ni banque ni smartphone, la vie serait nettement plus sympa !