« Payer avec un code non réutilisable est la base de la sécurité en ligne »

Même si plus de cinquante clients de la Banque Populaire Centre Atlantique ont été victimes d'une fraude au distributeur automatique lors du week-end du 15 août, ce type d'escroquerie sur les transactions de proximité n'est pas la plus fréquente. Le taux de fraude est en effet vingt fois plus élevé pour les paiements à distance. Selon le rapport annuel de l'Observatoire de la sécurité des cartes de paiement, si les règlements par Internet, par téléphone ou par courrier ne représentent que 8,6 % de la valeur des transactions nationales, ils pèsent 62 % du montant de la fraude sur ces transactions en 2010.

Les transactions en ligne sont-elles suffisamment sécurisées en France ?

Concernant la banque en ligne, c'est-à-dire les transferts d'argent, l'offre de services est plus restreinte en France qu'en Angleterre, en Allemagne, au Benelux ou en Scandinavie. Elle est donc moins exposée aux risques de fraude. Et lorsqu'une transaction concerne un ou des comptes dits « à risques », les procédures de contrôle sont plus lourdes et prennent plus de temps en France qu'ailleurs. En outre, étant donné que les transactions en ligne sont moins répandues dans l'Hexagone que dans les autres pays cités ci-dessus, le plafond maximum par transaction y est moins élevé et les montants fraudés sont donc moins importants.

Et concernant les achats en ligne ?

Il y a deux ans, la Banque de France a élevé la voix car elle estimait que les paiements en ligne n'étaient pas suffisamment protégés. Les dispositifs de paiement avec un mot de passe non réutilisable, appelés 3D-Secure, se sont ainsi développés en France. Les autres pays utilisent des mots de passe statiques pour les achats en ligne. Ils devraient parvenir au même niveau que la France rapidement car ils utilisent déjà des mots de passe à usage unique pour sécuriser les transferts d'argents des banques en ligne.

Le mot de passe à usage unique assure-t-il la sécurité optimale ?

Les dispositifs d'authentification non réutilisables sont la base de la sécurité en ligne. La solution SMS OTP (envoi par SMS d'un mot de passe non rejouable) est la plus répandue et est massivement utilisée dans l'Hexagone depuis 2 ans. Même les grands commerçants (Air France, Orange et Voyages SNCF) s'y mettent. Mais son principal inconvénient est qu'il n'y a pas de délai de livraison garanti par SMS. Bref, avec un mauvais réseau, le SMS peut mettre du temps à arriver, ce qui peut énerver des clients.

Le code peut-il être envoyé autrement que par SMS ?

Les banques regardent maintenant de près les nouvelles applications pour smartphone qui génèrent elles-mêmes des mots de passe non rejouables. Ces applications sont au moins aussi bien sécurisées que la technologie SMS OTP. Il y a aussi l'émergence des cartes bancaires avec un petit écran qui donne un code non rejouable lorsque l'on appuie sur un bouton intégré à la carte. Plusieurs centaines de milliers de cartes de ce type ont été déployées en Amérique du Nord. Des projets pilotes sont menés en France, en Italie et en Espagne.