Les banques qui considèrent l’AMF comme facultative exposent toujours leurs clients aux prises de contrôle de comptes

Les établissements financiers continuent d’autoriser certains clients à se connecter sans authentification multifacteur, une faille qui peut faciliter les prises de contrôle de comptes par des criminels, selon le récit récent d’un vol touchant les comptes bancaires et l’épargne-retraite d’une femme de 84 ans, dont les fonds ont été vidés de plusieurs comptes.

Dans le cas décrit, les fraudeurs auraient d’abord compromis un compte d’épargne-retraite, avant de s’attaquer aux comptes courants et d’épargne détenus dans une autre banque. Ils ont également obtenu accès à Gmail et créé des filtres redirigeant les alertes bancaires et liées à la retraite vers la corbeille, réduisant ainsi les chances que les avertissements soient rapidement vus. Si les fonds de retraite volés ont finalement été récupérés, les pertes bancaires se sont élevées à environ 30 000 dollars avant remboursement.

Failles de sécurité et habitudes des utilisateurs

L’incident semble avoir impliqué la réutilisation de mots de passe identiques ou similaires sur plusieurs services, ainsi que l’absence d’obligation d’utiliser l’AMF sur les comptes concernés. Les experts en sécurité affirment que ce schéma reste courant : lorsqu’un service est compromis, les attaquants peuvent réutiliser les identifiants ailleurs, une tactique souvent appelée « credential stuffing ».

Certaines banques, y compris de grands établissements nationaux, rendent encore l’AMF facultative pour de nombreux clients. Dans certains cas, les demandes de second facteur ne sont déclenchées que lorsque l’activité de connexion semble inhabituelle. Les comptes Google sont également souvent laissés à la responsabilité des utilisateurs, qui doivent les protéger au moyen de méthodes de connexion plus robustes.

Pourquoi les banques hésitent

Les observateurs du secteur affirment que les établissements mettent souvent en balance la sécurité et la commodité. Des étapes de connexion supplémentaires peuvent frustrer les clients, augmenter le nombre d’appels au support et éventuellement influer sur les taux d’inscription ou de fidélisation. Cette réticence a ralenti l’adoption généralisée d’une authentification plus robuste.

Parallèlement, les réglementations bancaires et les protections des consommateurs ne garantissent pas une récupération facile des fonds en cas de vol. Aux États-Unis, des délais de contestation et des périodes d’enquête s’appliquent, mais le remboursement n’est pas automatique si une banque estime que les transactions semblaient légitimes.

Des options plus robustes existent

Les spécialistes de la sécurité affirment que la meilleure méthode d’authentification moderne est l’utilisation de clés d’accès, qui reposent sur des clés cryptographiques stockées sur l’appareil de l’utilisateur et sont conçues pour résister à l’hameçonnage. Les codes traditionnels à usage unique envoyés par SMS ou par e-mail restent largement utilisés, mais ils peuvent être interceptés ou soutirés aux utilisateurs par le biais de l’ingénierie sociale.

• La réutilisation des mots de passe demeure un risque majeur de compromission des comptes.
• Les codes envoyés par SMS et e-mail sont préférables à l’absence de second facteur, mais ne constituent pas une solution idéale.
• Les clés d’accès sont de plus en plus considérées comme une alternative plus sûre.
• Certaines grandes banques commencent à déployer des options de connexion plus robustes.

Le message général qui se dégage de cet incident est simple : lorsque les banques rendent l’AMF facultative, elles transfèrent davantage de responsabilité aux clients, alors même que les conséquences financières d’une compromission peuvent être graves.