* c’est ironique.

Les instituts financiers, notamment les banques et les émetteurs de carte de crédit doivent aussi faire un sérieux effort de sécurité. On a l’impression qu’ils font le strict minimum légal ou requis par les assurances.

Quand on écoute les histoires de gens piègés sur ABE ou Bon à savoir, le client est certes responsable d’avoir donner (involotairement) ses identifiants ou son code unique à un pirate, souvent en se connectant sur un faux site bancaire.

Mais que dire des banques quand des virements de plusieurs dizaines de milliers de franc passent sans aucun vérification ? Pour un particuliers, ce genre de virement est très rare. Hormis pour acheter une maison ou une voiture, cela n’arrive jamais. Déjà, la banque pourrait s’assurer que le destinataire soit un garage automobile ou un notaire par exemple. Si ce n’est pas le cas, le virement devrait êrte bloqué et des vérifications supplémentaires effectuées.

En général, on pourrait aussi regarder l’adresse IP (connexion via l’étranger, connexion via VPN, etc…). Surtout, les banques pourraient obliger les clients à utiliser un navigateur sécurisé de la banque, ce qui empêcherait de se connecter sur un faux site (seul le site de la banque serait autorisé, comme sur la navigateur sécurisé – SecureBorwser – de PostFinance par exemple ). Ce navigateur pourrait aussi être lié à un clé SSH sur l’ordinateur du client. Vous bloquez toutes les connexions quand la clé SSH ne correspond pas.

En informatique, on sait aussi très bien analyser les comportements. Les comportements de paiement sont simples à analyser. Le 95% du temps, c’est les mêmes destinataires. Si c’est un nouveau destinataire, il devrait se trouver dans un rayon géographique proche du client avec des montants cohérents.

Par exemple, mes parents ont eu des débits frauduleux sur leur compte PostFinance. Ma mère n’utilise jamais sa carte sur internet et ne commande jamais rien à l’étranger. Ici, il y a eu plusieurs débits d’un site e-commerce chinois avec facturation au Luxembourg. Le montant n’était pas énorme, il y avait pour env 80 CHF. Il y avait aussi 4 débits au même montants le même jour….

Comment ce genre de paiement peuvent être accepté, tant ils sont différents des habitudes de consommation habituels ? Dans la cas présent, PostFinance a remboursé, ce qui signifie que l’erreur vient de leur côté. Mais, cela démontre qu’il n’y a pas beaucoup de mesures de sécurité, hormis l’authentification à 2 facteurs. Et PostFinance a mis 2 mois pour rembourser l’argent. Pour moi, ce genre de fraudes devraient être visible sur leur monitoring et traitée au maximum dans les 2-3 jours, tant elle est évidente. Le client ne devrait pas avoir à contester les paiements douteux (via papier, et envoyer une lettre par la Poste). Pour 80 CHF ce n’est pas bien grave d’attendre 2 mois, mais imagine si ton compte a été vidé ?

En conclusion, on voit qu’il y a quelques astuces simples à mettre en place pour drastiquement compliquer la vie des criminels informatiques et mieux protéger les clients. C’est peu coûteux à mettre en place, surtout quand les enjeux sont aussi importants que les montants possédés sur les comptes bancaires (Plusieurs miliards pour PostFinance).