La Banque Populaire s'attaque au vol de mot de passe

29/01/2009 à 18h10

L'établissement va proposer à 400 000 de ses clients de s'équiper gratuitement d'un terminal dédié qui, en générant un mot de passe dynamique à usage unique, permettra de sécuriser leurs transactions.

Contrecarrer le vol de mot de passe et le phishing. C'est tout l'enjeu de la solution d'authentification déployée par Banque Populaire auprès de ses clients depuis le début de l'année. Au cours du premier trimestre, l'établissement va distribuer gratuitement 400 000 lecteurs de cartes bancaires Vericode, qui serviront de sésame aux utilisateurs de ses services de banque en ligne. L'idée n'est pas nouvelle, mais c'est la première fois en France qu'une telle solution est déployée sur cette échelle auprès du grand public.Le fonctionnement du système mis au point par la société Xiring est simple : lorsqu'il souhaite accéder à ses comptes et réaliser certaines opérations sensibles (comme un virement), l'utilisateur insère sa carte bancaire dans le Vericode et saisit son code PIN sur le clavier du lecteur. La puce de sa carte bancaire génère un mot de passe à huit chiffres valable une seule fois, qui s'affiche sur l'écran du Vericode.Pour entrer sur le site de la banque ou valider une opération, l'utilisateur doit impérativement saisir ce mot de passe temporaire. Impossible pour un pirate, dans ces conditions, d'usurper l'identité d'un client, à moins de lui avoir subtilisé sa carte bancaire et de disposer d'un Vericode.

Sécuriser les achats en ligne

Au-delà des opérations de banque en ligne, Banque Populaire envisage d'étendre cette solution aux achats en ligne vers la fin du premier semestre. L'objectif est, concernant les achats sur Internet, ' de suivre le même mode opératoire que pour ceux effectués chez le commerçant de proximité ', explique la banque.Il faudra en effet glisser sa carte bancaire dans le Vericode et saisr son code PIN pour valider son achat. La solution sera déployée auprès des cybermarchands faisant appel à la plate-forme de paiement en ligne de Banque Populaire. Seuls les internautes clients de la banque seront soumis à ce contrôle supplémentaire.En Europe, près de 20 millions d'utilisateurs sont déjà équipés de solutions d'authentification forte telles que celle déployée aujourd'hui par la banque française. En Grande-Bretagne, un établissement comme la Barclay's clame haut et fort que l'adoption de ce type de solution réduit à néant les cas de fraudes dans les transactions en ligne.Le fait que les banques se préoccupent de la sécurité des transactions bancaires de leurs clients n'est pas vraiment nouveau. Mais la percée effectuée aujourd'hui par les systèmes d'authentification forte sur le marché grand public intervient dans un contexte très particulier, marqué par l'adoption de la norme 3D Secure qui, au niveau de la prise en charge de la fraude, induit un transfert de responsabilité : auparavant, en cas de fraude, la banque était tenue de rembourser le porteur de la carte de crédit utilisée de manière frauduleuse. Mais l'organisme avait la possibilité de se retourner vers la banque du commerçant qui elle-même pouvait se retourner in fine vers le commerçant. A partir d'aujourd'hui, tout cela n'est plus possible. Dorénavant, seule la banque du porteur de la carte est responsable financièrement.Il y a peu, certaines banques avaient pris l'initiative de mettre en place un niveau de sécurisation supplémentaire, en demandant aux internautes qui achètent en ligne de valider la transaction en indiquant leur date de naissance. La prochaine étape sera le déploiement à grande échelle de ces solutions d'authentification forte qui n'étaient jusqu'ici utilisées dans les banques que par des professionnels pour effectuer par exemple des transferts de fond.

Philippe Crouzillacq

Inscrivez-vous à la Newsletter Actualités

Ailleurs sur le web

A voir aussi sur 01net.com

A voir aussi

Votre opinion

34 opinions

GDN 05/12/2009 à 20h32

Lecteur gratuit, c'est bien, mais l'utilisation ??? Est-ce encore un moyen pour "pomper" des frais aux clients...

A suivre
bo39 11/02/2009 à 22h53

Pas tout à fait exact jo567, car le Crédit Mutuel a développé la carte à code mais une simple photocopie de ce document rend inopérant !
Une simple photocopie ! Et oui.
Par ailleurs, le numéro provisoire de CB existe bel et bien au Crédit Mutuel mais aussi dans d'autres réseaux bancaires et en plus avec des services associés : Banque Pop par ex avec assurances incluses, Crédit Lyonnais, etc. Ton exposé est un peu light.
jo567 08/02/2009 à 13h44

"Faudrait vraiment avoir pas de bol, il faut qu'on nous vole le n° d'abonné, le mot de passe pour rentrer sur le site, puis la CB et son code."

idem pour la carte de clés personnelles : il faudrait voler l'identifiant, le code et la carte... choses qu'on garde chez soi, et dont une est mémorisée.

Le mécanisme est le même, sauf qu'au lieu de générer un numéro à coté de l'utilisateur, avec sa carte bleue, on génère 64 clés d'avance à la banque, et on lui envoie! C'est moins cher, c'est tout.
Ma critique repose uniquement sur ça : faire plus compliqué, rajouter une dimension marketing, pour surfer sur la peur du citoyen et lui raquer plus de fric.

ps: la critique de la carte à puce était pour le commercial qui en vantait la sécurité, et qui disait que celle-ci nous protègerait sur internet.
ben25 04/02/2009 à 13h45

Avant de dire n'importe uqoi, faudrait déjà se renseigner...

Tu parles de pleins de choses qui n'ont rien à voir.
2°)L'E-carte bleue est un logiciel installé sur le PC qui génére une N° de CB virtuel valable 1 fois pour faire des paiements.
3°) Le lecteur CAP ne servira pas à se connecter au site mais à accéder aux opérations dites sensibles (création RIB, virements externes...)
5°) D'autre part je ne vois pas ce que la sécurité de la puce vient jouer là de dans, car le lecteur n'est pas branché au PC.
En clair, le site donnera une série de chiffre à transmettre sur le lecteur après avoir introduit la CB et avoir tapé son code CB. Après ça le lecteur donne une nouvelle série de chiffre et ce sont ceux là qu'il faudra taper sur le site pour accéder aux opérations sensibles.
2°) Faudrait vraiment avoir pas de bol, il faut qu'on nous vole le n° d'abonné, le mot de passe pour rentrer sur le site, puis la CB et son code.

Alors renseigne toi un peu avant de dire des conneries.
kruly 02/02/2009 à 17h32

Sans rentrer dans les détails, je suis d'accord avec jo567, en particulier pour la carte à puce. Rappelez-vous qu'un ingénieur a payé de quelques années de prisons pour avoir démontré que la taille de la clé de cryptage actuelle est depuis longtemps obsolète !
D'autre part étant client BP, je ne suis pas sécurisé par le système actuel d'accès des comptes en ligne. Ayant eu un compte dans une banque Suisse (non, non, pas numéroté, je n'étais que travailleur frontalier...) le système d'un code complémentaire au mot de passe existait déjà il y a plus de 5 ans et me paraît plus sécurisé. Ca a aussi l'avantage de rendre inopérant les programmes d'interception de frappes du clavier. Et enfin, je trouve que l'abonnement du service en ligne est suffisamment cher pour ne pas avoir encore à m'équiper de matériel ou d'ajouter d'autre frais !
bob34609 02/02/2009 à 16h17

La solution Mobilegov SAWS est très astucieuse. L'internaute peut définir son propre token (son ipod, sa clé usb)... Bref pas besoin de lui envoyer un matériel. Par contre, je ne sais pas ce que ça vaut niveau fiabilité.
jo567 02/02/2009 à 12h13

Attention, chaque banque est différente. Ce dont je parle fonctionne au crédit mutuel. Pour les autres je ne sais pas.
;)
puppet_master87 02/02/2009 à 09h08

Ok, personnellement je n'ai pas souscris à l'e-carte bleue. Mon banquier ne m'a jamais vanté cet avantage là du produit.
Je ne manquerai pas de lui poser la question.
A bientôt
jo567 31/01/2009 à 09h48

"A priori l'e-carte bleue ne permet pas de sécuriser l'accès à la gestion des comptes en ligne (virements...). "
... je le fais tous les jours avec cette solution (opérations critiques cad virement, ecarte ...chez CM) , je ne comprends pas le blocage que vous avez tous entre ecarte et virement. Un code sécurisé peut servir à tout. Donc je le redis
"Si une solution est déjà en place et qu'elle fonctionne, pourquoi proposer une solution plus couteuse et plus compliquée ..."
famare 31/01/2009 à 09h36

plusieurs systemes sont mis en place par les banques francaise ,pour ma part je suis a la bnp ets il ne propose rien pour rendre plus sur les payments sur internet.pour moi actuellement le meilleur systheme est la carte prepayee ,une catre bleu unique pour chaque transaction et meme si on vous pirate votre carte on ne pourra que vous prendre que la somme etant sur votre carte prepayee piusque votre numero de carte ne correspond pas a votre numero de compte banquaire

Lire la suite des opinions (34)