Il ne se passe pas une semaine sans qu’on nous annonce de nouveaux progrès, de nouvelles recherches et de nouveaux développements dans la sécurisation des transactions, en ligne ou mobile.
Cette fois, le vent de l’innovation viendrait d’Allemagne et s’intéresserait au paiement mobile.
On n’arrête pas le progrès : La Deutsche Bank voudrait supprimer les mots de passe pour les paiements mobiles !
Elle travaille en effet avec Callsign, une entreprise spécialisée dans le domaine, sur une solution d’authentification dont la formule secrète est d’analyser l’utilisation spécifique du smartphone par son propriétaire.
En clair, plus de code pin à 4 chiffres pour vous servir de votre smartphone, mais un nouveau système anti-fraude intégrant la manière dont vous vous en servez pour déterminer si c’est bien vous qui êtes en train de vous en servir pour payer ou réaliser une transaction.
La force de l’habitude et du train-train dans la façon de faire les chose paierait enfin ? :-)
On dirait bien. Attention aux changements, le programme crée une image comportementale qui prend en compte une cinquantaine de facteurs. De la force avec laquelle vous appuyez sur certains boutons à la façon dont vous tenez ou positionnez votre smartphone, en passant par la géolocalisation, la reconnaissance faciale, digitale, etc.
Les résultats des premiers tests seraient plus qu’encourageants selon la Banque. En effet, personne n’est arrivé à obtenir plus de 15 % de concordance en essayant de pirater le smartphone d’un autre employé. Faut dire que si le programme utilise la reconnaissance facile et digitale, rien que ça, est un obstacle de taille !
Si cette technologie s’avère efficace et sûre, elle permettrait enfin de lever les derniers freins aux paiements mobiles, qui pourraient enfin décoller vraiment !
Et ça, tout le monde est d’accord pour dire que ce serait un vrai progrès !
Et en France, où en sommes-nous ?
Inutile de vous dire que nous en sommes très loin… La priorité s’oriente toujours vers un système d’authentification renforcée indépendante du commerçant, comme le 3D-Secure par exemple. Pour ceux qui auraient passé ces dernières années dans une grotte, le 3D-Secure, c’est l’envoi d’un SMS avec un code à 4 chiffres qui finalise la transaction sur le site où se réalise l’achat.
Petite parenthèse sur le 3D Secure, si le système reste largement perfectible, il s'est bien amélioré et depuis que nous l'avons mis en place chez Bluepaid en 2012, le taux de refus s'est considérablement amélioré pour être ramené à 12 % au lieu des 30 % initialement.
Si l’on en croit le dernier rapport de la Banque de France via l’Observatoire de la sécurité des cartes de paiement, le système demanderait révision… le taux de fraude des paiements mobiles est en effet 20 fois supérieur au taux des fraudes à la carte bancaire présentée directement chez le commerçant.
Comme toujours, chaque banque bidouille de son côté sa propre solution d’authentification renforcée en attendant la date limite pour présenter un choix définitif au GIE Cartes Bancaires. Ce sera dans un an, le 1er janvier 2017. Ça approche doucement.
La Société Générale, le groupe Banque Populaire et Caisse d’Epargne, et BNP Paribas sont plutôt orientés vers le cryptogramme dynamique. Souvenez-vous, je vous en parlais le mois dernier.
Le Crédit Mutuel Arkéa a évidemment choisi une autre solution, sinon ce serait trop simple : un système un peu archaïque appelé Virtualis. Le système crée un numéro de carte bancaire à usage unique, différent pour chaque transaction, limité au montant de l’achat et pour un temps limité. Pas très souple.
Par contre, le Crédit Agricole, le LCL et la Banque Postale s’orientent plutôt vers, c'est le cas de le dire, une autre voie/voix, avec l’authentification renforcée … par la voix. Le système, dont je ne vous ai pas encore parlé ici, se nomme, c’est une Lapalissade, le « Talk To Pay », « Parle pour Payer » .
Très logiquement, lorsque vous vous trouvez sur une page de paiement, une extension de votre navigateur déclenche un appel automatisé permettant de vous identifier à la voix via votre mobile puis de générer un cryptogramme.
Je ne sais pas pour vous, mais vu d’ici et avant test, le système de CallSign me semble le plus simple, le moins contraignant et il me plait assez.
En attendant le 1er janvier 2017, encore un an ou plus qu’un an, selon le côté de la barrière où vous vous trouvez, j’a bien peur que le 3D-Secure ait encore de beaux jours et de beaux bugs devant lui …
Bon courage à toutes et à tous pour le rush des fêtes de fin d’année qui approchent à grand pas !
