La nouvelle directive sur les services de paiement (DSP2), complétée par un Règlement du 27 novembre 2017 impose le recours à l'authentification forte aux banques et autres services e-commerce 18 mois après l'entrée en vigueur des normes techniques de réglementation, c'est-à-dire après leur publication au Journal Officiel de l'Union européenne. L'échéance est le 14 septembre 2019. Heureusement, l'Union Européenne a finalement accordé un sursis jusqu'en 2022 pour plus de 20 Etats membres, dont la France.

Quelles sont les conséquences de la DSP2 ? Eh bien vous avez sans doute déjà reçu de la part de votre banque (ou autres prestataires…) des messages vous invitant à télécharger une application sur votre smartphone ou à fournir votre numéro de mobile pour une vérification par SMS.

De nombreux exclus

Sauf que… On l'a vu au moment de la crise du Covid-19, seuls 77% de la population française est équipée d'un smartphone (d'après le baromètre du numérique 2019). D'autres ne possèdent pas de ligne mobile, ou ne sont pas à l'aise avec l'idée de communiquer cette donnée, de peur d'être inondés de SMS de démarchage publicitaire… Certains habitent dans des zones encore mal couvertes (en 2019, 30% des utilisateurs de téléphone mobile déclaraient éprouver encore des difficultés à passer un appel, envoyer ou recevoir des SMS). Ou même sont trop âgés pour savoir manipuler ces appareils !

Bref, c'est toute une partie de la population, parmi les plus démunis et les plus fragiles qui va se trouver laissée pour compte. Étonnant que personne ne s'en préoccupe ni n'exhorte les banques à chercher des solutions plus universelles et plus simples.

Pourtant, d'après cette même directive « Quiconque réside légalement en Europe a droit à un compte bancaire pour effectuer des paiements électroniques («compte de paiement»). »

Une système loin d'être sans faille

Un smartphone ça se perd, ça se vole, ça tombe en panne, la batterie peut lâcher, ou il n'y a pas suffisamment de place en mémoire pour installer toutes ces applications supplémentaires. Quant aux SMS, on sait qu'ils ne sont pas totalement sûrs : des fraudes via la SIM swap sont possibles.

Et quid de la fiabilité de ces fameuses applications mobiles proposées par les banques, dont le développement est sous-traité auprès de SSII, qui exploitent des alternants qui apprennent le développement mobile sur le tas… Il est permis d'en douter, surtout quand même les conseillers clientèle des banques reconnaissent, sans trop qu'on les force, qu'ils repoussent le moment où ils vont devoir eux-mêmes s'en servir.

Enfin, suite à la découverte de logiciels espions et de backdoors sur des smartphones ZTE et Xiaomi en 2016, puis aux soupçons de cyberespionnage qui pèsent actuellement sur Huawei, on peut se demander si on peut vraiment faire confiance à un smartphone fabriqué dans des pays où la législation n'est pas celle de l'Union Européenne…

Pourquoi est-ce à nous de payer pour cela ?

Il est également surprenant que ce soit au consommateur de supporter le surcoût inhérent à l'achat du smartphone et l'éventuelle ouverture de la ligne mobile. Ce transfert de coût n'est pas acceptable. Quand on pose une serrure, on fournit la clé ! Cela donnerait peut-être enfin une justification à ces fameux frais bancaires qu'on nous prélève pour des raisons fumeuses… Après tout, certaines banques telles la Banque Postale et le Crédit Mutuel se vantent de proposer également des offres de téléphonie, autant en inclure une (même basique) avec leurs comptes bancaires.

D'autres solutions existent…

Il existe depuis très longtemps une solution simple pour payer en ligne en toute sécurité : le système eCarte bleue qui génère un numéro de carte bancaire à usage unique et à durée de validité courte. Il devrait être systématiquement inclus dans les services de base d'un compte bancaire au lieu de faire l'objet d'une facturation supplémentaire.

Sinon, certaines banques proposent un boîtier autonome équipé d'un lecteur de QR code (Digipass du Crédit Mutuel) ou un boîtier lecteur de carte (Safetrans, également au Crédit Mutuel ou Cyberplus à la Banque populaire), à connecter au port USB du PC.  Mais payant, la plupart du temps !

Quant à Paypal, ils ont eu l'intelligence de mettre en place un système d'appel automatique qui est également compatible avec les lignes fixes : il suffit de répondre à cet appel et de saisir sur le clavier le code affiché sur l'écran du PC sur lequel on est en train d'effectuer la transaction.

Un petit sursis ?

Grâce à la crise du Covid, certains établissements (notamment Carrefour Banque) ont décalé l'application de l'authentification à 2 facteurs.

Et heureusement, la directive prévoit quelques cas de dérogation, et notamment :

• les opérations d'un montant inférieur à 30 €,
• les abonnements et opérations récurrentes,
• les opérations présentant un faible taux de fraude, à condition de livrer un surcroît d'informations personnelles à sa banque,
• la possibilité de fournir à sa banque une « liste blanche » de bénéficiaires de confiance (des commerçants considérés comme fiables), et chez qui ils veulent être exemptés de contrôle.

Bref, il y a urgence… Qu'est ce que les associations de consommateurs attendent pour se saisir du dossier ?

Sources

Directive sur les services de paiement – Fiche d'information

Texte de la Directive sur les services de paiement

Taux d'équipement en smartphone en France en 2019, selon la tranche d'âge

Baromètre du numérique 2019 (document PDF)

Compte bancaire : pourquoi posséder un smartphone va devenir indispensable