Pour construire la banque digitale, le secteur bancaire doit engager de nombreux chantiers. Ceux qui touchent à la sécurisation des données bancaires sont très essentiels. À l’heure du Big Data et du Cloud Computing, les données constituent en effet un enjeu stratégique pour le développement de l’économie numérique. Elles sont devenues sensibles de par leur présence importante dans les flux financiers et parce qu’elles sont indispensables au bon fonctionnement des applications mobiles, des services de banque en ligne et des sites de e-commerce. Ces données bancaires sont toujours plus nombreuses à circuler sur Internet, ce qui pose la question de leur sécurité. Au Royaume-Uni, les fraudes aux prélèvements ont fait un bond de plus de 30 %. Selon le Centre for economics and business research, 26 000 personnes en ont été victimes en Grande-Bretagne en 2010. Ce nombre se serait élevé à plus de 40 000 en 2013 et les projections des professionnels sont très alarmantes pour 2015… En 2013, le rapport sur la fraude des cartes bancaires de la Banque Centrale Européenne (BCE) et l’Observatoire de la sécurité des cartes de paiement de la Banque de France ont révélé que le taux de fraude sur les paiements par carte bancaire dans la zone SEPA avait bondi de 30 %. Au-delà de ces fraudes par vol de données individuelles, la découverte de Heartbleed en 2014, une gigantesque faille dans le protocole de sécurité OpenSSL, nous fait rentrer dans le vol de données massives et fait peser un risque majeur en matière de sécurité des échanges de données sur plusieurs centaines de milliers de sites internet marchands et bancaires dans le monde. La sécurisation des SI constitue pour les entreprises un véritable enjeu stratégique, en particulier pour l’e-commerce ou les banques. Certaines solutions technologiques constituent des réponses efficaces face aux risques qui pèsent sur les données bancaires : l’anonymisation des informations et l’authentification forte, notamment biométrique en font partie.
La protection des données bancaires, facteur de développement de l’économie numérique
Les flux de paiement de l’économie réelle et surtout numérique s’appuient sur les données bancaires : numéro de carte bancaire, numéro de compte, date de validité, cryptogramme. À l’ère du numérique, ces dernières sont stockées dans des bases de données partagées entre les établissements financiers et les acteurs de l’économie : clients, salariés, entreprises ou commerçants. Le vol de ces données bancaires doit à ce titre être considéré comme un risque stratégique et systémique pour l’économie. Leur perte entache sérieusement la réputation de l’entreprise, les clients s’interrogeant sur sa capacité à garantir la confidentialité des données. Le sentiment de perte de confiance qui en résulte entraîne une baisse des ventes et peut même aller jusqu’à menacer la continuité de l’activité. L’exemple de Sony et du PSN
Sans cette confiance, il n’y a plus de développement possible des règlements à distance par les internautes. En dépit de la loi française
L’impact le plus important dans l’utilisation frauduleuse des coordonnées bancaires est l’atteinte à l’image. Et qui dit perte de confiance dit chute concomitante du chiffre d’affaires. La croissance du nombre de cyberattaques dirigées contre des établissements financiers, et en particulier les 100 millions de coordonnées volées en 2014 à JP Morgan Chase and
Les nouveaux acteurs du paiement en ont pleinement conscience. Le lancement par Apple d’Apple
Confiance et protection des données véhiculées sur la toile
Le développement de l’économie numérique repose sur la capacité de ses acteurs à garantir une transaction par l’utilisation d’un moyen de paiement à distance authentifié. Or, couplé à l’usurpation d’identité, le vol des données de paiement peut remettre en question cette garantie. Aujourd’hui, seul le paiement de proximité par carte bancaire assure celle-ci. Selon la FEVAD, la carte bancaire représente 80 % des moyens de paiement sur Internet. Le taux de fraude est de 130 millions d’euros soit 0,293 % du montant total des transactions en ligne et 61 % de l’ensemble des cas de fraude en 2012.
Le vol de données personnelles et d’informations bancaires remet en question la confiance entre les opérateurs financiers, les commerçants et leurs clients. L’impact est tel qu’aux États-Unis, le gouvernement fédéral a décidé de lancer un programme de sécurisation des moyens de paiement en s’appuyant sur la carte à puce de type
Le vol de données de paiement et l’usurpation d’identité constituent le cocktail parfait pour la fraude. Avec la dématérialisation des échanges commerciaux via le digital, les règlements sont débouclés sans la présence physique des deux acteurs économiques.
Les solutions 3D
Efficacité et fluidité
La sécurisation efficace et fluide du parcours client numérique passe par l’impossibilité d’utiliser les données pour frauder et par l’authentification de manière certaine de l’émetteur du paiement. Pour réduire les risques de vol de données, il suffit d’en empêcher l’utilisation pour une nouvelle transaction de paiement, c’est ce que l’on appelle les données non rejouables ou anonymisées, et de faciliter l’authentification par la biométrie corporelle ou vocale, pratique pour des transactions à distance. L’usage de ces deux techniques réduit fortement la fraude et s’adapte aux législations liées à la protection de données à caractère personnel.
L’anonymisation garantit que le vol de données bancaires ne sera pas rejouable pour générer des transactions financières. Elle est dissuasive pour les cybercriminels qui, par exemple, ne peuvent revendre les données de cartes bancaires sur la toile pour en faire un usage frauduleux. Elle consiste à crypter le numéro des cartes bancaires au moment de l’enrôlement auprès des commerçants, à le stocker dans un coffre-fort électronique puis à remplacer le numéro de carte par un token (numéro de remplacement) non rejouable dans une transaction financière. Les techniques sont aujourd’hui conformes à la norme PCI DSS et limitent la diffusion des numéros de carte sur la toile. Cette anonymisation répond aussi à l’évolution de la protection des données à caractère personnel, comme l’évoque Viviane Reding, ancienne Commissaire
Pour répondre à l’usurpation d’identité qui se multiplie avec les fraudes aux « faux président », la biométrie vient compléter le dispositif de l’anonymisation des données. Ainsi, l’identification biométrique vocale est l’un des moyens les plus simples à mettre en œuvre. Le principe utilisé permet à partir de l’enregistrement de sa voix sur un serveur sécurisé de s’authentifier par téléphone au moment de la demande d’authentification pour valider la transaction. Le système biométrique est également capable de distinguer un enregistrement d’un original. Couplé à un système d’authentification forte, il assure la garantie de la transaction. Ces systèmes sont en cours d’expérimentation partout dans le monde et en France dans le cadre de l’association Natural Security
Conclusion
Pour garantir une transaction de paiement tout en respectant le parcours client numérique, un juste équilibre est nécessaire entre des authentifications faibles de type CVV2, qui induisent une perte de confiance, et des systèmes de sécurité comme 3D Secure, qui découragent les internautes (abandon d’achats…). Il faut donc sécuriser à la fois en amont et en aval, en neutralisant les risques d’usage des données bancaires : tout ce qui est transmis doit être inoffensif (référentiel différent, anonymisation…). La protection des données sensibles pour une entreprise et l’authentification des acteurs économiques à distance sont les enjeux de la confiance dans l’économie numérique.
