Authentification forte : priorité à la protection des utilisateurs

Depuis quelques années, tous les acteurs financiers en Europe doivent appliquer l’authentification forte. Derrière ce terme un peu technique se trouve une garantie essentielle : personne ne peut accéder à votre compte ni utiliser votre carte sans votre accord.

Chez Veracash, l’exigence est d’autant plus élevée que vous détenez des métaux précieux réels (or, argent) adossés à votre compte et mobilisables via des moyens de paiement. Ces actifs tangibles méritent une sécurité maximale. L’authentification forte en est l’un des piliers.

Qu’est-ce que l’authentification forte ?

L’authentification forte (ou SCA pour strong customer authentication) repose sur un principe simple : au lieu d’un seul code ou mot de passe, l’accès à votre compte ou la validation d’un paiement repose sur au moins deux facteurs distincts.

Ces facteurs appartiennent à trois catégories définies par la réglementation :

• La connaissance : quelque chose que vous savez, comme un mot de passe ou un code secret.
• La possession : quelque chose que vous avez (votre smartphone configuré comme appareil de confiance).
• L’inhérence : quelque chose qui prouve qui vous êtes, comme votre empreinte digitale ou la reconnaissance faciale.

Pour être conforme, l’authentification forte doit combiner deux de ces trois catégories, et elles doivent être indépendantes l’une de l’autre. En clair, même si un pirate découvre votre mot de passe, il ne pourra rien faire sans avoir aussi accès à votre téléphone ou à votre empreinte.

Important : chez Veracash, la validation des opérations sensibles ne passera plus par un code SMS. Le SMS peut intervenir uniquement pour associer votre appareil de confiance (voir ci-dessous), pas pour autoriser des opérations.

Votre appareil de confiance : le cœur de la sécurité

Pour valider une opération sensible, vous devez disposer d’un smartphone configuré comme appareil de confiance, avec l’application mobile Veracash installée. C’est obligatoire : l’appareil de confiance est reconnu comme le seul terminal en votre possession autorisé à valider vos actions sensibles.

Associer mon appareil de confiance (smartphone)

1. Téléchargez puis ouvrez l’application mobile Veracash (Google Play / App Store).
2. L’application vous propose d’associer l’appareil.
3. Saisissez le code de vérification reçu par SMS (cette étape sert uniquement à lier l’appareil).
4. Votre appareil est désormais reconnu comme appareil de confiance.
5. Définissez votre code de sécurité à 6 chiffres (et activez la biométrie si votre téléphone le permet et si vous avez déjà configuré la reconnaissance faciale ou votre empreinte digitale).

Pourquoi Veracash applique l’authentification forte ?

La première raison est légale, c’est une obligation qui découle de la directive européenne DSP2 (Directive sur les services de paiement), laquelle impose à tous les établissements financiers de renforcer la sécurité des transactions en ligne. En tant qu’opérateur adossé à Treezor (établissement de monnaie électronique agréé), Veracash applique donc strictement ces règles.

Mais réduire l’authentification forte à une simple contrainte réglementaire serait passer à côté de l’essentiel. Chez Veracash, nous la voyons surtout comme une protection pour nos clients :

• Elle sécurise vos données personnelles (vos identifiants, vos informations de paiement, vos coordonnées).
• Elle protège le capital que vous avez confié à Veracash, qu’il s’agisse d’or ou d’argent physique.

Un compte Veracash n’est pas un compte bancaire classique : il représente des métaux précieux tangibles, conservés en coffre et mobilisables à travers un compte et une carte. C’est précisément parce que vous détenez un actif réel que nous devons garantir une sécurité renforcée, à la hauteur de cette valeur.

Autrement dit : l’authentification forte ne doit pas être vue comme une contrainte, c’est au contraire un gage de confiance qui vous assure que, même dans un environnement numérique souvent exposé aux tentatives de fraude, votre patrimoine reste protégé.

Dans quels cas l’authentification forte est-elle demandée ?

L’authentification forte s’applique pour toutes les opérations dites sensibles, c’est-à-dire celles qui peuvent présenter un risque pour la sécurité de vos données ou de votre capital. Chez Veracash, ces opérations sont les suivantes :

• Modification, affichage et déblocage du code PIN
• Modification de vos données personnelles (mobile, e-mail, adresse postale)
• Obtention de l’IBAN personnel
• Consultation des rapports financiers
• Modification de plafond de carte
• Activation et déblocage de votre carte
• Activation / désactivation du NFC
• Demande de virement sortant
• Envoi d’actifs
• Conversion de votre compte d’attente en EUR vers des métaux
• Paiement par carte en ligne avec demande d’authentification (tous les sites e-commerces ne le demandent pas)
• Écrasement de l’appareil de confiance
• etc.

Comme toutes ces actions impliquent vos moyens de paiement, vos coordonnées, vos métaux précieux ou des flux sortants, elles doivent toujours être validées via l’authentification forte.

Comment valider une opération sensible ?

On entre ici dans l’aspect pratique des choses. Nous allons donc prendre quelques exemples pour illustrer la mise en œuvre de l’authentification forte dans différentes situations du quotidien.

1) Vous payez sur Internet avec votre carte Veracash

1. Réalisez le paiement comme d’habitude sur le site marchand.
2. Une notification push vous est envoyée (pensez à autoriser les notifications de l’app Veracash)
3. Ouvrez l’application Veracash sur votre appareil de confiance.
4. L’écran de sécurité s’affiche :
   Validez si vous êtes bien à l’origine de l’opération
   Réalisez l’authentification forte (biométrie/face/id/empreine) ou saisie du code à 6 chiffres.
   sinon Annulez en cas de doute.

2) Vous lancez une opération sensible depuis l’application mobile

1. Effectuez l’action (virement, modification, etc.).
2. Une notification push vous est envoyée
3. Une fenêtre de sécurité apparaît pour confirmer que vous êtes bien à l’origine de l’opération et que vous n’êtes pas sous influence d’un tiers.
   Validez et réalisez l’authentification forte (biométrie/face/id/empreine) ou saisie du code à 6 chiffres
   ou Annulez si quelque chose vous paraît anormal.

3) Vous lancez une opération sensible depuis le site web

1. Réalisez l’action (ex. : demande de virement, conversion, etc.).
2. Une fenêtre “Sécurité – Action requise” s’ouvre (“Opération en attente de validation”).
3. Ouvrez l’application Veracash sur l’appareil de confiance et confirmez dans l’application que vous êtes bien à l’origine de l’opération (sinon, annulez).

Cette procédure empêche un tiers, même s’il connaît votre mot de passe, d’accéder à vos fonds ou de manipuler vos informations. L’authentification forte fonctionne donc comme un verrou supplémentaire, simple et très efficace.

Les avantages pour le client

L’authentification forte constitue finalement un bouclier efficace contre les principales menaces numériques.

• Contre le vol d’identité : même si un fraudeur met la main sur vos identifiants, il lui manquera toujours la seconde clé (votre téléphone ou votre empreinte).
• Contre le piratage : vos données personnelles sont protégées par plusieurs couches de sécurité indépendantes.
• Contre les fraudes de paiement : vos transactions sur Veracash ne peuvent pas être validées sans votre intervention active.

En clair, même dans le scénario où l’un de vos codes serait compromis, vos avoirs restent intouchables. Les métaux précieux de votre compte bénéficient ainsi d’un niveau de protection équivalent à celui des plus hauts standards financiers.

La sécurité est aussi l’affaire du client

Bien évidemment, même si nous mettons en place toutes les protections nécessaires pour que vos données personnelles et vos métaux précieux restent hors d’atteinte des fraudeurs, la sécurité est toujours une responsabilité partagée. Vous avez, vous aussi, un rôle clé à jouer.

En effet, même si la DSP2 a rehaussé le niveau de sécurité, les escrocs s’y sont adaptés : l’ingénierie sociale (appels, faux e-mails, usurpation de support) vise à vous faire valider vous-même des opérations frauduleuses. C’est pour cela que la nouvelle norme en cours de développement, la DSP3, met désormais l’accent aussi sur la sensibilisation des utilisateurs et vous rappelle un certain nombre de principes de vigilance :

• Ne communiquez jamais vos identifiants à un tiers, même en cas de message ou d’appel suspect.
• Choisissez un code de sécurité à 6 chiffres, unique, difficile à deviner (par exemple, évitez les dates d’anniversaire).
• Mettez à jour régulièrement votre application Veracash, ainsi que le système de votre smartphone ou ordinateur.
• N’installez rien ni ne suivez aucune procédure dictée au téléphone.
• Refusez toute validation qui vous semble étrange ; en cas de doute, Annulez, puis appelez le service client via les coordonnées officielles que vous trouverez sur le site de Veracash.

Ces précautions simples, combinées aux protections techniques que nous mettons en œuvre, garantissent l’efficacité maximale de l’authentification forte.