- Ce sujet contient 62 réponses, 22 participants et a été mis à jour pour la dernière fois par
, le il y a 2 années et 6 mois.
-
Messages
-
Désolé @Grogaz mais je ne peux pas être d’accord ! Sans chercher nullement à vous convaincre (chacun voit midi à sa porte
), voici quelques explications.La sécurité recouvre beaucoup de sujets, en particulier l’authentification, c’est-à-dire le fait de prouver son identité auprès de la banque (ou, au sens large, du fournisseur de service : messagerie, site d’e-commerce).
La façon classique de s’authentifier c’est via un identifiant et un mot de passe, comme sur votre forum favori
Ce type d’authentification est appelé authentification simple car il n’y a qu’un seul facteur d’authentification : le mot de passe.Le mot de passe peut être plus ou moins complexe :
– peu complexe : « password » (si, si…), la date de naissance, le nom de jeune fille de madame…
– plus complexe : Th\\ço__ 0l-aEYC2é5tr (par exemple)Cette complexité du mot de passe ne change rien : cela reste de l’authentification simple, au sens où l’on utilise qu’un seul moyen de prouver son identité.
A noter qu’il est plus ou moins facile soit de deviner le mot de passe via des attaques plus ou moins intelligentes (force brute, dictionnaire, rainbow table…) ou, plus couramment, de le soutirer, typiquement via une attaque d’hameçonnage (phising).Pour sécuriser au mieux son compte, le mieux est d’utiliser une authentification forte, aussi connue sous le nom d’authentification multifactorielle (Multi Factor Authentication = MFA), double authentification… Tous ces termes-là ne désignent pas exactement la même chose, mais je simplifie : l’idée est d’avoir (au moins) deux moyen d’authentification : c’est-à-dire le mot de passe + quelque chose d’autre.
On dit parfois que l’authentification forte, c’est présenter au moins deux moyens d’authentification parmi les trois suivants :
– quelque chose que l’on connait (mot de passe, code PIN)
– quelque chose que l’on possède (téléphone mobile, carte à puce,…)
– quelque chose que l’on est (biométrie : empreinte digitale ou reconnaissance faciale)Il existe de très nombreuses méthodes pour obtenir cet autre facteur d’authentification. Sans dresser une liste exhaustive, on peut citer :
– le mot de passe à usage unique (ou « one-time password » = OTP)
– une notification sur l’application mobile de la banque (push notification) qui va vous demander une confirmation : saisie d’un code secret, authentification biométrique (empreinte digitale ou faciale),…Dans la plupart des cas, le mot de passe à usage unique est envoyé par SMS, ce qui n’est pas sécurisé. La directive européenne DSP2 (Directive sur les Services de Paiements, version 2) cherche d’ailleurs à éliminer cet envoi par SMS (le concept de mot de passe à usage unique reste très valable ! c’est le moyen d’envoyer ce code qui est en cause).
L’avantage d’avoir l’application sur son téléphone mobile, c’est qu’on combine en un seul moyen :
– quelque chose que l’on est le seul à posséder (le téléphone)
ET
– soit quelque chose qu’on est le seul à connaître (code secret) OU quelque chose que l’on est (biométrie).L’authentification forte via l’application mobile de votre banque offre donc une bien meilleure sécurité que l’authentification simple (par mot de passe).
Les téléphones sont-ils sécurisés ? Si on utilise un téléphone « normal » relativement récent (à jour au niveau système d’exploitation iOS/Android, non-rooté, non-jailbreaké..), la réponse est oui.
L’idéal est bien sûr de protéger son téléphone via un code de déverrouillage, une empreinte biométrique, un schéma à dessiner…
Mais quand bien même le téléphone ne serait pas protégé du déverrouillage, l’application de la banque le sera.Salut à tous !
Je lance ce sujet à propos de la fraude bancaire.
En effet, en ce moment, nous recevons tous des mails ou des SMS de fishing pour nous soutirer nos données personnelles (et notamment nos données bancaires).
Dans mon entourage, quelqu’un s’est fait détrousser une grosse somme d’argent (8000€).
Les fraudeurs ont réussi à pirater son accès bancaires (comment je ne sais pas…) et ont réussi à faire la portabilité du numéro de son mobile vers un autre opérateur.
Ensuite, bah ils sont allés sur le compte bancaire, ont ajouté un bénéficiaire (avec confirmation par le mobile chez le nouvel opérateur)… et voili… le tour est joué.Bref, avez-vous des conseils pour éviter cela ?
Moi, perso, je cherche une banque comme permette la confirmation par biométrie (iPhone notamment par TouchID ou FaceID) à chaque type d’actions sur mes comptes (ajout de bénéficiaires, virements…).
Le Crédit Agricole le propose… pas la SG…__________________________________
Ω Speedmaster Moonwatch Professionnel | 3570.50 (2011) – Ω Seamaster Diver 300M | 210.30.42.20.01.001 (2020) – Ω 19 »’ 1918Le Crédit Mutuel le propose aussi et Carrefour Banque aussi. Pour toutes les actions, j’ai un cumul de sécurité assez impressionnant…
Pour le reste, je suis d’accord avec toi sur la profusion de mails ou texto essayant de pomper les données bancaires. Dernièrement, c’est une fausse demande de mise à jour de mon mandat de prélèvement EDF qui est apparu. Et ils sont malins, c’est apparu au moment où je reçois ma facture…
__________________________________
ons bloed is blou: gaan die blou bulle! – Rue Royale. ASTRON. SBGR083. Monaco x Gulf. 214270. Tank solarBeat. MN64 Heterium.L’appli mobile LCL propose également la validation par empreinte.
Hélas ça ne change rien à une opération frauduleuse sur un ordi fixe ou au distributeur.Pour être tranquille, la règle est simple: ne jamais suivre les liens depuis les mails reçus.
__________________________________
« I don’t hate people. I just feel better when they aren’t around. » Charles BukowskiIl me semble (peut-être que je me trompe…) que l’activation de la fonction biométrie dépend essentiellement du téléphone (et remplace l’envoi d’un code à usage unique, via mail ou GSM, le mail étant compromis par nature dans ce cas de figure).
Dans ce cadre, si la portabilité du n° est réalisée, j’imagine que par définition la fonction sera remise à 0, ou ad minima il sera possible d’en passer par un code à usage unique. J’ai aussi la fonction sur l’appli CE, mais évidemment elle est limitée à un unique appareil dont l’association doit être faite au préalable. Cela dit, cette association doit passer par un échange de mails / codes SMS… (damned)
C’est particulièrement vicieux comme technique…
__________________________________
Soutien PEQUIGNET 2017- scaryfan a écrit:
- mon entourage, quelqu’un s’est fait détrousser une grosse somme d’argent (8000€).
Les fraudeurs ont réussi à pirater son accès bancaires (comment je ne sais pas…) et ont réussi à faire la portabilité du numéro de son mobile vers un autre opérateur.
Ensuite, bah ils sont allés sur le compte bancaire, ont ajouté un bénéficiaire (avec confirmation par le mobile chez le nouvel opérateur)… et voili… le tour est joué.
Et bien…. arriver à faire tout ça, c’est quand même un peu gros.
__________________________________
>> ICI << prochainement rédaction d’une signature géniale.Oui effectivement les truands sont inventifs !
J’ai reçu, il y a peu, un message de ma banque qui me disait de me méfier de la nouvelle arnaque
l’idée consiste à vous envoyer un message avec un numéro de téléphone de la banque… qui est le bon !
Donc les gens ne se méfient pas et donnent des infos qui permettent aux escrocs de pénétrer dans le compte de la victime… en gros ça donne ce qui est raconté en tête de ce post…
prudence !
__________________________________
Passer pour un idiot aux yeux d’un imbécile est un plaisir de fin gourmet. G.C.
- plop a écrit:
- L’appli mobile LCL propose également la validation par empreinte.
Hélas ça ne change rien à une opération frauduleuse sur un ordi fixe ou au distributeur.Pour être tranquille, la règle est simple: ne jamais suivre les liens depuis les mails reçus.
Oui mais si le brigand est sur un PC, entre sur le compte d’une victime, crée un bénéficiaire ou effectue un virement vers un autre compte, il faudrait que cette opération soit validée sur un autre terminal (iPhone par exemple) avec identification du visage ou de l’empreinte…
Le brigand (s’il ne s’appelle pas Tom Cruise
…) n’a pas le doigt ou la tête de la victime… … et si c’est le jumeau de la victime, c’est le visage qui pourrait être le même… 
La biométrie semble quand même être une bonne méthode pour sécuriser des transactions bancaires… non ?
__________________________________
Ω Speedmaster Moonwatch Professionnel | 3570.50 (2011) – Ω Seamaster Diver 300M | 210.30.42.20.01.001 (2020) – Ω 19 »’ 1918Et surtout penser a ne pas jeter ou après effacement vos disques dur
Je récup’ souvent dans la rue du matos informatique et cela m’est arrivé et pas qu’une fois !!
Branchement du HDD la session windaub démarre sans mdp et lancement Chrome google puis gmail et
Hoooooo miracle la session est pré-enregistré j’ai accès a tout les mails documents administratif envoyés, CIN …
De quoi faire des crédits a la consommation …
Et je raconte même pas quand c’est du récupéré dans des poubelles d’entreprises style TPE ….- scaryfan a écrit:
-
Oui mais si le brigand est sur un PC, entre sur le compte d’une victime, crée un bénéficiaire ou effectue un virement vers un autre compte, il faudrait que cette opération soit validée sur un autre terminal (iPhone par exemple) avec identification du visage ou de l’empreinte…
Le brigand (s’il ne s’appelle pas Tom Cruise …) n’a pas le doigt ou la tête de la victime… … et si c’est le jumeau de la victime, c’est le visage qui pourrait être le même… La biométrie semble quand même être une bonne méthode pour sécuriser des transactions bancaires… non ?
Sécuriser c’est bien mais si le client est une passoire et divulgue ses accès ce sera toujours peine perdue.
En ayant accès au site de ta banque avec des identifiants à jour, tu peux modifier tes options de contacts ( mai ltél , etc…) , tes options de sécurisation ( codes, mail de vérif, option de biométrie… ) … bref tout.La faille c’est l’humain dans 99% des cas.
Je pense que la majorité des banques contactent leurs clients non pas par un mail du style » Coucou c’est moi William ton conseiller, je veux te faire gagner des sous, sioupléééé clique sur le lien en dessous… » …
Je reçois personnellement plus généralement un sms ou un mail m’indiquant de consulter la messagerie de mon compte bancaire ou directement un appel de mon conseiller.
Encore une fois: la solution est la suppression du mail « douteux » et consultation/vérification du site par un accès manuel.
__________________________________
« I don’t hate people. I just feel better when they aren’t around. » Charles BukowskiBonjour,
Sujet vaste et complexe.
Toutes les banques sérieuses mettent en place des contre-mesures, mais il y a également la question de la sensibilisation des utilisateurs finaux, en particulier de ceux qui ne sont pas très à l’aise avec la technologie…La base de la base c’est :
– ne jamais cliquer sur un lien contenu dans un email : il faut mettre en favori le site de sa banque et s’y connecter de cette façon (l’email peut être un faux et rediriger vers un site illégitime)
– ne jamais ouvrir une pièce jointe contenue dans un email : les banques passent par leurs messageries sécurisées pour envoyer des pièces jointes, jamais par email
– en cas de doute, contacter le service client ou son conseiller directement… et pas via le numéro contenu dans un email, mais via un numéro officiel (reçu sur un courrier, sur le site officiel de la banque, dans les contacts de son téléphone, etc.)
– installer sur son téléphone l’application de la banque et apprendre à l’utiliser. Là encore, la plupart des banques proposent des vidéos (plus ou moins bien faites, certes) ou aller voir son conseiller en agence.
— En particulier, il faut utiliser l’application de la banque pour l’authentification forte, en lieu et place de l’authentification par SMS (nombreuses failles pour détourner les SMS…)
– ne jamais se laisser mettre la pression par email, téléphone, SMS… en cas de doute, appeler directement le service client ou son conseiller (toujours via un numéro de téléphone connu et pas un que l’on vous donne)
– jamais un téléconseiller ne vous demandera un mot de passe ou encore le code PIN de votre carte bleueDe manière plus générale :
– ne jamais se connecter à un site sensible (email, banque, etc.) depuis un Wifi public (gare, aéroport, restaurant, hôtel…) – ou alors uniquement au travers d’un VPN (réseau privé virtuel).
– toujours surveiller la barre de navigation de son navigateur : tous les navigateurs modernes vont alerter l’utilisateur s’il y a quelque chose qui cloche (cadenas brisé, couleurs orange ou rouge, message d’alerte…)
– toujours bien vérifier l’expéditeur de l’email (pas toujours simple…)
– utiliser un gestionnaire de mot de passe (par exemple Keepass ou le gestionnaire de mot de passe de son navigateur, à condition d’utiliser un mot de passe principal !) afin d’utiliser des mots de passe forts et ne jamais réutiliser les mots de passe
– apprendre à utiliser l’authentification forte (mot de passe + autre chose : code à usage unique, notification push sur le téléphone etc.) et l’activer partout où c’est possible : toutes les banques le proposent , email, sites de e-commerce,…C’est « la base ».
On pourrait résumer par : ne faites pas confiance à tout ce que vous pouvez recevoir (email, SMS, voir coup de fil). Si quelque chose vous semble louche, c’est sans doute le cas. Raccrochez ou ne tenez pas compte de l’email/SMS et contactez votre banque/conseiller directement via un numéro dont vous savez qu’il est fiable.Dernier point : si vous utilisez beaucoup les transports en commun en particulier dans les grandes villes, investissez quelques euros dans un portefeuille qui bloque les RFID. Effet de bord du paiement sans contact, il est en effet facile de récupérer « sans contact » les informations de votre CB…
Exemple vu récemment : une société reçoit un 1er email « de la banque » mais cet email est ostensiblement douteux (mauvais français, charte graphique pas respectée, email douteux, etc.).
Le lendemain la même société reçoit un email, cette fois-ci parfait (bien écrit, charte graphique respectée, nom et coordonnées d’un vrai conseiller en bas du mail, etc.) : ce 2ème email prévient que la banque a détecté une campagne d’hameçonnage (phishing) la veille et conseille de se connecter « via le lien ci-dessous » au site de la banque pour vérifier que personne dans la société ne s’est fait avoir… paf ! Ce 2ème email est aussi un hameçonnage.Sauf qu’un téléphone, ça se vole facilement, ça se duplique facilement, ça se pirate facilement, c’est bourré de connectivités externes qui, la majeure partie du temps, ne sont pas correctement sécurisées par l’utilisateur, et même en sachant tout ça, les usagers tapent leur code dessus sans jamais se cacher de ceux qui sont autour d’eux.
En gros, si je simplifie, c’est comme une carte bancaire.
Ca peut être considéré comme sécurisé, via le code secret, mais si l’utilisateur note ce code sur un bout de papier dans le porte-carte, ben, ça ne sert plus à rien.Bref, pas d’appli’ bancaire sur mon phone, et bon courage à celui qui voudra essayer de me pirater via ce moyen.
Surtout que sur 99% des phone, il y aura aussi 14 appli’s de réseaux sociaux, gavés de données personnelles, avec zéro sécurité d’accès, facilitant le déblocage de bon nombre de mots de passe. Bon courage aussi pour trouver mes passwords via ce moyen, je n’ai pas de compte sur les réseaux sociaux courants. Réseaux sociaux qui, il faut tout de même le rappeler, tirent une part de leurs revenus via la commercialisation à absolument n’importe qui de ces mêmes données personnelles…Toujours sur la même logique, à quoi ça sert d’enregistrer l’adresse de son propre domicile sur Waze ou Maps, par exemple ?
Autant donner l’info’ tout de suite à celui qui vient de voler le phone et qui avait l’intention de tenter un cambriolage, car encore une fois, c’est une donnée hyper sensible, et qui n’est pas du tout protégée.
Il est nettement plus sage de n’enregistrer que le nom de la commune, ou de noter une rue à 300m de l’adresse véritable, par exemple.__________________________________
Gaaaaazzzzzz!!!!!!- scaryfan a écrit:
- Salut à tous !
Je lance ce sujet à propos de la fraude bancaire.
En effet, en ce moment, nous recevons tous des mails ou des SMS de fishing pour nous soutirer nos données personnelles (et notamment nos données bancaires).
Dans mon entourage, quelqu’un s’est fait détrousser une grosse somme d’argent (8000€).
Les fraudeurs ont réussi à pirater son accès bancaires (comment je ne sais pas…) et ont réussi à faire la portabilité du numéro de son mobile vers un autre opérateur.
Ensuite, bah ils sont allés sur le compte bancaire, ont ajouté un bénéficiaire (avec confirmation par le mobile chez le nouvel opérateur)… et voili… le tour est joué.Bref, avez-vous des conseils pour éviter cela ?
Moi, perso, je cherche une banque comme permette la confirmation par biométrie (iPhone notamment par TouchID ou FaceID) à chaque type d’actions sur mes comptes (ajout de bénéficiaires, virements…).
Le Crédit Agricole le propose… pas la SG…
Je fais très simple: pas d’appli’ bancaire sur mon phone.
Vu que la sécurité d’un phone, c’est juste une plaisanterie, c’est le meilleur moyen de se faire pirater à peu près tout et n’importe quoi.
Du coup, pas d’appli’, pas de souci.__________________________________
Gaaaaazzzzzz!!!!!!
Copier mon visage ??? Tom Cruise y arrive bien… mais pas sûr que la caméra FaceID ne fasse avoir… puisqu’elle analyse énormément de points du visage « vivant »… si je ne me trompe pas…
Tu peux me prendre en photo et ensuite présenter la photo à l’appareil… normalement ça ne marche pas… Par contre, sur l’iPhone, je ne crois pas que l’on puisse paramétrer l’authentification par biométrie + par code… c’est soit l’un soit l’autre…
__________________________________
Ω Speedmaster Moonwatch Professionnel | 3570.50 (2011) – Ω Seamaster Diver 300M | 210.30.42.20.01.001 (2020) – Ω 19 »’ 1918
- Vous devez être connecté pour répondre à ce sujet.