Tandis que je réagissais, l'été dernier, aux propositions dangereusement rétrogrades de l'EBA (European Banking Authority) quant à l'application des dispositions relatives à l'ouverture des données des clients inscrites dans la directive des services de paiement (« PSD2 »), des acteurs du e-commerce ont aussi commencé à s'émouvoir, plus récemment.
Directement concerné par le volume de transactions à distance qu'il gère, bien qu'il ne fasse pas partie du « sérail », Visa était le premier à s'inquiéter des nouvelles exigences d'authentification forte que le texte imposerait pour toute transaction d'un montant supérieur à 10 euros. Depuis, avec d'autres, la Fevad (fédération professionnelle du e-commerce) rejoignait le mouvement, en interpellant les autorités sur les déséquilibres introduits par les mesures envisagées et demandant une concertation plus large.
L'enjeu du débat est extrêmement important, car il est connu (et reconnu) que l'ajout d'une étape supplémentaire dans le parcours d'achat des e-consommateurs conduit à des abandons de paniers massifs et, par voie de conséquence, des baisses significatives de chiffres d'affaires. Visa souligne notamment l'impact potentiel sur les sites où des efforts considérables ont été mis en œuvre afin de fournir une solution de paiement en un clic (Amazon n'est pas le seul !), tout en maîtrisant les risques de fraude.
Car les marchands et leurs représentants rappellent que leur approche de sécurité graduée – qui consiste à exiger un complément d'authentification (par exemple via un code 3D-Secure envoyé par SMS) pour les transactions considérées suspectes – constitue aujourd'hui une réponse satisfaisante à la cyberciminalité. Ils ne manquent d'ailleurs pas de s'indigner que ce principe soit entièrement écarté du texte de l'EBA, alors qu'il est explicitement inscrit dans la directive européenne qu'il est censé implémenter.
Naturellement, les intérêts divergents entre les banques et les commerçants seront toujours difficiles à concilier. Alors que les seconds veulent réduire les frictions dans l'expérience client, les premières privilégient exclusivement la sécurité et, de préférence, sans avoir à y consacrer trop de ressources. Pour elles, une authentification forte systématique est la solution de facilité, alors qu'elles sont parfois très attardées – et je suis convaincu qu'il s'agit d'un choix délibéré – en matière d'analyse contextuelle et en temps réel des risques (comme j'ai pu moi-même en faire l'amère expérience).
Cette stratégie pourrait s'avérer extraordinairement dangereuse, d'abord parce que la dépendance excessive vis-à-vis d'un seul mécanisme de protection (non exempt de failles, comme il a été démontré à plusieurs reprises) tient de l'inconscience. Il est au contraire impératif de multiplier les niveaux de défense et de developper les expertises de sécurité dans toutes les directions afin d'être prêt à répondre aux progrès constants des menaces. À plus long terme, il faudrait également préparer les futurs modèles de paiement qui permettront (rêvons un peu) de s'affranchir des problèmes de sécurité.
Directement concerné par le volume de transactions à distance qu'il gère, bien qu'il ne fasse pas partie du « sérail », Visa était le premier à s'inquiéter des nouvelles exigences d'authentification forte que le texte imposerait pour toute transaction d'un montant supérieur à 10 euros. Depuis, avec d'autres, la Fevad (fédération professionnelle du e-commerce) rejoignait le mouvement, en interpellant les autorités sur les déséquilibres introduits par les mesures envisagées et demandant une concertation plus large.
L'enjeu du débat est extrêmement important, car il est connu (et reconnu) que l'ajout d'une étape supplémentaire dans le parcours d'achat des e-consommateurs conduit à des abandons de paniers massifs et, par voie de conséquence, des baisses significatives de chiffres d'affaires. Visa souligne notamment l'impact potentiel sur les sites où des efforts considérables ont été mis en œuvre afin de fournir une solution de paiement en un clic (Amazon n'est pas le seul !), tout en maîtrisant les risques de fraude.
Car les marchands et leurs représentants rappellent que leur approche de sécurité graduée – qui consiste à exiger un complément d'authentification (par exemple via un code 3D-Secure envoyé par SMS) pour les transactions considérées suspectes – constitue aujourd'hui une réponse satisfaisante à la cyberciminalité. Ils ne manquent d'ailleurs pas de s'indigner que ce principe soit entièrement écarté du texte de l'EBA, alors qu'il est explicitement inscrit dans la directive européenne qu'il est censé implémenter.
Naturellement, les intérêts divergents entre les banques et les commerçants seront toujours difficiles à concilier. Alors que les seconds veulent réduire les frictions dans l'expérience client, les premières privilégient exclusivement la sécurité et, de préférence, sans avoir à y consacrer trop de ressources. Pour elles, une authentification forte systématique est la solution de facilité, alors qu'elles sont parfois très attardées – et je suis convaincu qu'il s'agit d'un choix délibéré – en matière d'analyse contextuelle et en temps réel des risques (comme j'ai pu moi-même en faire l'amère expérience).
Cette stratégie pourrait s'avérer extraordinairement dangereuse, d'abord parce que la dépendance excessive vis-à-vis d'un seul mécanisme de protection (non exempt de failles, comme il a été démontré à plusieurs reprises) tient de l'inconscience. Il est au contraire impératif de multiplier les niveaux de défense et de developper les expertises de sécurité dans toutes les directions afin d'être prêt à répondre aux progrès constants des menaces. À plus long terme, il faudrait également préparer les futurs modèles de paiement qui permettront (rêvons un peu) de s'affranchir des problèmes de sécurité.
Les banques n'utilisent leurs données qu'a posteriori pour leurs propres besoins marketing afin de proposer de nouveaux produits et/ou de prétendus services à leurs clients.
RépondreSupprimerL'enjeu est bien celui-ci : faire de l'analyse comportemental des flux à au moins deux niveaux. La première est de vérifier les variances de la saisonnalité des flux : cette analyse globale peut facilement être déclinée à l'Aller (Client/Banque/CSM) et au Retour (CSM/Banque/Client), voire être affinée client par client. La seconde consiste à définir un profil par client basé sur les flux courants qu'il échange (virement, prélèvement, chèque (malheureusement), carte, instant payment, ...)... ce profil permettrait de détecter les flux émis et les flux reçus qui seraient hors du scope du profil ; ces flux nécessiteraient pour le moins une alerte au client, qui pourrait l'infirmer ou le confirmer. C'est de l'analyse prédictive, mais avant que les banques s'y mettent, il est préférable de faire soi-même sa propre surveillance de ses flux, le plus fréquemment possible