Suport technique et veille technologique

LinuxFr.org : les journaux  -  BPCE et les paiements avec authentification à deux facteurs

 -  Avril 2022 - 

Je suis scandalisé. Voilà.

Depuis quelques semaines, ma banque me prévient qu'ils vont activer l'authentification à deux facteurs lors des paiements. Ça ne m'inquiète pas plus que ça, j'ai déjà ça chez Boursorama depuis récemment, et ça se passe à peu près comme ça :

1. On rentre ses informations de carte sur le site marchand.
2. 3D-Secure se met en marche, avec une iframe, et celle de Boursorama dit qu'il faut se connecter sur son espace client, dans un nouvel onglet.
3. Sur l'accueil de l'espace client apparaît le paiement avec le détail.
4. Pour valider le paiement, il y a l'envoi d'un SMS ou d'un courriel.
5. Retour sur l'onglet du paiement, c'est validé.

C'est un peu fastidieux, mais je sais que la sécurité a un prix, et franchement, ça me semble difficile de faire plus simple en restant sécurisé.

Aujourd'hui, je dois payer autre chose avec mon compte chez Crédit Coopératif, groupe BPCE. Et ça se passe comme ça :

1. On rentre ses informations de carte sur le site marchand.
2. 3D-Secure se met en marche, avec une iframe, et celle de Crédit Coopératif dit qu'il faut rentrer le code reçu par SMS.
3. Après, il y a une deuxième étape, toujours dans le même contexte disant qu'il faut rentrer son mot de passe.
4. Je ne suis pas allé plus loin.

Oui, il faut rentrer son mot de passe de connexion à sa banque dans une fenêtre de site marchand. Parfois, c'est pire, c'est dans une fenêtre de prestataire de paiement, qui inspire une très douteuse confiance :

Mon navigateur a ouvert systempay.fr (c'est qui ?), dans laquelle il y a une iframe qui me fait croire que mon navigateur affiche la barre d'adresse (c'est une fausse, émulée) qui affiche un nom de domaine même pas entier, mais qui fait partie de wlp-acs.com. J'en ai déjà parlé maintes fois, c'est un nom de domaine qui n'a rien à voir avec ma banque, le site sur lequel je paie, le prestataire de paiement qui intègre l'iframe, et qui s'amuse à mettre le logo de ma banque dedans.

J'ai passé un temps de dingue à expliquer à mon entourage non technophile les méandres des arnaques sur Internet, ce qui est louche de ce qui ne l'est pas. Il y a des arnaques vachement bien montées pour lesquelles il faut sortir des requêtes dig et whois avec un peu de curl -v pour les débusquer. Et là, tout ce que je vois, c'est un massacre de cette éducation, avec tout ce qu'il ne faut pas faire. Ou en tout cas, tout ce qu'il faut faire pour brouiller les lignes entre ce qui peut être de confiance et ce qui ne l'est pas.

Je suis scandalisé. Voilà.

Commentaires : voir le flux Atom ouvrir dans le navigateur

par Glandos