Victime d’une fraude bancaire après le piratage de sa ligne téléphonique, une cliente de Cetelem a obtenu gain de cause en justice. Le tribunal de Nantes a condamné l’organisme de crédit au remboursement.
C’est aussi le problème de toute ces sécurités qu’ils rajoutent comme les double authentification style SecurPass. Ils nous forcent à les activer soit disant pour notre sécurité et après ils s’en servent contre nous.
1 « J'aime »
Reste que je connais aucune banques qui a l’avenir pourra prouver les 4 points au vue de tous les piratage ou nom, prénom, numéro de téléphone, IBAN etc… nt fuité ces dernières années…
2 « J'aime »
« La cliente, elle, n’avait transmis à son interlocuteur que son passeport, son RIO et son numéro de téléphone »
C’est déjà beaucoup de choses transmises…
Il y a clairement négligence de la personne au niveau personnel, même si ce n’est pas directement au niveau bancaire.
3 « J'aime »
Ce qui me flingue c’est que Yvonne est capable de filer son passeport, son RIO et son numéro de téléphone au premier SPAM qui passe.
Mais pourtant elle est assez « dégourdi » pour lancer plusieurs procédures judiciaires/pénales dans la foulée.
Et pour finir je ne peux pas m’empêcher de penser au coup financier des procédures au niveau de l’état pour gérer ces 2000€ … il y a donc une partie de mes impôts qui ont servit à payer des services étatiques qui ont fait en sorte que Cetelem rembourse Yvonne …
3 « J'aime »
Et donc ?
On supprime toutes les sécurités ?
Et le client ne pourra plus jamais dire que c’est pas lui qui a donné l’ordre ?
Vous proposez quoi comme solutions ?
Je suis vraiment curieux de vous lire au plus vite.
1 « J'aime »
pour la première partie je suis entièrement d’accord avec vous.
Concernant la seconde, pensez que le jour ou ce sera vous qui serez dans la merde vous serez bien content qu’une partie de mes impôts, à moi, serve aussi à faire en sorte que la justice vous soit rendue.
parce que, moi, contrairement à vous, je trouve parfaitement normal que cet argent que je donne serve à vous aider quand vous en aurez besoin.
2 « J'aime »
Au vue des éléments que rapporte cet article il semble difficile de conclure qu’Yvonne a été négligente au sens juridique du terme.
@StephaneGotcha
Le jugement ne signifie pas nécessairement qu’Yvonne n’a commis aucune imprudence. Il signifie que l’organisme de crédit n’a pas apporté la preuve d’une négligence permettant de lui imputer les paiements.
Le fait que Cetelem, organisme de credit déjà condamné a de multiples reprises par la justice, ne se soit pas fait représenter lors de l’audience sonne comme un aveu.
L’ACPR, organisme de régulation des banques et des assurances et supposé protéger les clients de ces 2 entités devraient s’interroger et s’assurer que ce type de comportement n’est pas systémique.
Sur le fond, je suis aussi d’accord. L’autre alternative, c’est que le coût de la justice soit supporté par le condamné (mais dans ce cas, c’est double ou triple peine), ceci dit, ça devrait aussi éviter pas mal des petites affaires qui engorge les tribunaux. Sur la forme, cependant, on a un cas d’école de l’escroquerie:
- La banque a mis en place un 2FA basé sur un SMS pour le 2eme facteur (et très probablement le numéro du compte pour le 1er facteur). C’est le cas de la BNP / Hellobank / Cetelem, ça fait des années qu’on leur dit mais ils ne changent rien.
- L’escroc demande une pièce d’identité + le RIO => le numéro de téléphone est grillé, le 2FA ne vaut plus rien
- La banque se dédouane en disant, vous avez validé le 2FA, ce qui sous entend que tu as volontairement fourni le code secret que la banque a généré. Mais c’est le principe même du 2FA par SMS qui pose problème, vu que la banque ne peut pas prouver que le SMS a été reçu par la cliente, elle ne peut pas prouver que qu’elle a fourni le code secret. Normalement, la banque doit garder les logs de connection sur la page de validation du 2FA et donc doit pouvoir fournir les adresses IP (qui ne seront évidemment pas celles de la cliente). Un service de géoloc par IP aurait aussi bien pu alerter la banque de la fraude.
- La procédure de refus de Cetelem du remboursement, qui aurait pu limiter la casse côté BNP, devient un grand classique du gain par guerre lasse. Combien de personnes vont laisser tomber pour 200€ ou 300€ de fraude, même 600€ ? Et pour les autres, ça va engorger les tribunaux alors qu’une simple vérification de la geoloc IP et de l’opérateur permet de valider qu’il y a eu fraude?
- La banque sait: IP utilisée lors du 2FA, donc l’opérateur utilisé et le lieu (et peut donc comparer avec les informations précédentes), le retrait du mandat de prélèvement de l’opérateur (lors d’un changement d’opérateur), et l’autorisation du prélèvement du nouvel opérateur, le type d’appareil utilisé pour la validation (certaines banques laissent un cookie à chaque fois que vous vous connectez sur leur site, et en général, va demander plus d’information lors d’une connexion à partir d’un nouvel appareil).
Pour information, sur le « 3D secure » de BNP, le 2FA impose de connaître un 2eme facteur en plus du SMS, et c’est un formulaire qui vous demande votre PIN du compte sur 6 chiffres. Contrairement à leur page de consultation de compte avec le fameux clavier à chiffres aléatoires, ici c’est du bon vieux formulaire HTML. Donc tout site internet qui veut capturer votre PIN d’accès à votre compte n’a qu’à monter une page copier coller de celle de la BNP visuellement et faire un MITM avec le vrai serveur lors d’une transaction. C’est donc une protection de pacotille, de nombreuses fois remontée à la BNP mais qui reste en place visiblement. Au final, le 2FA n’est qu’1FA et du coup, je vois mal la banque justifier des protections qu’elle a mise en place.
Donc, une loi qui imposerait le remboursement d’une opération contestée lorsque la banque ne peut pas garantir l’opération (quitte à laisser la banque faire la démarche, en justice, pour recouvrer l’argent lorsque la contestation est illégitime), résoudrait bien des problèmes, viderait les tribunaux, et forcerait les banques à un peu plus de sécurité.
1 « J'aime »
J’en suis pas sur, la plupart des banques emploient des cabinets d’avocats à l’année alors aller en justice systématiquement ne leur coûte pas plus cher que de ne pas y aller.
C’est pour cette raison que la banque n’a même pas voulu de médiation et qu’elle ne s’est même pas présenté à la convocation du tribunal, si elle avait gagné c’était un gain et si elle avait perdu, les frais d’avocats sont payés à l’année et les pertes dues au remboursement ne représentent rien dans son bilan annuel.
Éventuellement une augmentation de 0,1 € sur les frais de gestion mensuels pour tous si elle en perd trop et personne ne se donne la peine de quitter une banque pour si peu.
2 « J'aime »
Une application " sérieuse " avec qui je travaille depuis des mois, n’arrête pas de me demander un complément d’authentification. Auth déjà fournie. Soi-disant que la photo de ma carte d’identité n’est pas assez nette (4 photos sur fond noir) et mettre dessous mon IBAN Complet avec mon nom. Là je bloque un peu. Désolé, ça traîne depuis un mois et je n’ai aucune confiance… Mail de l’entreprise correct mais avec un prénom qui me fais douter… Voilà où on en est. 
Cette loi existe, et c’est justement sur la base de cette loi que la banque a été condamnée dans ce dossier. Et quand tu vas au commissariat pour déposer plainte pour une opération frauduleuse sur ta CB, on te dit d’ailleurs bien que c’est pas à toi de porter plainte, toi tu dois juste faire une réclamation à la banque, et c’est à elle de porter plainte si elle le souhaite.
Mais une loi ne vide pas les tribunaux : ce qui rempli les tribunaux, c’est justement les cas de non respects de la loi, où celui qui se sent lesé fait intervenir la justice pour obtenir gain de cause.
Nope. La géoloc IP n’est historiquement pas fiable, et ça ne va pas forcément en s’arrangeant avec le temps, car la pénurie d’IPv4 pousse à de la réallocation d’adresses, sans forcément que les données de localisation soient mises à jour.
Alors bien sûr, c’est une information qui peut être utilisée comme un indice parmi d’autres d’une potentielle fraude. Mais clairement, aujourd’hui bloquer une opération sur cette base, ça créerait sans doute beaucoup trop de faux positifs par rapport aux quelques vrais positifs que ça éviterait.
Outre le fait qu’un MITM, c’est quand même pas forcément si facile que ça, je vois pas le rapport entre le style du formulaire de saisi et la possibilité ou non de faire du MITM.
Le MITM n’est pas plus difficile sur un clavier virtuel que sur un formulaire avec un champ texte. Dans les deux cas, le serveur Eve doit servir une page copiant le style de celle d’origine, et c’est pas techniquement plus compliqué dans un cas que dans l’autre.
Le but du clavier virtuel, c’est de servir de protection contre les keyloggers et mouseloggers. Pas de saisie au clavier, donc rien pour le keylogger, et le clavier aléatoire rend impossible de deviner les chiffres d’après les mouvements de souris. En pratique, aujourd’hui c’est une protection qui n’apporte plus grand chose par rapport à la saisie texte : l’écrasante majorité des gens à des connexions suffisamment rapides pour qu’un malware espion puise capturer en image la saisie sur un clavier virtuel aléatoire. Les proofs of concept là dessus datent de plus de quinze ans. J’en ai vu lors d’une présentation faite par un chercheur en sécurité dans la boîte dont j’ai démissionné il y a 14 ans…), avec des solutions ultra-ciblées capables de consommer vraiment très très peu de bande passante : capture focalisée sur une zone de 50x50 pixels autour du curseur de la souris au moment du clic [raison pour laquelle certains clavier virtuels masquent temporairement le chiffre au moment où on clique… mais c’est dérisoire et facilement contourné], et seulement quand le malware a identifié que l’utilisateur est sur le site d’une banque. Aujourd’hui, le clavier virtuel, ça fait partie de ces trucs qui donnent une illusion de sécurité, mais dont le rapport bénéfices/risques est négatif (ça n’apporte quasiment rien à la sécurité d’un côté, tandis que de l’autre, c’est moins pratique pour l’utilisateur, c’est plus lourd, plus facilement sujet à bug, et… ça impose d’utiliser des mots de passe faible, techniquement (en général, 6-8 chiffres, rien de plus) et fonctionnellement (sur ce type de mot de passe, les gens ont particulièrement tendance à utiliser des dates de naissance, de mariage, etc…). Aujourd’hui un mot de passe numérique comme ça, ça ne devrait utiliser que en association avec un produit physique (code PIN de CB/SIM/PKI par exemple).
1 « J'aime »
Filer un RIO, quand on sait à quoi ça sert, ça devrait quand même faire tilter la personne. En plus, pour quelle raison un organisme de crédit aurait-il besoin du RIO d’un client ? Sur le coup, je ne trouve pas Yvonne si innocente que ça dans l’affaire.
Oui, clairement y a un truc qui a cloché de son côté. Surtout que en plus l’opérateur envoie en général au moins un message pour dire qu’une portabilité a été demandée, avec la date à laquelle ça va avoir lieu, donc ça peut laisser un peu de temps pour bloquer l’opération.
Mais il ne faut pas non plus sur-estimer le niveau de connaissance des gens… Je suis sûr qu’énormément de gens ne savent pas ce qu’est un RIO, peut-être même la majorité, et on a aussi vite fait d’ignorer un message parlant d’une portabilité qu’on n’a pas demandé, surtout qu’on a désormais une certaine habitude de la réception de messages qui sont des tentatives d’arnaque, et on pourrait donc être tenté de considérer que c’en est une et ignorer le message.
Et la loi protège les faibles, y compris les faibles d’esprit. Et c’est très bien comme ça.
Mais clairement, il y aurait des choses à faire techniquement pour mitiger ces risques. Il serait par exemple grand temps de mettre en place un vrai système standardisé et largement adopté de signature des messages, pour attester de leur authenticité.
On pourrait aussi complexifier un peu la procédure de portabilité du numéro (c’est pas un truc qu’on fait tous les jours, donc une ou deux étapes de plus ne sont pas la mer à boire), en demandant une confirmation explicite à l’abonné (ton opérateur sortant te donne ton RIO, tu le donnes à ton opérateur entrant, et quand ton opérateur sortant reçoit la demande, il t’envoie un message ou un appel pour te demander confirmation que tu es bien à l’origine de la demande de portage de ton numéro vers l’opérateur entrant).
1 « J'aime »