Les systèmes d'authentification des banques en ligne sont inadaptés

Le guide, intitulé " AuthentificationAuthentification in an InternetInternet Banking Environment ", remplace le guide du même nom publié en 2001. Il a été mis à jour en raison de l'importance actuelle du phishingphishing, de l'usurpation d'identité et de la fraude sur internet.

Le FFIEC souligne que la méthode d'authentification se limitant à un mot de passemot de passe associé à un identifiant est inadaptée pour les transactions, à haut risque, qui donnent accès aux informations des clients ou permettent des transferts d'argentargent vers d'autres banques.

C'est pourtant la méthode utilisée actuellement par la plupart des systèmes de banque en ligne. Le rapport recommande une approche d'authentification à plusieurs facteurs. Il passe en revue plusieurs technologies : les certificatscertificats numériques, les cartes à pucecartes à puce, les identifiants de transaction, la biométriebiométrie, etc.

Cependant, il ne recommande aucune technologie en particulier, précisant simplement que les mesures à mettre en place doivent être proportionnées aux services proposés et aux risques à prendre en compte.

Le rapport souligne par ailleurs que la plupart des institutions financières ne permettent actuellement pas aux utilisateurs d'authentifier leurs sites, facilitant le phishing. Il suggère aussi, citant le Patriot Act, des procédés de vérifications lors de l'ouverture de compte (par exemple la présence du client...).