Sécuriser l’Open Banking pour l’Afrique

Alors que l’adoption de la Fintech et l’innovation dans les services financiers numériques ne cessent de progresser à l’échelle mondiale, on constate également la croissance de l’Open Banking sur les marchés du monde entier.

Les initiatives et projets autour de l’Open Banking sont mis en œuvre pour permettre aux consommateurs de mieux contrôler leurs informations financières et de savoir comment et par qui elles sont utilisées. En prenant le contrôle de leurs propres données financières, les consommateurs seront équipés pour mieux gérer leurs finances. Ils pourront décider avec qui ils souhaitent partager leurs informations, afin de trouver plus facilement et à moindre coût des produits et services de qualité supérieure.

L’Open Banking gagne du terrain sur des marchés tels que le Nigeria et le Brésil, en Europe avec la directive sur les services de paiement 2 (PSD2), et aux États-Unis, avec le Consumer Financial Protection Bureau (CFPB) qui approuve les principes de partage et d’agrégation des données financières.

Sur ces marchés, l’Open Banking est soutenu par les autorités centrales (telles que les banques centrales) et régi par des réglementations et cadres juridiques. La sécurité de la vérification et du consentement du client est un élément fondamental de tout cadre légal ou de toute réglementation de l’Open Banking et primordial pour son bon fonctionnement.

Les consommateurs devront être en mesure d’autoriser l’accès à leurs comptes par le biais d’un consentement formel, et cela doit s’appliquera à toute activité à distance, exposée à un risque de fraude. Les obligations en matière d’autorisation et d’authentification décrites dans les réglementations relatives â l’Open Banking s’accordent sur certaines normes, telles qu’énoncées dans les exigences relatives à l’authentification «forte» du client (Strong Customer Authentication, SCA) pour la DSP2 :

• Les paiements devront être authentifiés à l’aide d’au moins 2 des 3 éléments suivants :
  – Une authentification à 2 facteurs (2FA) : Quelque chose que le client connaît (par exemple, un mot de passe, un code PIN, une question de sécurité),
  – Quelque chose que le client possède (par exemple, un téléphone, une montre intelligente, un jeton matériel),
  – Quelque chose que le client est (par exemple, des données biométriques – identification du visage, empreinte digitale)
• L’authentification basée sur les deux facteurs doit se faire par des canaux indépendants et garantir la confidentialité des données d’authentification.
• Un code d’authentification doit être généré et doit être dynamiquement lié au montant de la transaction et au bénéficiaire, c’est-à-dire qu’il fournit des détails sur la transaction qui sont liés de manière unique à la transaction spécifique.

Pour favoriser l’essor de l’Open Banking en Afrique et s’assurer que toute transaction de service financier soit authentifiée de manière sécurisée sur les marchés où l’accès à une connexion internet fiable ne peut être garanti, le déploiement d’une technologie disponible partout pour l’authentification est fondamental.

Mot de passe à usage unique par SMS

En matière de technologie pour l’authentification des services financiers numériques, le mot de passe à usage unique (OTP) par SMS est populaire et répandu dans le monde entier. Cependant, l’OTP par SMS a longtemps été considéré comme un canal vulnérable pour l’authentification des transactions de services financiers, car il ne répond pas à des normes de sécurité strictes.

En 2016, l’Institut national des normes et de la technologie (National Institute of Standards and Technology, NIST) des États-Unis a constaté que les SMS présentaient un risque et que le protocole OTP par SMS n’était pas adapté à la sécurisation des services financiers et ce, car il peut être vulnérable aux attaques de type « man-in-the-middle », telles que le SIM swap.

Il pose un défi aux fournisseurs qui utilisent ce service, car il n’y peut y avoir de piste d’audit, ce qui ouvre la porte à la fraude à grande échelle et ce, par le biais d’un point de défaillance unique. Ce qui est préoccupant, c’est qu’une étude récente menée auprès des principaux DSI (Directeur des Systèmes Informatiques) des services financiers au Kenya a révélé que 87 % des fournisseurs de services financiers déploient le protocole OTP par SMS pour protéger les transactions, ce qui fait écho à la tendance à l’utilisation du protocole OTP par SMS dans le monde entier.

Données de service supplémentaires non structurées pour l’authentification

Disponible partout; l’USSD et données de l’USSD peuvent être utilisées comme une technologie pour fournir des services financiers numériques sécurisés. L’USSD peut être utilisé comme un canal d’authentification hors bande (OBA) distinct du canal sur lequel la transaction a lieu. Ainsi, si le navigateur web qu’un client utilise pour ses opérations bancaires en ligne est compromis (par exemple), un fraudeur n’aura pas accès au canal USSD pour authentifier la transaction. Associé aux services de détection de SIM swap, ce service permet de protéger efficacement les transactions numériques. L’USSD pour l’authentification permet de fournir une technologie accessible à tous, mais intrinsèquement plus sûre que l’OTP par SMS.

Détails du paiement pour se protéger contre l’ingénierie sociale

L’un des principaux avantages de l’inclusion de la liaison dynamique, dans le cadre de tout service d’authentification résilient, est de contribuer à la protection contre l’ingénierie sociale. Si un client reçoit les détails du montant de la transaction, ainsi que les détails du bénéficiaire pour l’authentification, les utilisateurs seront beaucoup plus susceptibles de remarquer qu’un fraudeur est le destinataire réel d’un paiement, et non la banque ou le fournisseur de services que le fraudeur prétend être. De cette façon, même si quelqu’un appelle en prétendant être de la banque, ou si un utilisateur a cliqué sur le lien d’un SMS pour effectuer un paiement, lorsqu’il authentifiera la transaction, il recevra une référence claire au bénéficiaire, ce qui attestera que ce n’est pas la banque qu’il paiera.

Le service sécurisé d’authentification des clients de Myriad Connect

Le service d’authentification de Myriad Connect, leader sur marché de l’USSD, utilise cette technologie pour déployer un canal d’authentification entièrement hors bande – avec toutes les interactions transmises sur le réseau mobile-, distinct du navigateur ou du canal en ligne utilisé par le client pour initier la transaction.

Le service, basé sur sessions USSD, de Myriad Connect envoie une notification push avancée pour ouvrir une conversation entre l’entreprise et son client, qui peut inclure les détails du montant et sur l’identité du bénéficiaire, spécifiques à la transaction. En outre, le service de SIM swap de Myriad Connect fournit une vérification en temps réel de la carte SIM, aucune donnée persistante n’est conservée par un tiers ce permet la mise en place d’un service plus sûr que les services actuels d’authentification à deux facteurs. Il en résulte une technologie qui renforce considérablement la sécurité des transactions, vulnérables à la fraude par SIM swap et à d’autres fraudes liées aux transactions numériques.