Banque impose d'installer application mobile pour consultati

Bonjour

La réponse de Toupareil est pertinente. Les directives DSP2 parlent d'appareil et non de smartphone. L'implication de devoir presque obligatoirement utiliser un smartphone ne résulte aucunement de la directive, contrairement à ce que l'on essaie régulièrement de faire croire, mais d'une contrainte pratique imposée : ces applications ne sont disponibles que sur Apple store ou sur google play store, qui ne sont accessibles que sur des plateformes type IOS ou android. Au passage on remercie les entreprises françaises de contribuer à l'enrichissement de grandes entreprises étrangères via l'obligation d'ouverture de comptes Apple ou Google, et des autorisations d'accès aux données personnelles qui leurs sont inhérentes.

Utiliser son PC personnel et non un smartphone n'est donc absolument pas contraire à la directive DSP2, et présente l'avantage pour l'usager d'un écran incomparablement plus grand. Mais ce n'est et de loin pas le seul avantage. D'une part les ordinateurs permettent l'usage de logiciels antivirus et anti malware bien plus performants que les maigres protections des smartphones. Les banques le savent d'ailleurs très bien, puisqu'elle rappellent avec force à leurs clients de surveiller leurs mails et sms, qui sont les vecteurs privilégiés des hackers, et aujourd'ui la très grande majorité des utilisateurs consultent leurs messages sur leur smartphone.

Une parenthèse devrait à ce titre interroger : une fois connecté avec son application sur son compte client, il est très souvent voire à chaque fois demandé à nouveau des codes, des validations par grille, ou par sms, ou par téléphone pour des opérations dites sensibles. Tiens ? Si la connexion par application présente une sécurité si parfaite, pourquoi alors multiplier encore les codes une fois l'authentification dite forte franchie ?... Très étrange n'est-il pas ?

D'autre part il y a aussi bien d'autres avantages à l'ordinateur. Il est en effet peu fréquent de se balader avec son ordinateur, même portable, à la main en dehors de chez soi, et donc incomparablement moins fréquent de se le faire voler ! Et quand votre smartphone est volé, ou perdu, ou cassé, ou en anomalie, avec votre application bancaire dessus, qui est le seul moyen de vous connecter à vos comptes, sauf à réussir à faire valider un autre smartphone (si vous en avez un) et de nouveau l'authentification dite forte avec, dans un délai officiel de 72 heures... c'est bien embêtant... pour le moins.

Les banques qui ont rendu l'application obligatoire ne se soucient pas de cela. Elles ont mis en place pour un moindre coût un fonctionnement qui les dédouane et ne présente des inconvénients et des risques que pour les clients. What else ?...

Bonjour,

Peut-elle légalement me contraindre une authentification via une application mobile plutôt que par l'envoi d'un SMS à usage unique ?

Elle en a l'obligation pour être en conformité avec la loi. 

La banque CIC n'est-elle pas tenue de m'octroyer une alternative gratuite ?

La plupart des banques se sont engagées à fournir à leurs clients une option de connexion sans surcoût. En général elles optent pour l'authentification par le biais d'une application. 

Si le client refuse cette option, la banque est libre de lui proposer une autre option payante.

Sauf pour les clients en surendettement la loi ne prévoit pas d'obligation pour la banque de permettre au client d'accéder gratuitement à ses comptes à distance.

Si vous n'êtes pas en surendettement, cette question est donc réglée par la convention de compte signée avec votre banque.

Merci d'avoir lancé le sujet, et dommage pour les réponses approximatives.

Cette contrainte est-elle légitime ?

Partiellement. L'article 97 de la directive UE 2015/2366 du Parlement Européen et du Conseil ("DSP 2") prévoit qu'il faut une authentification forte lorsque le payeur accède à son compte de paiement en ligne, initie une opération de paiement électronique ou exécute une action susceptible de comporter un risque de fraude.

L'authentification forte repose sur 2 éléments ou plus parmi : Ce que le client connait (ex : un mot de passe, un identifiant, un code), ce que le client détient (ex : un téléphone, une tablette, un boitier) et ce que le client est (ex : reconnaissance vocale, faciale, biométrique).

Théoriquement, l'accès aux comptes peut se faire via un SMS d'authentification. Par contre, pour payer à distance (ex : virement), il faut un "lien dynamique" entre l'opération, le montant et le bénéficiaire au niveau de l'authentification. En clair, il faut savoir pour quelle opération tu t'authentifies (et comme le SMS transite par d'autres intermédiaires, ils n'enverront pas de données bancaires sur ce canal).

Ce droit peut-il m'être retiré ?

Non, mais comme vu plus haut, la banque a des contraintes réglementaires liés à la DSP 2 et elle est également tenue par le secret bancaire. Je pense qu'elle pourrait faire le choix de vous laisser vous connecter via SMS, mais vous ne pourriez plus passer d'opération. Par simplicité, je suppose qu'elle a décidé de se passer du SMS (un prestataire de moins à gérer).

La banque CIC n'est-elle pas tenue de m'octroyer une alternative gratuite ?

Non, l'alternative "gratuite" est l'application bancaire. En cas d'impossibilité volontaire (ex : refus) ou involontaire (ex : smartphone non compatible), il n'existe pas d'obligation pour la banque de mettre à disposition gratuitement le boitier.

Peut-elle légalement me contraindre une authentification via une application mobile plutôt que par l'envoi d'un SMS à usage unique ?

Non, votre téléphone vous appartient, vous n'avez aucune obligation de télécharger l'application mobile dessus. En revanche, la banque n'a pas non plus d'obligation de maintenir le service SMS, surtout s'il ne respecte pas la réglementation. Elle peut proposer des alternatives payantes (boitier, opérations réalisées par l'agence).

Bonjour

je gère mes comptes bancaires sur mon ordinateur. Depuis plus d'an, après connexion, je dois obligatoirement la confirmer par le téléphone portable pour avoir l'accès et gérer

Bonjour,

Il m'arrive d'utiliser des réseaux Wifi publics, je ne verrouille pas l'écran de mon téléphone et dans tous les cas, je désire continuer à consulter, effectuer mes opérations bancaires seulement sur mon PC !

Vous souhaitez donc que des inconnus vous volent votre argent. C'est votre droit si vous en avez trop. Mais dans ce cas, je vous conseille des méthodes plus simple, comme laisser votre portefeuille en évidence avec des dizaines de billets de 50 euros qui dépassent sur la table du resto quand vous allez au toilettes. Au moins la banque ne vous embêtera pas.

Si vous argumentiez en disant que vous ne vous connectez que depuis un pc fixe, physiquement enfermé dans un meuble dans votre logement, avec un mot de passe sécurisé, et des connexions par VPN/tor/pods kubs dediés, l'argument pourrait être retenu (et malgré tout, ça n'interdira pas le phising social, mais bon, en général, quand on sécurise le physique, on sait faire attention au social).

La banque ne fait pas ça pour vous embêter, ou même pour gagner de l'argent (même en vous facturant le boitier spécifique, ils perdent de l'argent globalement). Ils font ça pour vous protéger...
et surtout en voie de conséquence, se protéger eux mêmes parce qu'évidement vous allez aller pleurer que 'la banque n'a pas fait son travail' quand vous aurez entré le mot de passe de votre application bancaire sur un réseau publique non protégé.

Tiens ? Si la connexion par application présente une sécurité si parfaite, pourquoi alors multiplier encore les codes une fois l'authentification dite forte franchie ?... Très étrange n'est-il pas ?

Oui, très étrange... Application basique de règles de sécurité informatique, très bizarre...

Ensuite si l'appli bancaire est installée sur le téléphone, je suppose que muni d'un logiciel adéquat, les identifiants sont craqués en quelques secondes 

Dans un film oui.  Les applications bancaires sont tellement sécurisées que leur piratage par force brute nécessite une puissance calcul monstrueuse et des compétences rares. Dans la vraie vie, les gens qui ont les moyens de pirater "en quelques minutes" une application bancaire avec un logiciel, ils ne les gâchent pas sur le téléphone d'un quidam lambda dans l'espoir de récupérer un peu de petite monnaie.  Ils s'attaquent à de grosses entreprises ou à des institutions gouvernementales.  Et d'ailleurs en général ils bossent pour des gouvernements ou de grosses entreprises.

Les gens qui s'attaquent aux accès bancaires des particuliers font du phishing. Ils demandent directement à l'interface chaise-clavier de leur fournir ses identifiants.