Pour sécuriser ses transactions bancaires en ligne, deux niveaux de protection coexistent : ce que la banque met en place (authentification, contrôle du bénéficiaire) et ce qui reste à la charge de l’utilisateur (gestes, appareils, vigilance face aux arnaques). Les fraudes actuelles visent de plus en plus la seconde partie : l’utilisateur est amené à fournir lui-même un code ou à valider une opération. Cet article distingue les protections techniques, les gestes utiles et la marche à suivre en cas de problème.
Quelles protections la banque applique-t-elle déjà ?
La directive européenne sur les services de paiement (DSP2) impose l’authentification forte : la confirmation d’au moins deux facteurs appartenant à des catégories différentes, parmi la possession (téléphone, clé), la connaissance (mot de passe, code) et l’inhérence (empreinte, visage). Elle s’applique à l’accès au compte en ligne et au déclenchement de paiements, avec des exceptions prévues par la réglementation (Banque de France). Pour un paiement par carte sur Internet, elle prend la forme du dispositif 3D Secure : saisie des données de carte, puis validation par application bancaire (biométrie ou code) ou par code reçu par SMS (La Finance pour tous).
Depuis le 9 octobre 2025, les banques doivent aussi vérifier, avant un virement SEPA en ligne, que le nom du bénéficiaire correspond à l’IBAN saisi. Le résultat peut être une correspondance, une correspondance partielle, une absence de correspondance ou une vérification impossible ; le client peut poursuivre malgré tout, ce qui suppose de confirmer l’IBAN directement auprès du destinataire (La Finance pour tous). Le détail des délais et plafonds figure dans le guide des virements en banque en ligne, et le fonctionnement des facteurs dans l’article sur l’authentification forte.
Quels gestes réduisent le plus les risques ?
| Risque | Geste recommandé par les sources officielles |
|---|---|
| Hameçonnage (faux e-mail, faux SMS) | Ne pas cliquer sur un lien non sollicité ; vérifier l’adresse caractère par caractère ; contacter l’organisme par un canal connu |
| Faux conseiller bancaire | Ne jamais donner mot de passe, code reçu ou validation ; raccrocher et rappeler la banque au numéro habituel |
| Mot de passe volé ou deviné | Mot de passe long et propre à chaque service, gestionnaire de mots de passe, second facteur activé |
| Appareil vulnérable | Système, navigateur et applications à jour, analyse antivirus en cas de doute |
| Réseau non maîtrisé | Éviter les Wi-Fi publics pour les opérations bancaires |
| Données de carte conservées | Supprimer la carte enregistrée sur les sites peu utilisés |
Mot de passe : la longueur compte plus que la complexité
La CNIL, pour les organismes qui conçoivent un service, cite comme exemples équivalents d’un niveau de robustesse élevé : au moins 12 caractères de quatre types, ou 14 caractères de trois types, ou une phrase de passe d’au moins 7 mots. Elle ne recommande plus le changement périodique obligatoire pour les comptes ordinaires. L’ANSSI recommande de privilégier l’authentification multifacteur et l’usage d’un coffre-fort de mots de passe, plutôt que de retenir de nombreux secrets différents.
Le cadenas du navigateur garantit-il un site fiable ?
Non : le cadenas signale que la connexion est chiffrée, pas que le site est celui de la banque. Un faux site peut afficher une adresse très proche de l’original, avec un caractère modifié, ce que Cybermalveillance.gouv.fr cite comme signe à vérifier. Les repères utiles : saisir soi-même l’adresse de la banque ou passer par son application officielle, contrôler l’adresse exacte avant de saisir un identifiant, se méfier d’un message qui crée l’urgence. Pour évaluer un établissement lui-même, voir ce qu’est une banque en ligne et la vérification de son agrément.
Comment sécuriser un paiement par carte sur Internet ?
- Carte virtuelle ou e-Carte Bleue : Cybermalveillance.gouv.fr cite les moyens de paiement sécurisés (e-Carte Bleue, Paylib) parmi les mesures de prévention ; voir le guide de la carte virtuelle.
- Numéro de téléphone à jour : la validation 3D Secure par SMS suppose que la banque dispose du bon numéro ; trois codes erronés successifs bloquent le dispositif, selon La Finance pour tous.
- Paiement mobile : le paiement sans contact par mobile n’est pas soumis au plafond de 50 euros applicable à la carte, selon économie.gouv.fr ; seuls les plafonds de la carte ou du compte jouent.
- Relevés : garder ses justificatifs et contrôler régulièrement le compte.
Que faire en cas de doute ou de fraude ?
- Bloquer la carte depuis l’application ou faire opposition par la banque ou au 0 892 705 705 (service interbancaire, 24 h/24) ; conserver le numéro d’enregistrement de l’opposition.
- Contester l’opération auprès de la banque : le délai maximal est de 13 mois après le débit. La banque doit rembourser immédiatement une opération non autorisée, sauf négligence grave ou agissement frauduleux qu’il lui revient de démontrer ; une franchise de 50 euros peut s’appliquer avant l’opposition dans certains cas (DGCCRF, CEDEF).
- Déposer plainte, puis signaler sur Perceval (fraude à la carte en ligne) ou Thésée (autres escroqueries).
- Changer les mots de passe concernés et vérifier les autres comptes ; signaler un SMS frauduleux au 33700, un e-mail sur Signal Spam, un site sur Phishing Initiative.
- Pour être conseillé : Info Escroqueries, 0 805 805 817 (gratuit, du lundi au vendredi).
Les mécanismes de détection côté banque sont présentés dans l’article sur la protection contre la fraude.
À lire aussi
Questions fréquentes
L’authentification forte suffit-elle à empêcher la fraude ?
Non. Elle bloque l’usage de données volées sans second facteur, mais elle est contournée quand la victime fournit elle-même un code ou valide l’opération sous la pression d’un faux conseiller. D’où la règle officielle de ne jamais communiquer ces éléments.
Un VPN est-il nécessaire pour utiliser sa banque en ligne ?
Les sources officielles consultées recommandent surtout d’éviter les réseaux Wi-Fi publics pour les opérations bancaires et de maintenir les appareils à jour. Elles ne présentent pas le VPN comme une obligation.
Un mot de passe doit-il être changé régulièrement ?
La CNIL ne recommande plus le changement périodique obligatoire pour les comptes ordinaires. Un changement s’impose en revanche après un doute sur la compromission d’un compte ou une fuite de données.
Quel est le numéro d’opposition en cas de vol de carte ?
Le serveur interbancaire d’opposition est joignable au 0 892 705 705, à toute heure. La banque, son application ou son numéro d’opposition permettent aussi de bloquer la carte.
Comment savoir si un message vient vraiment de la banque ?
Un message qui demande un code, un mot de passe ou crée une urgence est suspect. La démarche officielle consiste à ne pas utiliser les liens reçus et à contacter la banque par son application ou son numéro habituel.
Sources
- Banque de France — DSP2, authentification forte, fraude aux moyens de paiement, opposition
- Économie.gouv.fr (DGCCRF, CEDEF) — remboursement des opérations non autorisées, spoofing, paiement sans contact
- Cybermalveillance.gouv.fr — fiches réflexes fraude à la carte et hameçonnage
- La Finance pour tous — 3D Secure, vérification du bénéficiaire des virements
- CNIL et ANSSI — recommandations sur les mots de passe et l’authentification multifacteur
- Cybermalveillance.gouv.fr : que faire en cas de phishing ou d’hameçonnage ? — fiche réflexe sur l’hameçonnage
Article informatif ne constituant pas un conseil financier, juridique ou fiscal personnalisé. Les offres, frais et conditions évoluent : vérifiez les informations officielles et à jour de chaque établissement avant toute décision.