Pour vérifier la sécurité d’une appli bancaire, deux moments comptent : avant le téléchargement, pour éviter une fausse application, et après, pour contrôler que le compte n’est pas détourné. Cet article propose une méthode en quelques contrôles, appuyée sur les recommandations de Cybermalveillance.gouv.fr, de l’ANSSI et de l’administration.
Comment reconnaître la vraie application de sa banque ?
- Partez du site de la banque. Accédez-y par un favori ou en saisissant l’adresse vous-même, un canal sécurisé et connu, comme le recommande la DGCCRF, plutôt que par un lien reçu par message.
- Utilisez un magasin officiel. Cybermalveillance.gouv.fr conseille de n’installer des applications que depuis les sites ou magasins officiels, tels que l’App Store ou Google Play.
- Comparez le nom de l’éditeur affiché dans la fiche avec celui de votre banque ou de son groupe.
- Consultez le nombre de téléchargements et les avis, comme y invite Cybermalveillance.gouv.fr. Ces indicateurs aident à repérer une application récente et peu installée, mais une fiche convaincante peut être fausse : ils ne suffisent pas seuls.
Quelles autorisations une application bancaire peut-elle demander ?
Cybermalveillance.gouv.fr recommande de vérifier les autorisations demandées à l’installation et après chaque mise à jour, et de se méfier des demandes surprenantes, comme l’accès à la localisation, aux contacts ou à l’appareil photo. Certaines demandes peuvent se justifier par une fonction que vous utilisez (photographier un document, par exemple) : le critère est le lien entre l’autorisation et un service précis.
| Contrôle | Ce que l’on observe | Signal d’alerte |
|---|---|---|
| Provenance | Magasin officiel, lien depuis le site de la banque | Lien reçu par SMS ou e-mail, fichier à installer hors magasin |
| Éditeur | Nom cohérent avec la banque ou son groupe | Nom approximatif, fautes, éditeur inconnu |
| Autorisations | Accès liés à des fonctions utilisées | Contacts, localisation ou appareil photo sans usage évident |
| Mises à jour | Système et application à jour | Appareil qui n’est plus mis à jour |
| Connexion | Redirection vers l’application de la banque pour valider | Demande de saisir vos identifiants ailleurs |
Quels réglages sécuriser après l’installation ?
Cybermalveillance.gouv.fr conseille un code de verrouillage robuste avec verrouillage automatique, le chiffrement des données de l’appareil, l’installation rapide des mises à jour du système et des applications, ainsi qu’une solution antivirus adaptée aux mobiles. L’ANSSI publie par ailleurs dix règles d’or de sécurité numérique, dont l’application des mises à jour dès qu’elles sont proposées et la double authentification lorsque c’est possible.
Pour l’accès au compte, la réglementation européenne sur les paiements impose une authentification forte : la confirmation d’au moins deux facteurs de catégories différentes parmi la possession (un téléphone), la connaissance (un mot de passe) et l’inhérence (une empreinte), selon la Banque de France. Ne stockez pas vos codes bancaires en clair sur le téléphone et évitez les réseaux Wi-Fi publics inconnus pour consulter vos comptes. Notre article sur les réflexes de sécurité mobile prolonge ces conseils.
Comment vérifier que son compte n’a pas été compromis ?
Consultez régulièrement l’historique des opérations depuis l’application (pour la carte, voir aussi comment activer et sécuriser votre carte bancaire en ligne), et activez les notifications d’opération si votre banque les propose. Une opération inconnue, une demande de validation que vous n’avez pas initiée ou un changement de réglage non sollicité sont des signaux à traiter immédiatement.
Le ministère de l’Économie rappelle, sur le site de la DGCCRF, plusieurs règles : votre banque ne vous demandera jamais de valider une opération à distance pour des tests ou en réponse à une fraude suspectée, et vos outils d’authentification sont aussi sensibles que votre code bancaire. En cas de fraude, contactez immédiatement la banque pour faire opposition ou renouveler vos données d’authentification, contestez les opérations selon sa procédure, et signalez les faits via la plateforme Perceval. Le remboursement n’est pas automatique, car la validation d’une opération par le client peut être appréciée par la banque comme une négligence grave.
Un faux message de banque reste la porte d’entrée la plus courante : selon Cybermalveillance.gouv.fr, une banque ne devrait jamais envoyer de message contenant un lien direct vers la page de connexion de votre compte. Pour apprécier la solidité d’un établissement avant d’y ouvrir un compte, consultez notre guide sur la vérification d’une banque en ligne.
Que faire si un doute persiste ?
Ne saisissez rien dans l’application douteuse, désinstallez-la, puis contactez votre banque par un canal que vous connaissez déjà (site officiel, numéro figurant sur votre carte ou votre relevé). Si vous avez saisi vos identifiants, prévenez la banque immédiatement. Pour comparer ensuite les offres, voyez les critères de comparaison des applications bancaires mobiles. Pour le vocabulaire financier en anglais, le site Investopedia est un glossaire généraliste, sans valeur réglementaire en France : pour une démarche officielle, appuyez-vous sur les sites français cités ici.
À lire aussi
Questions fréquentes
Une application bancaire peut-elle être fausse ?
Oui, une application peut imiter celle d’une banque. Pour limiter le risque, installez-la depuis un magasin officiel en partant du site de votre banque, vérifiez le nom de l’éditeur et ne suivez jamais un lien reçu par message pour la télécharger.
Les avis et le nombre de téléchargements suffisent-ils pour juger une application ?
Ils sont utiles, Cybermalveillance.gouv.fr invite à les consulter, mais ils ne prouvent rien seuls. Croisez-les avec l’éditeur, la provenance et les autorisations demandées.
Ma banque peut-elle m’appeler pour me faire valider une opération ?
Selon la DGCCRF, votre banque ne vous demandera jamais de valider une opération à distance pour des tests ou en réponse à une fraude suspectée. Raccrochez et recontactez-la par un canal que vous connaissez.
Que faire si j’ai validé une opération frauduleuse ?
Contactez immédiatement votre banque pour faire opposition, contestez l’opération selon sa procédure et signalez les faits sur Perceval. Un remboursement est étudié mais n’est pas automatique ; conservez les SMS et captures d’écran.
Faut-il un antivirus sur son smartphone ?
Cybermalveillance.gouv.fr recommande une solution antivirus adaptée aux appareils mobiles, en complément des mises à jour et des téléchargements depuis les magasins officiels. Aucun outil ne remplace la vigilance face aux faux messages.
Sources
- Cybermalveillance.gouv.fr — protection des appareils mobiles, 10 mesures essentielles, hameçonnage bancaire
- ANSSI (cyber.gouv.fr) — dix règles d’or de sécurité numérique
- Economie.gouv.fr (DGCCRF) — prévention et conduite à tenir en cas de fraude aux paiements en ligne
- Banque de France — définition de l’authentification forte (FAQ sur la DSP2)
- Cybermalveillance.gouv.fr : que faire en cas de phishing ou d’hameçonnage ? — fiche réflexe sur l’hameçonnage
Article informatif ne constituant pas un conseil financier, juridique ou fiscal personnalisé. Les offres, frais et conditions évoluent : vérifiez les informations officielles et à jour de chaque établissement avant toute décision.