Les banques qui défendent leur droit à la sécurité ne comprennent pas la confiance des consommateurs

Lorsque les entreprises annulent la décision d'un client en matière de sécurité, cela les rend-elles entièrement responsables en cas de violation ? C'est une question que les banques comme celles de Singapour doivent se poser avant de déployer leur prochain dispositif de sécurité.

Alors que les chiffres du marché indiquent que les attaques de cybersécurité augmentent en volume et en sophistication, il n'est pas surprenant que les entreprises cherchent des moyens de mieux protéger leurs actifs. Les banques, en particulier, veulent des douves plus importantes car elles ont plus à perdre.

Cependant, des défenses renforcées signifient inévitablement que les utilisateurs légitimes devront creuser plus profondément pour accéder aux services. Le résultat est un débat éternel sur la recherche du juste équilibre entre sécurité et convivialité.

Et il semble qu’une banque de Singapour pourrait avoir besoin de remédier à ce problème après avoir introduit une fonction de sécurité qui a frustré plusieurs de ses clients.

OCBC a déployé la semaine dernière une fonctionnalité qui verrouille l'accès à ses services bancaires numériques si des applications mobiles qui n'ont pas été téléchargées depuis des magasins d'applications non officiels, tels que Google Play Store et Huawei AppGallery, sont détectées sur l'appareil de l'utilisateur.

Citant la nécessité de protéger les clients contre les logiciels malveillants, la banque a déclaré que cette « amélioration » permet à son application d'identifier les applications erronées sur l'appareil du client. La fonction de sécurité vérifie également les paramètres d'autorisation des applications par rapport à ce que la banque considère comme présentant des risques potentiels ou qui sont couramment utilisés par les applications contenant des logiciels malveillants.

Lorsque des applications qui ne répondent pas aux deux critères sont détectées, les clients ne pourront pas se connecter à leur compte via l'application mobile d'OCBC ou le site de banque en ligne jusqu'à ce qu'ils désinstallent ou suppriment les applications « malveillantes ».

Ce haut niveau de sécurité paraissait formidable, jusqu'à ce que des plaintes commencent à surgir. Les clients se sont retrouvés exclus, même si les applications signalées par la nouvelle fonctionnalité de sécurité de la banque avaient en réalité été téléchargées depuis les magasins d'applications officiels. Ces applications comprenaient Microsoft Authenticator, LG ThinQ, CCleaner et Trend Micro. Même les applications qui ont été effacées par les applications mobiles antivirus des clients ont été marquées comme risquées par la fonction de sécurité OCBC.

Les clients concernés ont déclaré que la solution recommandée par la banque consistant à supprimer et à réinstaller les applications spécifiques des magasins d'applications officiels n'a pas fonctionné.

Dans la plupart des cas, la réponse d'OCBC a été standard : la nouvelle fonctionnalité de sécurité fait partie des efforts visant à lutter contre la fraude et à « protéger nos clients » contre les applications suspectées d'être malveillantes. "Nous nous excusons pour tout inconvénient causé", a-t-il déclaré à plusieurs reprises pour irriter les clients sur sa page Facebook. "Nous sollicitons votre patience car cette fonctionnalité vise à protéger les clients contre les escroqueries liées aux logiciels malveillants."

Cette situation semble être un cas où la sécurité a pris le pas sur la convivialité. Après avoir lu les anecdotes de clients lésés d'OCBC, j'ai été soulagé d'avoir choisi de faire affaire avec une autre entreprise. Mais ensuite, l'Autorité monétaire de Singapour (MAS), régulateur du secteur, est intervenue pour exprimer son soutien au dispositif de sécurité de la banque.

"Les mesures de sécurité entraîneront certains inconvénients supplémentaires pour les clients, mais elles sont nécessaires pour maintenir la sécurité et la confiance dans les services bancaires numériques", a déclaré le MAS. « Associées à un public vigilant et perspicace, des mesures de sécurité robustes nous aideront à renforcer notre défense contre les escroqueries. »

Compte tenu du rôle encourageant du régulateur, je m'attends désormais à ce que les deux autres grandes banques locales, dont la mienne, emboîtent le pas dans un avenir très proche et déploient un « renforcement » de sécurité similaire.

Peut-être qu'OCBC fait pénitence pour avoir occupé le devant de la scène dans les escroqueries par phishing de l'année dernière, ou peut-être qu'elle a perdu une partie de pierre, papier, ciseaux et a été choisie pour être la première banque à déployer la fonction de sécurité - et a donc dû supporter le plus gros de la colère des clients ?

Quoi qu'il en soit, le lancement confus d'OCBC laisse beaucoup à désirer et soulève des questions que l'ensemble du secteur, y compris son régulateur, devra aborder collectivement.

Confiance des consommateurs et responsabilité partagée

Tout d’abord, mettons une chose au clair. Ce n'est pas simplement une question de confidentialité, mais de confiance des utilisateurs. Lorsque les choses ne fonctionnent pas comme elles sont censées fonctionner, la confiance s’érode.

Utilisez uniquement les applications des magasins d'applications officiels et tout va bien, ont assuré les clients d'OCBC. Mais cette approche s’est avérée problématique.

"Oh, alors les paramètres d'autorisation de votre application sont le problème", a-t-on dit aux clients. Cependant, la banque est restée timide quant aux détails de ces paramètres d'autorisation, probablement pour que les méchants ne sachent pas comment contourner ces indicateurs.

Plus généralement, le manque d'informations et de transparence amène les utilisateurs à se demander ce qui ne va pas exactement avec les applications - des applications qu'ils ont téléchargées à partir de magasins officiels et qui ont été créées par des entreprises légitimes. Cela signifie-t-il que Microsoft, LG et Trend Micro publient des applications qui contiennent des risques de sécurité, comme le considère l'OCBC ?

Et si ce n’est pas le cas, cela signifie-t-il que les applications sont identifiées par erreur par le « renforcement » de sécurité d’une grande banque ? Une amélioration de la sécurité qui aurait dû être rigoureusement vérifiée, testée et vérifiée à nouveau avant d'être rendue publique ?

Dans quelle mesure les consommateurs devraient-ils donc accorder leur confiance à un dispositif de sécurité incapable de distinguer correctement les applications légitimes de celles qui comportent des risques réels ?

Aussi : Ces experts se battent pour protéger l'IA des pirates informatiques

Pour couronner le tout, les utilisateurs se font informer que leurs décisions sur la manière dont ils souhaitent utiliser leurs appareils ne sont pas valides. En d’autres termes, cette amélioration de la sécurité implique « supprimez vos applications coquines, sinon vous ne pourrez pas utiliser les nôtres ».

Ainsi, lorsque les entreprises annulent la décision d'un client sur la façon dont elles souhaitent que leurs appareils soient sécurisés, cela les rend-elles entièrement responsables en cas de violation ? Je pense que cela devrait potentiellement être le cas, car le client n'a pas grand-chose à dire sur les applications, y compris les outils antivirus, qu'il peut avoir sur son téléphone s'il souhaite continuer à accéder à son compte bancaire.

J'ai récemment eu une conversation similaire avec des gens de l'industrie, au cours de laquelle j'ai mentionné une colère personnelle concernant les autorisations des applications et l'incapacité ou la réticence des organisations à expliquer pourquoi elles ont besoin d'accéder à des fonctionnalités qui ne sont pas nécessaires pour faciliter leurs services.

On m’a alors suggéré que le manque de transparence pourrait être atténué par l’assurance que ces entreprises, dans leur propre intérêt, ne voudraient pas développer une application qui mettrait leurs clients en danger, nuisant ainsi à la réputation de leur propre marque.

Je dirais que cette position ne devrait pas dispenser les clients d’assumer la responsabilité de leur propre posture de sécurité.

En fait, le gouvernement de Singapour, peut-être pour le plus grand plaisir des entreprises, a souligné à plusieurs reprises la nécessité pour les consommateurs d'assumer une responsabilité partagée dans la sauvegarde de leur cyber-hygiène.

"La lutte continue contre les escroqueries nécessite une approche écosystémique, dans laquelle toutes les parties prenantes jouent leur rôle pour rester vigilantes et se prémunir contre les escroqueries", avait déclaré MAS. Le régulateur travaille sur un cadre de responsabilité qui, selon lui, clarifiera les rôles et responsabilités des institutions financières, des opérateurs de télécommunications et des clients en matière de vigilance contre les escroqueries en ligne.

Aussi : 5 étapes simples pour protéger votre smartphone des pirates informatiques

Si les consommateurs sont amenés à assumer la responsabilité de leur hygiène en ligne, ne devraient-ils pas alors avoir le droit de prendre leurs propres décisions sur la meilleure façon de se protéger ?

Et ne devrait-il pas y avoir plus de transparence et d'accès à l'information sur la manière dont les organisations avec lesquelles les consommateurs effectuent des transactions sécurisent leurs services ?

Pour le bien de leurs clients (et de ma santé mentale), j'espère que les autres banques qui suivront les traces d'OCBC ont pris des notes et travaillé pour éviter un déploiement tout aussi compliqué.

Par exemple, OCBC aurait-elle pu atténuer certains problèmes en proposant aux clients une « liste blanche » personnelle dans laquelle ils peuvent inclure des applications initialement signalées par la fonction de sécurité de la banque ? Ces applications pourraient être vérifiées et évaluées par rapport aux politiques de sécurité, et ajoutées à la liste blanche seulement après avoir vérifié qu'elles sont sûres.

Les banques pourraient limiter, par exemple, trois applications à la liste blanche, afin que les clients soient incités à donner la priorité aux applications qui sont absolument nécessaires et que les banques puissent gérer les ressources nécessaires pour faciliter cette approche. Ils peuvent également utiliser des outils d'intelligence artificielle pour automatiser certains processus et optimiser le cycle d'évaluation des applications, ainsi que maintenir un référentiel de celles approuvées, réduisant ainsi davantage les efforts nécessaires pour maintenir la liste blanche.

Et si ce n'est pas déjà fait, les banques devraient contacter les principaux développeurs d'applications, y compris les fournisseurs de logiciels antivirus, pour savoir comment leurs paramètres d'autorisation peuvent ou non satisfaire à leur liste de contrôle de sécurité. Cela suppose qu’eux aussi choisissent de ne pas divulguer les détails des autorisations d’application qu’ils considèrent comme risquées.

Avant tout, la question clé que toutes les banques voudront se poser est de savoir si elles sont prêtes à assumer l'entière responsabilité en cas de faille de sécurité, si elles choisissent de passer outre les choix de sécurité de leurs clients.