Virement bancaire avec Wero : trop facile pour être sécurisé ?

Expérience récente : une personne qui devait me rembourser quelques euros me dit « Donne-moi ton numéro GSM et je te fais un virement avec Wero. » J’obtempère et quelques secondes plus tard, je vois ces euros apparaître sur mon compte bancaire.

Mes expériences récentes dans le monde associatif montrent que Wero y est de plus en plus utilisé. Je devrais trouver cela génial tellement c’est simple, mais mon expérience passée dans le monde de la cyber sécurité me fait froncer les sourcils. Quand c’est trop simple, c’est souvent que ce n’est pas très bien sécurisé…

Quelques recherches sur Internet confirment rapidement mes doutes : pour que ça marche, Wero doit avoir à sa disposition une base de données faisant le lien entre numéros de téléphone et références bancaires (IBAN). Cette base de données est alimentée par les banques elles-mêmes.

Premier souci, je n’ai jamais autorisé explicitement ma banque à communiquer mes données personnelles à un tiers, ni à Wero, ni à un autre. Il y a peut-être une case pré-cochée dans un écran quelque part, mais je ne l’ai pas trouvée et ce ne serait pas conforme au règlement général de protection des données européen (RGPD)…

On va me dite « Te voilà bien grincheux ! Wero est porté par l’European Paymants Initiative (EPI), une initiative de la Banque centrale européenne. » C’est vrai que ça fait sérieux, et qu’ils ont dû peaufiner la sécurité d’accès aux données ! Ce qui n’a jamais empêché les hackers têtus de finir par trouver une faille et de voler les données. Cf. le piratage des données des impôts, par exemple…

Deuxième souci : que peut faire un pirate avec un IBAN et un numéro de téléphone ? Deux exemples vécus (de tentatives) d’arnaques :

1. Pour faciliter les dons, le trésorier d’une association que je connais bien avait mis le RIB de l’association en ligne sur son site Internet. Quelques mois plus tard, il constate que plusieurs abonnements téléphoniques sont payés via le compte bancaire de l’association. Un visiteur indélicat avait utilisé l’IBAN trouvé sur le site Internet pour s’offrir des abonnements téléphoniques, qu’il revendait probablement ensuite…
   Vous me direz « Si la sécurité de la banque avait été bien faite, elle aurait demandé une validation du paiement avant de l’accepter. » Pas faux ! Mais, nous le savons tous, ce type de validation passe souvent par un message vers un téléphone. Et quand le pirate connaît le numéro de téléphone, il lui est assez facile de détourner le message…
2. Il y a ensuite la tentative d’arnaque à la Carte bancaire que j’avais décrite sur ce blog il y a quelques années (https://www.osez-fontenay.fr/recit-dune-tentative-darnaque-a-la-carte-bancaire/). Avec un IBAN, en gros, cela donnerait :
   « – Bonjour Monsieur, je suis Nicolas, conseiller de la banque X^*. Vous êtes bien client de notre banque ?
   – Oui, Monsieur.
   – Nous pensons que voua avez été victime de prélèvements frauduleux. Votre numéro de compte se termine bien par 1234^** ?
   – Oui, Monsieur.
   – En effet, vous avez plusieurs prélèvements en provenance des USA pour 735$, 412$, 1365$, etc.
   – Mais, je ne suis pas allé aux USA depuis près de dix ans !
   – Alors c’est bien un piratage ! Votre identifiant Internet est bien 0987651234^*** ?
   – Oui, Monsieur
   – Je vois 6 prélèvements douteux. Nous allons les mettre en opposition. Vous pouvez me donner votre code d’accès Internet ? »
   Là, l’utilisateur un tout petit peu prévenu raccroche aussitôt sans donner le code. Mais pas tous (je pense que, avec un peu de pression, ma vieille mère aurait donné son code secret). Et là, le gentil Nicolas commence à vider le compte bancaire…
   * avec l’IBAN, il est très facile de retrouver le nom de la banque
   ** le numéro du compte est dans l’IBAN
   *** dans ma banque, l’identifiant Internet est le numéro du compte…

Mais ce n’est pas terminé. Mes recherches m’apprennent également que la base de données est hébergée en Europe (c’est bien !), que les données ne doivent pas sortir d’Europe (c’est encore mieux !), mais qu’une partie des serveurs est exploitée par AWS.

Troisième souci : AWS est l’acronyme de Amazon Web Service. Amazon, dont le PDG et principal actionnaire est un certain Jeff Bezos, un des principaux financiers des campagnes électorales de Donald Trump.
Dans le droit américain, la justice peut dans certains cas contraindre les entreprises du pays, dont Amazon donc, à lui transmettre des données qu’elles hébergent, aux USA ou ailleurs (donc aussi en Europe). Quand on connaît la capacité qu’a Donald Trump à tenter de s’affranchir des règles de droit ou à les tourner à son avantage, ça fait un peu froid dans le dos. Et ce n’est pas Jeff Bezos qui s’y opposera.

Conclusion : j’ai immédiatement demandé à ma banque de faire effacer toutes mes données chez Wero. Mais il est peut-être déjà trop tard…

Michel Giraud