Paiements en ligne : une authentification forte désormais obligatoire

Une protection renforcée des paiements en ligne

Beaucoup d’établissements bancaires refusent encore des demandes de remboursements de leurs clients victimes de fraudes à la carte bancaire au motif que le système 3D Secure a été utilisé afin d’authentifier l’opération en question. 

Pourtant, un tel dispositif ne permet pas d’apporter la preuve que ces opérations ont été autorisées par le client puisqu’il peut être détourné. C’est dans cette optique que les réglementations bancaires européenne et française ont évolué. 

Désormais, l’article L. 133-44 du code monétaire et financier, entré en vigueur le 28 mai 2019, prévoit l’application de l’authentification forte en remplacement du 3D Secure. 

En outre, l'article L. 133-19 du même code prévoit désormais : "Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l'opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n'exige une authentification forte du payeur prévue à l'article L. 133-44.". 

Pour aller plus loin 
Victime d’hameçonnage ou phishing : peut-on contester un prélèvement bancaire ? >

Une authentification reposant sur au moins deux éléments

Le système de l’authentification forte est un procédé permettant de s’assurer de l’identité du payeur lors d’un achat sur internet.

Lorsque les titulaires de carte bancaire ne disposent pas de smartphone ou ne souhaitent pas installer l’application de leur banque, des procédures spécifiques sont développées par les banques, par mot de passe couplé au code reçu par SMS ou par boîtier fourni au client permettant d’authentifier le paiement. 

En conséquence, si un client est victime d’une opération frauduleuse débitée sur son compte bancaire mais qui n’a pas été vérifiée par ce système d’authentification forte, il doit immédiatement en informer sa banque et au plus tard dans un délai de 13 mois après le débit. 

Si l’établissement bancaire ne parvient pas à démontrer l’utilisation de l’authentification forte, l’opération sera réputée "non autorisée" (article L. 133-18 du Code monétaire et financier) et la banque devra lui rembourser l’intégralité des sommes indûment débitées. 

Une mise en place graduée

La mise en place de ce système d’authentification forte a été graduée : 

• à partir du 15 mars 2021 pour les transactions supérieures à 250 euros,
• à partir du 15 avril 2021 pour les transactions supérieures à 100 euros,
• à partir du 15 mai 2021 pour toutes les transactions quel que soit leur montant.