Réduire la friction sans compromettre la sécurité, est-ce possible ?
La FCA (Financial Conduct Authority) a supprimé l’obligation de ré-authentification tous les 90 jours pour que les clients accèdent aux données de leur compte bancaire, dans le cadre des règles de l’Open Banking. Cette règle consistait à demander aux clients de ré-authentifier leurs identifiants tous les 3 mois, ce qui entraînait des taux d’abandon élevés. Il s’agit sans conteste d’un grand soulagement lorsqu’on songe à réduire la friction dans l’expérience de leurs clients. Bien que les clients continueront d’être interrogés sur leur souhait de poursuivre le partage de données, cela ne sera pas aussi chronophage ni pénible que de devoir se ré-authentifier aussi souvent.
Décomposons cela…
L’Open Banking est un terme ou une pratique qui permet à des prestataires de services financiers tiers de bâtir des services autour des banques grâce à des API ouvertes. Par exemple, un portefeuille numérique serait un prestataire tiers (TPP, Third-Party Provider), par lequel un utilisateur connecte son compte bancaire et gère paiements et transactions via le portefeuille numérique.
Lorsqu’un client se connecte à un TPP, tel qu’un portefeuille numérique, il doit autoriser le TPP à accéder à ses données, à les utiliser et à les stocker. Pour ce faire, le client doit donner son consentement explicite pour que le TPP soit authentifié auprès de l’institution financière de son choix, comme sa banque. L’institution financière accordera alors au TPP l’accès à son compte, et le TPP pourra partager ces informations en toute sécurité avec le prestataire fintech choisi par le consommateur.
Les autorités voulaient s’assurer que les consommateurs soient toujours conscients du partage de leurs données ; c’est ainsi qu’est née la règle des 90 jours. Cependant, au lieu de simplement demander au client de confirmer son consentement, le service était interrompu tant que le client ne ré-authentifiait pas ses identifiants. Cela s’est clairement traduit par des expériences utilisateur peu conviviales et pleines de friction, provoquant des taux d’abandon élevés. D’où le tout dernier changement, très bienvenu, de suppression de la règle de ré-authentification, en ne conservant que l’invite de ré-autorisation qui rappelle rapidement au client le partage de données.
Vive la moindre friction ! Mais qu’en est-il de la fraude ?
Aussi appréciable que soit la suppression de cette interruption, nous ne pouvons ignorer le niveau de risque qu’elle implique, car elle laisse une porte ouverte aux fraudeurs. Le client est au cœur de tout cela, et offrir une expérience sans friction ne devrait pas compromettre sa sécurité.
Les fraudeurs d’aujourd’hui recourent à des attaques sophistiquées et multicouches pour accéder aux identifiants et aux identités des personnes, par le phishing, les malwares, les émulateurs et d’autres techniques d’ingénierie sociale, pour n’en citer que quelques-unes. Une fois qu’ils les détiennent, ils peuvent passer au détournement de compte (Account Takeover), à la fraude à l’ouverture de compte (New Account) ou même à la fraude inter-banques (Cross-bank), entraînant une perte de confiance et d’argent.
Alors, comment offrir le juste équilibre entre une expérience utilisateur conviviale et la prévention de la fraude ? Comme nous l’avons appris, ajouter davantage de friction par des couches d’authentification supplémentaires n’est pas la réponse ; la meilleure façon d’atténuer ce risque est donc de trouver une solution de prévention de la fraude capable de protéger les clients même si leurs identifiants ont été volés.
Avec la technologie de prévention de la fraude de Paygilant, ces situations seraient évitées, car il s’agit d’une solution holistique conçue spécifiquement pour combattre la fraude sous tous les angles. Cela signifie que nous pouvons garantir que seuls les utilisateurs légitimes ont donné leur consentement, et non les fraudeurs ayant réussi à détourner le compte ou l’identité. Grâce à son approche fintech et à sa technologie mobile-first, elle détecte la fraude avec précision et permet une expérience utilisateur sans friction, du lancement de l’application aux transactions continues, en fonctionnant de façon transparente en temps réel et en répondant en quelques millisecondes. Vous savez donc désormais que cela existe bel et bien : prévention de la fraude et expérience utilisateur fluide et sans friction, le tout en un.
Sources :
https://plaid.com/blog/misconceptions-of-authentication-and-authorisation-why-90-day/
https://www.altfi.com/article/7934_why-we-need-to-rethink-the-90-day-rule