Protéger vos comptes : authentification à deux facteurs, SIM swapping, phishing des identifiants de courtage et dispositions d'accès pour les héritiers

Ce que vous allez apprendre

• Quels seconds facteurs sont solides, lesquels sont faibles, et pourquoi les codes SMS échouent face au SIM swapping.
• Comment fonctionne aujourd'hui le phishing des identifiants de courtage, y compris le relais en temps réel et la lassitude face aux demandes de validation.
• Quelles fonctions intégrées des courtiers (compte de référence, blocages des retraits, alertes) arrêtent un voleur même après une connexion réussie.
• Comment donner à vos héritiers ou à une personne de confiance un accès légal sans leur remettre vos mots de passe dès aujourd'hui.

Explication

La prise de contrôle de compte est la fraude qui frappe les investisseurs prudents, ceux qui ne se laissent jamais prendre par un faux courtier. L'attaquant n'a pas besoin de vous convaincre d'investir ; il lui faut votre identifiant, votre second facteur et un moyen de faire sortir l'argent. L'hygiène de base des portefeuilles crypto a été traitée dans le cours Les fondamentaux du Bitcoin et des cryptomonnaies (leçon btc08) ; cette leçon porte sur les comptes bancaires et de courtage, et sur ce qu'il advient de ces comptes lorsque vous ne pouvez plus agir vous-même.

L'authentification forte du client et les trois types de facteurs

La deuxième directive européenne sur les services de paiement (DSP2, en anglais PSD2) impose une authentification forte du client (SCA) pour la banque en ligne : deux éléments indépendants parmi la connaissance (mot de passe, code PIN), la possession (téléphone, clé matérielle, carte) et l'inhérence (empreinte digitale, visage). Les courtiers appliquent le même modèle, volontairement ou parce qu'ils sont des banques. La sécurité de l'ensemble du dispositif est égale à la sécurité du facteur le plus faible :

Le SIM swapping

Lors d'un SIM swap, l'attaquant convainc votre opérateur mobile, par ingénierie sociale ou à l'aide de données personnelles ayant fuité, de transférer votre numéro sur une nouvelle carte SIM ou eSIM. À partir de ce moment, tous les codes SMS et les appels « mot de passe oublié » lui parviennent. Signal d'alerte : votre téléphone affiche soudainement « aucun service » pendant plus de quelques minutes dans une zone couverte. Moyens de défense : définissez auprès de l'opérateur un mot de passe client distinct (Kundenkennwort) pour toute modification, utilisez une application d'authentification ou une clé matérielle au lieu des SMS partout où votre courtier le permet, et n'utilisez jamais le numéro de mobile comme canal de réinitialisation du mot de passe de votre compte e-mail principal, car ce compte e-mail est la clé maîtresse de tout le reste.

Le phishing des identifiants de courtage

Le phishing moderne n'est plus un e-mail truffé de fautes. Schémas typiques : un résultat de recherche sponsorisé pour le nom de votre courtier menant à un domaine imitant le vrai ; un SMS « votre compte est restreint, vérifiez-le sous 24 heures » ; un appel du « service de sécurité » vous demandant de valider une notification push « pour annuler un virement suspect ». Des kits de proxy inverse relaient en temps réel votre mot de passe et votre code TOTP vers le vrai site, de sorte que même une application d'authentification peut être contournée. Les règles qui tiennent : saisissez vous-même l'adresse du courtier ou utilisez l'application ; ne validez jamais une demande push que vous n'avez pas déclenchée à ce moment précis ; une banque ou un courtier ne demande jamais un TAN par téléphone ; et si une page vous demande un code « pour annuler » quelque chose, c'est une fraude, car une annulation ne nécessite jamais de code de transaction.

Les fonctions qui limitent les dégâts après une connexion

Les courtiers allemands n'autorisent généralement les retraits que vers un compte de référence (Referenzkonto) à votre nom ; le modifier nécessite une étape distincte avec authentification forte, et souvent un délai d'attente. Vérifiez que cette fonction est activée, activez les alertes de transaction et de connexion par e-mail et par notification push, fixez un plafond de virement quotidien sur le compte bancaire associé et protégez le compte e-mail par une clé matérielle ou une passkey. Examinez chaque trimestre la liste des appareils connectés et des clés API, et supprimez les anciens.

L'accès pour les héritiers et en cas d'urgence

Si vous décédez ou devenez incapable, vos héritiers n'ont pas automatiquement accès à vos comptes. Les banques peuvent exiger une preuve de la succession, généralement un certificat d'hérédité (Erbschein) ou un testament notarié accompagné du procès-verbal d'ouverture du tribunal ; la Cour fédérale de justice (BGH) a jugé qu'une banque ne peut pas exiger un Erbschein lorsqu'un testament notarié prouve clairement la qualité d'héritier. Un testament olographe seul n'est normalement pas accepté par les banques comme preuve. L'obtention d'un Erbschein entraîne des frais de justice qui augmentent avec la valeur de la succession et prend de quelques semaines à quelques mois. Pendant ce temps, un compte-titres reste exposé au risque de marché et personne ne peut vendre. Les outils pratiques sont :

• Une procuration bancaire valable au-delà du décès (Konto- und Depotvollmacht über den Tod hinaus) établie sur le formulaire de la banque elle-même et accordée à une personne de confiance. Elle donne un accès immédiat sans Erbschein ; les héritiers peuvent la révoquer ultérieurement.
• Un mandat de protection future (Vorsorgevollmacht) pour le cas d'incapacité et, séparément, un testament notarié si la succession est complexe.
• Un document d'accès conservé hors ligne (enveloppe scellée, coffre-fort bancaire ou gestionnaire de mots de passe avec accès d'urgence) : liste des établissements et des numéros de compte, emplacement des clés matérielles et moyen d'accéder au compte e-mail. N'inscrivez pas de mots de passe dans le testament, car celui-ci devient un document judiciaire.
• Sachez que les banques allemandes doivent déclarer au fisc les soldes à la date du décès ; dissimuler des comptes aux héritiers ou au Finanzamt n'est donc ni possible ni légal : l'objectif est la rapidité, pas le secret. Le BGH a confirmé en 2018 que les comptes numériques sont transmis aux héritiers comme n'importe quel autre contrat.

Exemple chiffré

Exemple hypothétique : Petra, 58 ans, détient un compte-titres d'une valeur de €250,000 et €40,000 en Tagesgeld dans une même banque. Ses connexions reposent sur un mot de passe et des codes SMS envoyés à un seul numéro de mobile ; ce même numéro est le canal de récupération de son e-mail. Son fils majeur est son unique héritier, mais il ne dispose d'aucune procuration. Les frais et les impôts sont ignorés.

1. Point de défaillance unique : un SIM swap réussi donne à l'attaquant les codes SMS et le canal de récupération de l'e-mail, de sorte qu'une seule attaque couvre tous les comptes. Après le passage du courtier et de l'e-mail à une application d'authentification et à une clé matérielle, un SIM swap seul ne rapporte rien ; l'attaquant doit aussi se procurer physiquement la clé.
2. Retard successoral : supposons que l'Erbschein prenne six semaines et que le marché baisse de 3 % pendant cette période. Exposition du compte-titres : 3 % × €250,000 = €7,500 sur lesquels personne n'a pu agir, auxquels s'ajoutent six semaines de frais de subsistance que le fils ne peut pas prélever sur les €40,000.
3. Comparaison des coûts : supposons des frais de justice d'environ €1,000 pour l'Erbschein d'une succession de cette taille (les frais sont fixés par le barème des frais de justice et augmentent avec la valeur de la succession ; consultez le barème en vigueur). Une procuration bancaire valable au-delà du décès coûte €0 et donne accès dès le premier jour. L'Erbschein pourra encore être nécessaire plus tard pour d'autres actifs, mais le problème d'accès urgent est résolu.

Erreur fréquente

Activité pratique

Sur papier, dessinez une « carte des accès » pour un foyer hypothétique : un compte e-mail principal (récupération par SMS sur le téléphone A), un courtier (mot de passe + SMS sur le téléphone A), une banque (mot de passe + pushTAN sur le téléphone A), une plateforme d'échange crypto (mot de passe + TOTP sur le téléphone A). Le téléphone A est volé déverrouillé. Pour chaque compte, indiquez si le voleur peut se connecter et faire sortir de l'argent, et quelle modification unique réduirait le plus le nombre de comptes compromis. Énumérez ensuite les trois documents dont une personne de confiance aurait besoin pour agir en votre nom en cas d'incapacité soudaine.

Points clés à retenir

• Le SMS est le second facteur le plus faible ; les applications d'authentification résistent au SIM swap, les clés matérielles et les passkeys résistent en outre au phishing.
• Ne validez jamais une notification push que vous n'avez pas déclenchée, et ne donnez jamais de code pour « annuler » quoi que ce soit.
• Les retraits limités au compte de référence, les alertes et un compte e-mail protégé limitent les dégâts même après le vol d'un identifiant.
• Une procuration bancaire valable au-delà du décès et un document d'accès hors ligne donnent aux héritiers un accès légal et immédiat ; un Erbschein seul coûte du temps et de l'argent.

Prochaine étape

La dernière leçon de ce cours transforme tout ce qui précède en deux documents à conserver : une liste de contrôle personnelle de due diligence pour toute offre d'investissement et un plan écrit de réaction à la fraude.