Banque et assurance : alertes de fraude, OTP et rendez-vous conseiller en conversationnel
Dans un établissement financier, un message n’est jamais une communication ordinaire. Il débloque un paiement, il interrompt une opération suspecte, ou il engage la relation avec un conseiller. Chacun de ces usages a ses propres exigences, et aucun ne tolère l’à-peu-près. Pourtant, la question qui domine aujourd’hui n’est plus celle du canal à choisir : c’est celle de savoir si le client croira le message qu’il reçoit.
Ce que disent les chiffres de la fraude
Le rapport 2025 de l’Observatoire de la sécurité des moyens de paiement, publié par la Banque de France, décrit une situation à deux vitesses.
La lecture est sans ambiguïté. La fraude technique, celle qui exploite une faille des moyens de paiement, est maîtrisée : le taux de fraude sur la carte atteint son plus bas niveau historique et le nombre d’opérations frauduleuses recule nettement. En revanche, la fraude par manipulation progresse de 34 % en un an pour atteindre 516 millions d’euros, soit 41,6 % du total. La fraude au faux conseiller bancaire représente à elle seule 376 millions d’euros sur les virements.
Autrement dit, les escrocs ont cessé d’attaquer les systèmes pour attaquer la confiance. Ils ne cassent plus l’authentification, ils demandent au client de la leur donner, en se faisant passer pour sa banque. L’Observatoire en tire une conclusion explicite : la réponse passe par une mobilisation de tout l’écosystème, y compris des opérateurs télécoms et des acteurs du numérique. Le canal de communication devient un sujet de direction des risques.
Trois usages, trois exigences très différentes
Les messages qu’un établissement adresse à ses clients sont souvent traités comme un seul flux. Ils relèvent en réalité de régimes distincts, avec des contraintes qui n’ont rien à voir entre elles.
Le code à usage unique
C’est l’usage le plus exigeant techniquement et le moins exigeant éditorialement. Un code à usage unique sert de facteur de possession dans une authentification forte : il vaut parce que seul le détenteur de la ligne le reçoit. Sa réussite se mesure en secondes et en taux de remise, pas en taux de clic. Un code qui arrive avec quarante secondes de retard produit un abandon de panier, un appel au service client, et parfois une opération refusée. Cela suppose des routes dédiées et une qualité de service A2P qui ne dépende pas du trafic promotionnel de l’établissement.
Sur sa valeur de sécurité, deux choses méritent d’être dites avec précision, parce que le sujet est souvent caricaturé dans un sens comme dans l’autre. Le SMS reste le facteur de possession le plus universel : il ne demande ni application installée, ni smartphone récent, ni connexion de données, ce qui en fait le seul mécanisme réellement accessible à l’ensemble d’une clientèle. Mais l’Autorité bancaire européenne a posé une exigence claire : dès lors que le message transporte le code d’authentification ou des données de paiement, l’émetteur doit prendre les mesures nécessaires pour en garantir la confidentialité, l’authenticité et l’intégrité. C’est sur ce point, et sur l’articulation avec l’exigence de lien dynamique entre l’authentification et l’opération, que le débat se joue entre établissements et fournisseurs de solutions d’authentification.
La position raisonnable consiste donc à ne pas opposer les méthodes mais à les hiérarchiser. L’authentification par application, lorsqu’elle est disponible, offre un lien plus fort avec l’opération. Le SMS reste le filet de sécurité universel, et il le restera tant qu’une part significative de la clientèle ne peut pas être authentifiée autrement. Le sujet n’est pas de le supprimer, il est de ne jamais le laisser porter plus de confiance qu’il n’en mérite.
L'alerte de fraude
Une alerte de fraude n’a qu’un seul critère de réussite : être crue. Elle arrive sans être attendue, elle demande une action immédiate, et elle ressemble par construction à ce que les escrocs envoient. C’est le message le plus difficile à faire passer de tout le secteur.
Trois principes le rendent crédible. Un expéditeur stable et identique depuis des années, car la reconnaissance se construit sur la durée et toute variation profite à l’imitateur. Un message qui ne demande jamais au client de cliquer, de rappeler un numéro indiqué dans le message, ou de communiquer quoi que ce soit, mais qui l’invite à passer par son application ou par le numéro figurant au dos de sa carte. Et une absence totale de lien hypertexte, qui prive l’imitateur de son principal outil et installe chez le client un réflexe simple : un vrai message de sécurité ne contient jamais de lien.
Cette discipline a un coût, celui de renoncer à un parcours plus fluide. C’est un arbitrage de direction des risques, pas d’expérience utilisateur, et il mérite d’être tranché explicitement plutôt que par défaut.
Le rendez-vous avec un conseiller
C’est le seul des trois usages qui soit conversationnel au sens plein : il suppose un échange, pas une notification. La prise de rendez-vous, sa confirmation, son rappel la veille et sa reprogrammation forment une séquence courte où la capacité de répondre compte autant que celle d’envoyer. Le RCS et WhatsApp y apportent ce que le SMS ne sait pas faire : des créneaux proposés sous forme de boutons, l’identité visuelle de l’établissement, et un échange qu’un conseiller peut reprendre à la main.
Ce message relève du régime relationnel et non promotionnel : il s’inscrit dans l’exécution du contrat, ce qui le dispense de la mention de désabonnement et des contraintes horaires applicables aux messages commerciaux. La frontière se franchit dès que le message porte une proposition commerciale, et elle se franchit plus souvent qu’on ne le croit, par exemple quand un rappel de rendez-vous ajoute une ligne sur une offre en cours.
Le problème que personne n'aime nommer : votre canal est imité
Un établissement peut sécuriser parfaitement ses envois et voir malgré tout ses clients se faire escroquer par des messages qui se présentent sous son nom. C’est le cœur du phénomène décrit par l’Observatoire, et c’est un sujet que les fournisseurs abordent rarement de front parce qu’il met en lumière les limites de leurs propres outils.
Ce que le mécanisme d'authentification des numéros a réglé, et ce qu'il n'a pas réglé
La loi Naegelen du 24 juillet 2020 a institué un mécanisme d’authentification des numéros, déployé à partir du 1er juin 2024 et appliqué depuis le 1er octobre 2024 avec coupure des appels dont le numéro ne peut pas être authentifié. C’est une avancée réelle contre l’usurpation du numéro de téléphone de la banque.
Il faut toutefois être précis sur son périmètre : ce mécanisme porte sur les appels vocaux. Il ne traite pas l’usurpation du nom d’expéditeur d’un SMS, qui relève d’un autre dispositif, fondé sur la déclaration des expéditeurs auprès des opérateurs et sur le filtrage qu’ils opèrent. Présenter le sujet comme réglé serait inexact, et un établissement qui construirait sa communication sur cette hypothèse se tromperait.
Ce qui reste à la main de l'établissement
Déclarer et stabiliser ses expéditeurs, puis réduire leur nombre. Un établissement qui utilise sept noms d’expéditeur différents selon les services rend l’imitation triviale et la détection impossible pour le client.
Séparer les routes du fonctionnel critique et du promotionnel, pour qu’un pic de campagne ne dégrade jamais l’acheminement d’un code d’authentification.
Supprimer les liens de tous les messages de sécurité, sans exception, afin que la présence d’un lien devienne à elle seule un signal d’alerte pour le client.
Surveiller le trafic entrant anormal sur ses propres flux. La demande massive de codes d’authentification par des robots, connue sous le nom d’inflation artificielle du trafic, est à la fois un coût direct et un signal d’attaque.
Documenter chaque envoi, car en cas de litige, la capacité à démontrer ce qui est parti et ce qui a été remis détermine l’issue.
Sur le quatrième point, notre article consacré à l’inflation artificielle du trafic détaille les mécanismes et les parades.
La réponse la plus efficace : un canal qui prouve votre identité
Tout ce qui précède consiste à limiter les dégâts sur un canal, le SMS, qui n’a aucun moyen d’attester de l’identité de son expéditeur. Le RCS et WhatsApp changent cette donnée : ils reposent sur un profil d’entreprise certifié. Le nom de l’établissement, son logo et un badge de vérification s’affichent dans la messagerie, et cette vérification est délivrée par Google et les opérateurs pour le RCS, par Meta pour WhatsApp. Le client n’a plus à juger de l’authenticité d’un message : la messagerie la lui indique.
C’est un déplacement important. La prévention ne repose plus sur la vigilance du destinataire, qui est le maillon que les escrocs attaquent précisément, mais sur une preuve visible qu’un imitateur ne peut pas reproduire. Pour un établissement financier, c’est la seule parade structurelle à la fraude par usurpation.
LCL, filiale de Crédit Agricole et l’une des premières banques de détail françaises avec six millions de clients, a bâti son dispositif d’alertes de fraude sur ce principe. Face à la multiplication des tentatives de smishing, la banque diffuse ses alertes de suspicion de fraude carte et virement en RCS : le nom « LCL » et le logo s’affichent immédiatement, accompagnés du badge de vérification validé par Google et les opérateurs. Le détail du dispositif est présenté dans notre success story.
Une réserve de méthode toutefois, cohérente avec ce qui précède : ces canaux supposent une application et une connexion de données, donc une couverture incomplète. Le repli vers le SMS doit être paramétré explicitement, et le message de secours préparé à l’avance, puisqu’il ne bénéficiera pas de la certification. La bonne architecture utilise le canal certifié comme canal principal et le SMS comme filet, pas l’inverse.
Ce que la réglementation prépare
Le cadre européen des paiements est en cours de refonte, avec une directive et un règlement destinés à succéder à la DSP2. Le texte est encore en négociation et son calendrier reste prévisionnel, une application se dessinant plutôt à l’horizon 2027 et 2028. Trois orientations sont toutefois suffisamment stables pour être anticipées.
Le renforcement de la responsabilité des prestataires en cas de fraude par usurpation d’identité, lorsque l’escroc se fait passer pour un collaborateur de l’établissement. Les modalités précises, notamment les délais et la charge de la preuve, font encore l’objet de discussions.
L’extension de la vérification du nom du bénéficiaire au-delà des virements instantanés en euros.
L’évolution des règles d’authentification forte, avec une ouverture vers des combinaisons de facteurs qui n’existaient pas dans le cadre actuel.
L’orientation de fond mérite d’être retenue dès maintenant : l’authenticité du canal par lequel une banque parle à ses clients cesse d’être une bonne pratique pour devenir un sujet de responsabilité. Les choix d’architecture faits aujourd’hui sur les expéditeurs, les routes et la traçabilité seront ceux qu’il faudra documenter demain.
Les exigences d'exploitation propres au secteur
Au-delà des usages, un établissement financier n’achète pas un canal de communication comme une enseigne de distribution. Sept exigences reviennent systématiquement dans les consultations, et elles départagent les fournisseurs bien plus sûrement que le prix au message. La dernière ligne du tableau ci-dessous est nouvelle dans cette version et mérite d’être lue en premier : la confiance que le canal inspire au client est devenue un critère d’achat à part entière.
La dernière ligne est celle que l’on découvre le plus souvent trop tard. Faire transiter les codes d’authentification et les campagnes commerciales par le même chemin revient à faire dépendre une opération de paiement du calendrier marketing. MyLINK Connect permet de piloter le SMS, le RCS, WhatsApp et l’email depuis une même plateforme tout en conservant cette séparation, avec la gestion des expéditeurs, le suivi des statuts de remise et la console de conversation pour les conseillers.
Questions fréquentes
L'OTP par SMS est-il encore acceptable pour l'authentification forte ?
Il constitue un facteur de possession et reste très largement employé, notamment parce qu’il fonctionne sans application ni smartphone récent. L’exigence posée par l’Autorité bancaire européenne porte sur la protection du message lorsqu’il transporte le code ou des données de paiement. L’articulation avec le lien dynamique entre authentification et opération reste un point de débat, et la tendance du marché va vers une authentification par application quand elle est possible, le SMS conservant son rôle de recours universel.
Une alerte de fraude doit-elle comporter la mention STOP ?
Non. Il s’agit d’un message fonctionnel lié à la sécurité du compte, pas d’un message promotionnel : ni la mention de désabonnement ni les plages horaires applicables aux messages commerciaux ne s’y appliquent. En revanche, dès qu’un message mêle une information de service et une proposition commerciale, il bascule dans le régime promotionnel avec toutes ses obligations.
Comment un client peut-il distinguer un vrai message de sa banque d'une imitation ?
La règle la plus efficace est aussi la plus simple, à condition que l’établissement s’y tienne sans exception : un message de sécurité authentique ne contient jamais de lien et ne demande jamais de rappeler un numéro qu’il indique. Cette discipline ne protège que si elle est absolue, car une seule campagne contenant un lien suffit à détruire le réflexe chez le client.
Le RCS et WhatsApp sont-ils adaptés à un établissement financier ?
Pour la relation, le service et surtout les alertes, oui. Leur profil d’entreprise certifié, avec nom, logo et badge de vérification affichés dans la messagerie, apporte exactement ce qui manque au SMS face à la fraude par usurpation : une preuve d’identité que le client n’a pas à évaluer lui-même. Pour l’authentification, la prudence s’impose : ces canaux supposent une application et une connexion de données, donc une couverture incomplète, et le repli vers le SMS doit être paramétré explicitement puisqu’il n’a rien d’automatique.
Faut-il séparer les flux fonctionnels et promotionnels ?
Oui, et c’est probablement la décision d’architecture la plus rentable du secteur. Des expéditeurs et des routes distincts garantissent qu’un pic de campagne ne retardera jamais un code d’authentification, et préservent la réputation de l’expéditeur de sécurité, qui est l’actif le plus difficile à reconstruire.
Sources
Observatoire de la sécurité des moyens de paiement, rapport 2025, Banque de France, pour l’ensemble des chiffres de fraude.
Arcep, authentification des numéros de téléphone fixe ou mobile, pour le périmètre et le calendrier du mécanisme.
Loi n° 2020-901 du 24 juillet 2020, dite loi Naegelen, sur Légifrance.
Parlement européen, révision des règles européennes sur les services de paiement, pour l’état d’avancement de la DSP3 et du règlement associé.
LCL renforce la confiance client et la prévention de la fraude grâce au RCS, success story LINK Mobility.
Relevé d’octobre 2026. La refonte du cadre européen des paiements étant en cours, les éléments qui s’y rapportent sont à revérifier avant toute reprise.
Sécurisez vos échanges clients avec LINK Mobility
La fraude par manipulation a fait de l’authenticité du canal un enjeu de conformité autant que de relation client. Notre page dédiée aux banques et assurances détaille les dispositifs disponibles pour l’authentification, les alertes et la messagerie client sécurisée. Parlez-nous de votre projet : nos experts examinent avec vos équipes la séparation de vos flux, la gestion de vos expéditeurs et vos exigences de traçabilité.