[Décision de justice] Si un prêt à distance est contracté avec le « certificat d’authentification conjoint » d’une victime de vishing, l’obligation de vérifier l’identité incombe à l’établissement financier

• Des escrocs au vishing ont obtenu un certificat d’authentification conjoint à l’aide de données personnelles dérobées, puis ont contracté un prêt via un mode de transaction financière électronique à distance
• Dans le cas de l’ancien « certificat officiel », puisqu’il était délivré par un organisme public agréé, la transaction était valablement conclue même sans procédure supplémentaire de vérification d’identité, et produisait ses effets à l’égard du titulaire du nom (qui devait donc rembourser le prêt)
• Pour le certificat d’authentification conjoint, l’établissement financier a l’obligation de vérifier l’identité via des méthodes de vérification de l’identité réelle à distance (« soumission d’une copie d’une pièce d’identité » et « appel vidéo », entre autres, 7 méthodes étant prévues)
• Par conséquent, le prêt obtenu auprès de B Capital, qui n’a pas procédé à la vérification de l’identité, n’a pas à être remboursé

[minhoryang]

Il semblerait donc que le certificat numérique commun et l’ancien certificat officiel n’étaient pas seulement différents par leur nom.

[xguru]

En regardant les méthodes de vérification d’identité, il semble qu’il faille obligatoirement en utiliser 2 parmi les 5 ci-dessous

• Soumission d’une copie d’une pièce justificative d’identité : photo ou scan, puis vérification via un service d’authentification de la pièce d’identité
• Appel vidéo
• Vérification lors de la remise d’un moyen d’accès : lors de la remise d’une carte de retrait, d’une carte de sécurité ou d’un OTP
• Utilisation d’un compte existant : vérification d’identité par petit virement sur un compte déjà utilisé
• Autres : technologies d’authentification d’un niveau de fiabilité comparable, comme la biométrie par empreinte digitale ou reconnaissance veineuse
  En plus, 2 méthodes supplémentaires sont recommandées
• Vérification croisée de plusieurs données personnelles : comparaison entre les informations personnelles fournies par le client et celles détenues par l’agence d’évaluation du crédit
• Exploitation des résultats de vérification d’autres organismes : utilisation du certificat numérique, du téléphone mobile, d’i-PIN, etc.

À ce stade, il ne devrait plus être acceptable d’exiger des scans de pièces d’identité à tout-va ; j’ai aussi assez souvent vu des cas où l’on demande de les prendre en photo avec le téléphone et de les envoyer, au lieu de passer par l’app...