HE-Arc
Chroniques ILCE
Les néobanques et le blanchiment d’argent provenant de cyber-escroqueries

Les néobanques et le blanchiment d’argent provenant de cyber-escroqueries

Gestion
Auteur
Etudiant du MAS, inspecteur de police dans une division luttant contre la cybercriminalité
Thématique
Blanchiment d’argent, Cybercriminalité et nouvelle technologie

Une néobanque, qu’est-ce que c’est ?

Une néobanque, couramment également appelée banque mobile ou digitale, est une entreprise fournissant des services financiers uniquement via une application mobile, et ne disposant de ce fait d’aucun bureau physique pouvant accueillir des clients. Offrant divers avantages tels que des taux de conversion en devise étrangère très bas (taux interbancaire), les néobanques sont prisées des voyageurs. Elles connaissent aujourd’hui une évolution fulgurante, avec notamment en tête les deux gros mastodontes européens que sont Revolut et N26.  Au cours du premier trimestre 2018, les ouvertures de compte bancaire auprès de néobanques en France représentaient même 34% de toutes les ouvertures de compte, soit plus d’un tiers 1KPMG, « Panorama des néobanques en France, Point sur l’essor de ces nouveaux acteurs bancaires », novembre 2018 . En Suisse, la néobanque anglaise Revolut posséderait 250’000 clients fin 2019, avec pas moins de 180’000 nouvelles relations bancaires durant cette année -là 2Heim, M., « Revolut hat plötzlich massiv mehr Kunden in der Schweiz», in Handelszeitung, 14.10.2019 .

Fonctionnement et réglementation

En Suisse, nous relevons deux néobanques :

  • Zak, appartenant à la Banque Cler (ancienne Banque Coop). Il s’agit d’une application mobile créée par la Banque Cler, laquelle propose une ouverture de compte et une gestion de son compte à 100% via une application mobile.

Ces néobanques sont donc soutenues par des banques traditionnelles et sont soumises aux mêmes lois. Elles sont notamment soumises à la Loi sur les Banques (LB), assujetties à la surveillance de la FINMA et tenues à respecter les obligations de diligences bancaires de l’ASB.

Intéressons-nous plus particulièrement à l’ouverture des comptes. En effet, s’agissant de services financiers présents uniquement sur une application mobile, l’ouverture du compte doit s’effectuer à distance. En Suisse, la convention de diligence des banques (CDB20) oblige la banque à « vérifier l’identité du cocontractant lors de l’établissement
d’affaires ». L’article 10 CDB20 précise quant à lui que « L’identification
en ligne conformément aux prescriptions en vigueur de la FINMA vaut
vérification de l’identité lorsque la relation d’affaires est établie par
correspondance. » 4Convention relative à l’obligation de diligence des banques (CDB 20) du 13 juin 2018, récupérée de https://www.swissbanking.org/fr/services/bibliotheque/directives, le 01.03.2020 .

Les prescriptions de la FINMA sont établies dans la circulaire 2016/7, qui traite des « obligations de diligence lors de l’établissement de relations d’affaires par le biais de canaux numériques ».  Cette dernière donne des directives claires aux banques concernant l’identification par vidéo. En résumé, elles doivent notamment respecter les critères suivants :

  • Communication audiovisuelle en temps réel
  • La qualité de l’image et du son doit être appropriée pour permettre une identification parfaite.
  • Le cocontractant est identifié par des collaborateurs de l’intermédiaire financier ayant suivi une formation correspondante.
  • L’intermédiaire financier contrôle l’authenticité des documents d’identification, d’une part au moyen de la lecture et du déchiffrage des informations contenues dans la MRZ et, d’autre part, à l’aide d’un élément de sécurité optique variable du document d’identification et d’un autre élément choisi de manière aléatoire.
  • En amont de l’entretien audiovisuel, le cocontractant doit pouvoir saisir les données selon les art. 44 et 60 OBA-FINMA et les transmettre à l’intermédiaire financier. Celui-ci les vérifie pendant l’entretien d’identification en utilisant des supports techniques appropriés ou en posant des questions ciblées.
  • Pendant la transmission vidéo, l’intermédiaire financier prend des photographies du cocontractant ainsi que de toutes les pages importantes du document d’identification et vérifie que les photographies du cocontractant concordent avec celle du document d’identification 5Circ.-FINMA 16/7 « Identification par vidéo et en ligne » du 3 mars 2016, récupéré de https://www.finma.ch/fr/documentation/circulaires/ le 01.03.2020 .

La circulaire 2016/7 différencie l’identification par vidéo de l’identification en ligne. Cette dernière demande des mesures de contrôle supplémentaires, comme un virement d’argent en provenance d’un compte bancaire libellé au nom du cocontractant et une vérification de l’adresse de domicile du cocontractant. Cette méthode n’est aujourd’hui pas utilisée par les néobanques suisses.

Concernant la législation européenne, celle-ci se montre plus souple. En effet, pour ouvrir un compte bancaire auprès de grandes néobanques comme Revolut ou N26, de simples photos du visage ainsi que d’une pièce d’identité suffisent. Ces méthodes de vérification 6https://support.n26.com/fr-fr/vos-debuts/compte/quels-sont-les-documents-demandes-pour-la-verification-de-mon-identite consulté le 01.03.2020 7https://www.revolut.com/fr-FR/help/commencer/verification-de-l-identite/comment-puis-je-confirmer-mon-identite moins strictes ont par ailleurs déjà alerté des régulateurs, comme le Bafin en Allemagne. En effet, il était reproché à N26, au mois de mai 2019, de ne pas prendre toutes les mesures nécessaires afin de s’assurer que ses comptes sont en règle par rapport au blanchiment d’argent et au financement du terrorisme 8https://www.latribune.fr/entreprises-finance/banques-finance/la-neobanque-n26-dans-le-collimateur-du-regulateur-allemand-818049.html, consulté le 01.03.3030 .

Le blanchiment d’argent 2.0

L’émergence des néobanques a offert de nouvelles perspectives en termes de blanchiment d’argent, notamment pour les escroqueries commises sur Internet. Comme vu précédemment, il n’est pas impossible d’ouvrir un compte auprès de néobanques européennes sous une fausse identité. Il n’est donc pas rare que des comptes soient ouverts avec des documents d’identité et des « selfies » dérobés à des victimes d’escroqueries sentimentales par exemple. L’existence des money-mules, dont la Prévention suisse de la criminalité a largement communiqué à ce sujet en 2019 9https://www.skppsc.ch/fr/sujets/internet/money-mules/, consulté le 14.03.2020 , est également facilitée par les néobanques. En effet, les money-mules n’ont plus besoin de mettre leur propre compte à contribution des escrocs, mais peuvent simplement en créer un facilement depuis chez elles. Elles peuvent dès lors soit effectuer les transactions frauduleuses elles-mêmes, transférer l’usage de l’application aux escrocs, ou encore leur transmettre la carte bancaire reliée au compte afin que les escrocs l’utilisent directement.

Différents facteurs facilitent le blanchiment d’argent via les néobanques :

L’usage des néobanques est donc prisé des cyber-escrocs, qui utilisent une fois de plus les nouveaux services offerts grâce à Internet pour servir leurs propres intérêts. Il fait nul doute que des mesures doivent être prises afin de limiter le blanchiment d’argent via ces nouvelles banques en ligne.

Mesure d’amélioration

Tout d’abord, des mesures pourraient être prises lors de l’ouverture du compte même. En effet, il faudrait s’assurer que le compte soit bien ouvert par le client lui-même, et pour son usage. La législation suisse, en forçant l’entretien vidéo, est déjà un bon exemple dont pourraient s’inspirer différents autres pays européens. Des questions plus ciblées sur l’usage du compte pourraient aussi être posées, afin de garantir un cadre et de bloquer le compte s’il en venait à en sortir.

Une fois le compte ouvert, des mesures techniques peuvent être prises. En effet, profitant de l’utilisation de ces comptes bancaires via une application mobile, la banque est en mesure d’obtenir l’adresse IP du client, leur géolocalisation et d’autres éléments techniques comme l’user-agent.  Les algorithmes de sécurité pourraient être dès lors être améliorés, en bloquant le compte lorsqu’une connexion, un retrait par carte bancaire au distributeur, ou tout autre usage dans un pays ou l’utilisateur n’a pas raison d’y être seraient effectués. En effet, il a déjà été constaté des logs de connexion en Côte d’Ivoire ou au Bénin par exemple, alors qu’il s’agit de comptes bancaires ouverts au nom d’Européens. Une vérification devrait automatiquement être faite dans ces cas-là pour éviter le blanchiment d’argent venant de cyber-escroqueries.

Différentes autres mesures techniques pourraient également être prises, comme forcer la double authentification. En effet, un test mené personnellement le 14 mars 2020 démontre qu’il est possible, avec une néobanque suisse, de se connecter simultanément sur le même compte bancaire avec deux smartphones différents, avec simplement une adresse email et un mot de passe comme login. Il est surprenant qu’en 2020, pour une banque suisse, que de tels manquements de sécurité soient encore possibles.

Photo prise le 14.03.2020 lors de l’accès à mon propre compte bancaire sur deux smartphones différents, équipés de cartes SIM différentes.
Partager