Sécuriser son e-banking sur un ordinateur partagé ou professionnel en Suisse

Pourquoi un ordinateur partagé fragilise l'e-banking

Sur un poste utilisé par plusieurs personnes, personne n'est vraiment responsable de ce qui y est installé. Un enfant télécharge un jeu gratuit, un collègue installe une extension de navigateur pour convertir des PDF, un stagiaire clique sur une pièce jointe. Chacune de ces actions peut introduire un logiciel espion sans que l'utilisateur suivant ne s'en aperçoive.

Le risque le plus sérieux est celui du keylogger, un programme qui enregistre tout ce qui est tapé au clavier, numéro de contrat et mot de passe compris. Le fonctionnement d'un enregistreur de frappe explique pourquoi la double authentification reste indispensable : même si le mot de passe est capturé, l'attaquant doit encore franchir la confirmation sur le téléphone du titulaire.

Le second risque est plus banal : les traces. Un navigateur qui mémorise l'identifiant de connexion, une session restée ouverte, un relevé de compte téléchargé dans le dossier commun des téléchargements. Sur un poste partagé, ces informations sont visibles par tous les utilisateurs suivants.

Ce que les banques suisses demandent à leurs clients

Les conditions d'utilisation de l'e-banking, chez UBS, PostFinance, Raiffeisen comme dans les banques cantonales, prévoient toutes une obligation de diligence du client : maintenir à jour le système d'exploitation, le navigateur et l'antivirus, et protéger ses moyens d'authentification. Plusieurs banques, comme la Banque Cantonale de Fribourg, déconseillent explicitement d'utiliser des ordinateurs ou des réseaux publics, par exemple dans les hôtels ou les aéroports.

Ce point a une conséquence concrète : en cas de fraude, la banque examinera si le client a respecté ces obligations. Une connexion depuis un ordinateur dont on ne maîtrise pas l'état peut peser dans l'analyse du dossier.

La plateforme indépendante eBanking, mais en toute sécurité ! (ebas.ch), développée par la Haute école de Lucerne et soutenue par de nombreux établissements financiers suisses, publie des recommandations à jour et des instructions pour chaque navigateur. C'est la référence à consulter en cas de doute.

Sur un ordinateur familial partagé

Un compte Windows ou macOS par personne

La mesure la plus efficace est aussi la plus simple : chaque membre du foyer dispose de sa propre session, protégée par un mot de passe. Le titulaire de l'e-banking utilise une session avec droits standard, sans privilèges administrateur, et personne d'autre n'y a accès. Les logiciels installés par les autres utilisateurs, les extensions de leur navigateur et leurs téléchargements restent ainsi séparés.

Ne jamais enregistrer les accès dans le navigateur

Lorsque le navigateur propose de mémoriser l'identifiant ou le mot de passe de l'e-banking, la réponse doit être non. Si un gestionnaire de mots de passe est utilisé, il doit être protégé par un mot de passe principal que seul le titulaire connaît.

Toujours taper l'adresse de la banque

La connexion se fait en saisissant l'adresse officielle de la banque dans la barre du navigateur, jamais en passant par un moteur de recherche. Des polices de Suisse centrale ont signalé des faux sites d'e-banking qui apparaissent dans les résultats de recherche et récupèrent les données de connexion. Avant toute saisie, il faut vérifier que l'adresse est exacte et que la connexion est chiffrée : le principe du certificat SSL et du cadenas permet de comprendre ce que cette vérification garantit, et ce qu'elle ne garantit pas.

Se déconnecter puis effacer les traces

Fermer l'onglet ne suffit pas. La session doit être terminée avec le bouton de déconnexion de la banque, puis le cache et l'historique du navigateur doivent être vidés. Plusieurs banques suisses le rappellent d'ailleurs directement sur leur page de déconnexion.

Sur un ordinateur professionnel

Réserver un poste au trafic des paiements

Dans une PME, une fiduciaire ou un cabinet, la solution la plus sûre consiste à réserver un poste, ou au minimum une session, aux paiements. Ce poste ne sert ni à la messagerie générale ni à la navigation : c'est justement là qu'arrivent les pièces jointes piégées et les faux liens. Moins un ordinateur est exposé, moins il risque d'être compromis.

Exiger une double validation des paiements

Les contrats e-banking pour entreprises permettent de définir des droits par utilisateur : une personne saisit les paiements, une autre les valide. La signature collective à deux, courante dans les sociétés suisses, peut être reproduite dans l'e-banking. Même si le poste de saisie est compromis, aucun virement ne part sans l'accord d'une seconde personne, sur un autre appareil.

Cette protection ne vaut que si elle est respectée en toutes circonstances. Le Tribunal fédéral a déjà eu à juger le cas d'une société dont les paiements exigeaient deux signatures, et qui a vu partir des virements ordonnés par de faux e-mails attribués à la comptable puis au directeur. Un paiement urgent demandé par e-mail ou par téléphone, en dehors de la procédure habituelle, doit toujours être vérifié par un autre canal.

Surveiller les outils de prise en main à distance

Beaucoup d'ordinateurs de bureau ont un logiciel de télémaintenance installé en permanence, parfois oublié depuis des années. Si un tel accès reste ouvert sans contrôle, toute personne qui en obtient les identifiants peut voir l'écran pendant une session d'e-banking. Une assistance à distance bien configurée ne s'active qu'à la demande de l'utilisateur, avec son accord à chaque connexion.

Verrouiller le poste à chaque absence

Un ordinateur laissé ouvert, même cinq minutes, pendant une session d'e-banking, permet à n'importe qui de consulter les comptes. Le raccourci Windows + L verrouille immédiatement la session. Le verrouillage automatique après quelques minutes d'inactivité doit être activé sur tous les postes qui accèdent aux comptes de l'entreprise.

En déplacement : Wi-Fi public et ordinateurs d'hôtel

Un ordinateur mis à disposition dans un hôtel, une bibliothèque ou un espace de coworking ne doit jamais servir à l'e-banking : son état est inconnu et il peut contenir un enregistreur de frappe. Sur son propre ordinateur portable, connecté au Wi-Fi d'un hôtel ou d'une gare, le risque est moindre grâce au chiffrement de l'e-banking, mais un VPN ajoute une protection utile sur un réseau que l'on ne contrôle pas. La solution la plus simple reste souvent l'application mobile officielle de la banque, sur son propre smartphone, en partage de connexion 4G ou 5G.

Les signes qui doivent faire interrompre une session

• la page de connexion demande des informations inhabituelles, comme plusieurs codes à la suite ou les données complètes d'une carte ;
• un message annonce une maintenance et demande de patienter ou de rappeler un numéro ;
• une demande de confirmation arrive sur le smartphone alors qu'aucune connexion n'est en cours ;
• la session se coupe et redemande les accès sans raison ;
• l'apparence de la page diffère de d'habitude.

Dans ces situations, il faut fermer la session, ne rien confirmer et appeler la banque au numéro figurant au dos de la carte ou sur son site officiel. Les arnaques qui accompagnent ces faux écrans passent souvent aussi par le téléphone, comme les faux SMS au nom des banques suisses qui demandent de rappeler un numéro pour bloquer une opération.

Un poste fiable avant toute chose

Aucune règle de prudence ne compense un ordinateur déjà infecté. Avant de mettre en place ces bonnes pratiques sur un poste partagé ou professionnel, une vérification de son état permet de partir sur une base saine : logiciels installés, extensions du navigateur, accès distants actifs, mises à jour en attente, comptes utilisateurs et droits d'administration. C'est souvent à cette occasion qu'apparaissent les outils oubliés et les programmes installés à l'insu des utilisateurs.