Pourquoi les relevés bancaires sont-ils protégés par mot de passe ?

Les banques chiffrent les relevés PDF avec un mot de passe construit à partir de vos informations, pour que le contenu reste illisible si l’e-mail arrive à la mauvaise personne.

Les banques protègent par mot de passe les relevés envoyés par e-mail, parce qu’un e-mail est facile à mal adresser, à transférer ou à pirater. Le PDF est chiffré, et le mot de passe est construit à partir d’informations que seuls vous et la banque devriez connaître : quelqu’un qui récupère le fichier ne peut donc pas lire vos opérations, votre solde ou votre numéro de compte.

Ce que fait réellement le mot de passe

Un mot de passe d’ouverture de PDF chiffre le contenu du document. Sans lui, un lecteur PDF ne voit que des données brouillées, pas du texte caché. C’est différent d’un mot de passe de « permissions », qui limite seulement l’impression ou la copie dans les lecteurs qui le respectent (Adobe : Présentation de la sécurité par mot de passe). Les relevés bancaires utilisent un mot de passe d’ouverture, car le but est de garder le contenu privé.

Les banques le décrivent en termes similaires. Standard Chartered UAE, par exemple, indique que ses relevés électroniques sont « chiffrés avec un mot de passe unique » (Standard Chartered UAE).

Contre quoi il protège

• Une mauvaise adresse e-mail. Une faute de frappe lors de l’enregistrement de l’adresse, ou une ancienne adresse que quelqu’un d’autre possède désormais, pourrait envoyer votre relevé à un inconnu.
• Les boîtes partagées ou piratées. Des proches sur un appareil partagé, ou un pirate qui accède à votre messagerie, ne peuvent pas lire la pièce jointe sans le mot de passe.
• Le transfert et le stockage. Les relevés finissent dans les dossiers de téléchargement, les sauvegardes cloud et les apps de discussion. Le chiffrement voyage avec le fichier.
• La fraude. Un relevé montre votre numéro de compte, votre adresse, votre solde et vos habitudes de dépense, un matériau utile pour les arnaques et l’usurpation d’identité.

Pourquoi le mot de passe est fait de vos propres informations

Les banques ne peuvent pas envoyer un mot de passe aléatoire dans le même e-mail, car quiconque lirait l’e-mail le verrait. La plupart utilisent donc un format, généralement une combinaison de votre nom, de votre date de naissance, de votre numéro de mobile, de votre identifiant client ou de votre numéro de compte. Vous pouvez le reconstituer, un inconnu en général non, et la banque n’a pas à envoyer de secret. Le format lui-même est normalement indiqué dans l’e-mail du relevé ou sur le site de la banque.

L’inconvénient est que ces informations ne sont pas vraiment secrètes. Un proche peut connaître votre anniversaire et votre numéro de téléphone. Voyez le mot de passe comme une protection contre une exposition accidentelle, pas comme un coffre-fort.

Est-ce une obligation légale ?

Cela dépend du pays, et les règles disent rarement « utilisez un mot de passe PDF ». En Inde, le Cyber Security Framework in Banks de la Reserve Bank of India (2 juin 2016) indique aux banques qu’elles sont responsables des données qu’elles détiennent et doivent en préserver la confidentialité, l’intégrité et la disponibilité, en ajoutant que « la confidentialité de ces informations en dépôt ne doit être compromise en aucune circonstance » (circulaire de la RBI). La circulaire ne mentionne pas spécifiquement les relevés par e-mail ni les mots de passe PDF. Les relevés électroniques protégés par mot de passe sont une façon courante pour les banques de remplir cette obligation plus large. Nous n’avons trouvé aucune règle de la RBI exigeant des mots de passe PDF pour les relevés.

Ailleurs, les lois sur la protection des données exigent en général des organisations qu’elles protègent les données personnelles. Chiffrer les relevés est un moyen courant d’y parvenir, mais la méthode exacte est généralement laissée à la banque.

Ce que cela signifie pour vous

• Ne communiquez pas le mot de passe dans le même message que le PDF.
• Si vous retirez le mot de passe par commodité, stockez la copie déverrouillée dans un endroit privé.
• Conservez le mot de passe lui-même en sécurité, pas dans une note ordinaire.
• Si un e-mail de « relevé » vous demande de cliquer sur un lien et de saisir vos identifiants bancaires pour l’ouvrir, considérez-le comme un possible hameçonnage. Les vrais relevés ne demandent que le mot de passe du PDF.

Si ressaisir le mot de passe chaque mois est pénible, vous pouvez enregistrer une copie déverrouillée avec Aperçu sur Mac, ou avec UnKey sur iPhone, iPad ou Mac (hors ligne, rien n’est envoyé). Ne le faites que sur un appareil que vous êtes seul à utiliser.

Questions

Sources

• Reserve Bank of India – Cyber Security Framework in Banks (2 June 2016)
• Standard Chartered UAE – Online eStatements
• Adobe – Password security overview in Acrobat

Les formats peuvent changer. Si un mot de passe ne fonctionne pas, vérifiez l’e-mail accompagnant le document ou contactez l’émetteur. UnKey n’est affilié à aucune banque, aucun employeur ni aucune autorité cités ici.

Traduit de l’anglais. En cas de différence, la page anglaise fait foi.