Le 12 mars dernier, le Sénat français a examiné le projet de loi transposant les directives européennes NIS2, REC et DORA. Adopté en commission spéciale le 4 mars dernier, ce texte étend les obligations de cybersécurité à 15 000 entités et renforce leur résilience face aux cyberattaques. Une nécessité renforcée par les chiffres du CESIN qui révèle que 47 % des entreprises ont déclaré avoir subi au moins une cyberattaque en 2024. Dans ce contexte réglementaire, le Digital Operational Resilience Act (DORA) impose aux entreprises de renforcer leurs mesures de cybersécurité, avec un accent sur la sécurité de l’authentification.
Tribune Yubico – Dans ce paysage de menaces en constante évolution, le baromètre 2025 du CESIN confirme que le phishing reste la principale méthode d’attaque – responsable de 60 % des incidents – et que son impact ne fait qu’empirer. Cela s’est particulièrement ressenti par les institutions financières, où les cybercriminels cherchent à compromettre l’accès aux systèmes d’information sensibles. Résultat : le vol de données a grimpé à 42 %, et les interruptions d’activité touchent désormais 65 % des organisations. Le phishing restant une menace majeure, les entreprises doivent désormais adopter des méthodes d’authentification multi-facteur (MFA) plus robustes et résistantes au phishing pour rester conformes et se protéger efficacement.
Fabrice de Vésian, Sales Director South EMEA et France chez Yubico, souligne que les exigences de DORA représentent un changement majeur dans la gestion de la sécurité des accès, favorisant l’adoption généralisée de technologies plus résilientes et établissant des critères clairs pour la conformité.
« En exploitant la confiance et l’inattention des utilisateurs, les attaques de phishing permettent aux cybercriminels d’intercepter des informations d’identification et de contourner les mesures de sécurité. Avec l’entrée en vigueur de la loi DORA, les institutions financières et leurs fournisseurs de technologie doivent mettre en œuvre des mécanismes d’authentification plus solides pour éliminer cette vulnérabilité.
De nombreuses institutions financières ont longtemps utilisé des cartes à puce traditionnelles pour l’authentification multi-facteurs (MFA) en interne. Cependant, avec la disparition des lecteurs intégrés sur les ordinateurs portables modernes, ces systèmes deviennent de plus en plus obsolètes. Bien qu’il soit possible de conserver les protocoles PIV avec ces cartes, la transition vers les standards FIDO via les passkeys représente une alternative prometteuse. Toutefois, dans des environnements hautement sensibles, où la dépendance aux cartes PIV reste forte, l’adoption de FIDO2 peut nécessiter une approche progressive. En combinant des solutions basées sur PIV et FIDO2/WebAuthn, les institutions financières peuvent préparer une transition sécurisée, conciliant exigences de conformité et évolutivité. En supprimant les éléments d’authentification qui peuvent être facilement partagés ou interceptés, ces technologies rendent les tentatives de phishing beaucoup moins efficaces. Les passkeys, en particulier les options liées à un dispositif comme les clés de sécurité matérielles, offrent une protection nettement plus forte tout en améliorant l’expérience de l’utilisateur. En effet, elles requièrent quelque chose que l’on connait (un code PIN/mot de passe), quelque chose que l’on a (la clé de sécurité) et quelque chose que l’on est (un contact physique avec la clé pour prouver que l’on est un être humain) pour s’authentifier.
Au-delà de la sécurisation des accès internes, les institutions financières doivent également se concentrer sur la protection des accès externes pour leurs clients. FIDO2 constitue une alternative moderne et résistante au phishing face aux méthodes plus anciennes et moins sécurisées. Contrairement à PIV, qui nécessite une infrastructure complexe et n’est pas adapté à l’authentification des clients, FIDO2 est une solution évolutive, intuitive et rentable, ce qui en fait le choix optimal pour sécuriser l’accès des clients.
Répondre aux exigences de DORA implique également une approche stratégique et opérationnelle viable. Une authentification robuste doit s’intégrer harmonieusement aux systèmes existants, garantir une accessibilité optimale pour les utilisateurs et être en adéquation avec les contraintes réglementaires et de gestion des risques. Une approche globale, combinant des technologies résistantes au phishing avec des actions de sensibilisation et de formation des employés, est essentielle pour renforcer la résilience à long terme.
Avec la mise en application des obligations de conformité, la transition vers des méthodes d’authentification robustes n’est plus une option mais une nécessité. La loi DORA pousse les institutions financières à s’éloigner des modèles de sécurité obsolètes et à mettre en œuvre des pratiques d’authentification modernes, en veillant à ce que le phishing ne soit plus une faiblesse exploitable. Les entreprises qui adoptent ce changement de manière proactive renforceront non seulement leur position en matière de cybersécurité, mais aussi leur conformité aux réglementations et leur crédibilité dans le monde numérique. »
