Ce qui a changé
- La HKMA exige des notifications claires à l'écran lors de la reconnaissance faciale pour l'ouverture de compte à distance et impose l'authentification In-app au lieu des OTP par SMS.
- Le gouvernement affirme que le cap. 106AI interdit l'accès des banques aux données d'enregistrement sous nom réel des cartes SIM, et qu'aucun projet de modification des autorisations d'accès n'est prévu.
- Des tests ont commencé pour intégrer l'authentification renforcée (« Step-up Authentication ») de « iAM Smart » et la détection de deepfakes « e-Banking Security ABCD » de la HKMA dans l'ouverture de compte à distance.
### Contexte
Lors d'une séance du Conseil législatif le 21 octobre 2026, le professeur et honorable Alex Fan a soumis une question parlementaire concernant les mesures visant à améliorer la sécurité de l'ouverture de comptes bancaires en ligne et à prévenir la création à distance de comptes de prête-nom (« stooge accounts ») dans la RAE de Hong Kong. La demande portait sur des schémas de fraude dans lesquels les auteurs obtiennent les cartes d'identité et les données personnelles des victimes — ciblant fréquemment des groupes vulnérables tels que les employés de maison étrangers et les personnes âgées — pour ouvrir des comptes bancaires à distance via des applications mobiles à l'insu des victimes. Dans ces schémas, les criminels saisissent des données personnelles dans les applications mobiles bancaires, lient les applications à des numéros de téléphone portable préarrangés et trompent les victimes pour qu'elles passent la vérification par reconnaissance faciale à l'aide d'invites à l'écran dépourvues d'avertissements clairs. Une fois ouverts, ces comptes de prête-nom sont immédiatement utilisés pour recevoir, transférer ou blanchir les produits du crime à l'aide de mots de passe à usage unique (OTP) envoyés aux numéros liés.
En réponse, le sous-secrétaire aux Services financiers et au Trésor, M. Joseph Chan, après avoir consulté le Bureau du développement économique et du commerce et l'Autorité monétaire de Hong Kong (HKMA), a détaillé le cadre réglementaire existant, les exigences de surveillance établies par la HKMA, les limitations légales concernant les données d'enregistrement des cartes SIM, ainsi que les contre-mesures techniques en cours de mise en œuvre dans les services gouvernementaux et le secteur bancaire.
### Directives réglementaires et exigences de sécurité
Dans le cadre réglementaire actuel de la RAE de Hong Kong, les institutions financières réglementées, y compris les banques autorisées, sont tenues d'établir des contrôles efficaces en matière de lutte contre le blanchiment d'argent (LAB) et le financement du terrorisme (CFT). Ces contrôles englobent la diligence raisonnable à l'égard de la clientèle, la surveillance continue des transactions et le signalement des transactions suspectes aux autorités chargées de l'application de la loi.
Pour faire face aux risques liés à l'ouverture de compte à distance, la HKMA impose des contrôles à plusieurs niveaux. Les banques doivent vérifier l'identité des clients à l'aide de solutions technologiques qui contrôlent l'authenticité de la carte d'identité et utiliser la technologie de reconnaissance faciale pour confirmer que le demandeur correspond au document d'identité. En 2023, la HKMA a publié des directives spécifiques exigeant des banques qu'elles affichent des messages clairs à l'écran lors des procédures d'ouverture de compte à distance. Ces invites doivent informer explicitement les demandeurs que les selfies ou tests de présence collectés sont effectués spécifiquement à des fins d'ouverture de compte, garantissant ainsi que les demandeurs ont pleinement conscience du contexte.
Afin d'atténuer les risques liés à l'interception des mots de passe à usage unique (OTP) par SMS par des fraudeurs, les banques ont mis en œuvre l'« authentification In-app » conformément aux exigences de la HKMA. Les clients qui installent l'application mobile d'une banque doivent s'authentifier via l'application lorsqu'ils se connectent aux services bancaires par Internet ou effectuent des opérations à haut risque, telles que l'ajout de nouveaux bénéficiaires, l'augmentation des limites de virement ou la modification des numéros de téléphone pour les messages bancaires. De plus, la liaison des comptes bancaires par Internet à des appareils mobiles nécessite la réussite d'une vérification par reconnaissance faciale, réduisant ainsi la dépendance aux OTP par SMS.
Concernant l'accès aux données de télécommunications, le gouvernement a précisé que l'accès aux données d'enregistrement sous nom réel des cartes SIM est strictement limité par les articles 12 et 13 du règlement sur les télécommunications (enregistrement des cartes SIM) (cap. 106AI). En vertu de ce règlement, les opérateurs de télécommunications sont autorisés à fournir des enregistrements d'utilisateurs uniquement aux agents d'application de la loi d'organismes désignés pour enquêter sur des crimes ou les prévenir. Le règlement n'autorise pas les banques ou d'autres organisations à accéder aux dossiers d'enregistrement des utilisateurs. Les banques réduisant progressivement leur dépendance aux OTP par SMS, le gouvernement a confirmé qu'il ne prévoyait pas d'autoriser les banques à accéder aux données d'enregistrement des cartes SIM.
Les contre-mesures techniques supplémentaires incluent l'initiative « e-Banking Security ABCD » d'août 2025 de la HKMA, qui a introduit les meilleures pratiques de « détection de deepfakes » pour les processus de reconnaissance faciale lors de l'ouverture de compte à distance et des transactions en ligne à haut risque. En outre, la HKMA travaille avec le Bureau de la politique numérique et le secteur bancaire pour intégrer la fonction d'authentification renforcée de « iAM Smart » dans les procédures critiques. L'utilisation de la reconnaissance faciale associée à la lecture de la puce de la carte d'identité est conçue pour empêcher les fraudeurs d'utiliser des documents d'identité volés ou falsifiés, la première phase de test pour l'ouverture de compte à distance étant déjà en cours.
### Implications pratiques
Pour les banques opérant dans la RAE de Hong Kong, les attentes réglementaires imposent des améliorations continues des interfaces d'intégration à distance, notamment des invites de contexte claires et obligatoires lors des vérifications de présence et des défenses avancées de reconnaissance faciale contre les deepfakes. Les banques doivent également poursuivre leur transition pour délaisser la dépendance aux OTP par SMS au profit de l'authentification In-app et de l'appairage biométrique des appareils.
Pour le grand public, les processus d'ouverture de compte comporteront de plus en plus d'invites explicites sur le contexte lors des contrôles biométriques ainsi qu'une intégration potentielle de la vérification d'identité « iAM Smart », combinant l'authentification par la puce de la carte physique et le scanner facial.
### Foire aux questions
**Question 1 : Les banques de la RAE de Hong Kong sont-elles autorisées à accéder à la base de données d'enregistrement sous nom réel des cartes SIM pour vérifier les demandeurs de compte ?**
Réponse : Non. En vertu des articles 12 et 13 du règlement sur les télécommunications (enregistrement des cartes SIM) (cap. 106AI), les opérateurs de télécommunications sont uniquement autorisés à divulguer les enregistrements d'inscription des utilisateurs aux agents d'application de la loi d'organismes désignés à des fins d'enquête ou de prévention des infractions. Les banques ne sont pas autorisées à accéder à ces données et le gouvernement n'a actuellement aucun projet de leur en accorder l'accès.
**Question 2 : Quelles mesures la HKMA a-t-elle introduites en 2023 concernant les écrans d'ouverture de compte à distance ?**
Réponse : En 2023, la HKMA a publié des directives rappelant aux banques d'adopter des mesures appropriées lors de l'ouverture de compte à distance, notamment l'affichage de messages clairs à l'écran informant les demandeurs que les selfies ou les tests de présence sont effectués spécifiquement à des fins d'ouverture de compte.
**Question 3 : Comment le gouvernement utilise-t-il « iAM Smart » pour renforcer la sécurité de l'ouverture de comptes bancaires à distance ?**
Réponse : La HKMA collabore avec le Bureau de la politique numérique et le secteur bancaire pour intégrer la fonction d'authentification renforcée de « iAM Smart » dans l'ouverture de compte à distance. Cette fonction utilise la reconnaissance faciale et la lecture de la puce de la carte d'identité pour empêcher l'utilisation de documents d'identité falsifiés ou volés. La première phase de test a commencé.
**Question 4 : Qu'est-ce que « e-Banking Security ABCD » annoncé par la HKMA ?**
Réponse : Annoncée en août 2025, l'initiative « e-Banking Security ABCD » est un ensemble de mesures lancées par la HKMA pour renforcer la sécurité des services bancaires par Internet. Elle comprend des directives sur la « détection des deepfakes » visant à partager de bonnes pratiques avec les banques pour se défendre contre les attaques par deepfake lors des processus de reconnaissance faciale.
Qui peut être concerné
Banques autorisées, clients de la banque par Internet, candidats de la fintech et opérateurs de télécommunications dans la RAE de Hong Kong.
Contexte transfrontalier
S'applique aux institutions financières exerçant leurs activités dans la RAS de Hong Kong et aux personnes physiques tentant d'ouvrir un compte à distance dans cette juridiction.
Points à vérifier ensuite
- État d'avancement et résultats des tests d'authentification renforcée « iAM Smart » pour l'ouverture de compte à distance.
- Circulaires et documents d'orientation de la HKMA concernant la « e-Banking Security ABCD » et les contrôles d'ouverture de compte à distance.
Cet article fournit des informations générales et ne constitue pas un conseil juridique. Consultez le texte officiel et obtenez des conseils adaptés à votre situation si nécessaire.