fr
fr

Interactive Brokers et sécurité : YubiKey, passkeys et la protection anti-fraude à activer d'urgence

Fraude ACATS sur Interactive Brokers : comprenez les risques de transfert frauduleux, découvrez comment activer le Transfer Lock et configurez les Passkeys en seulement 2 minutes pour mieux protéger votre portefeuille et vos actifs.

10/2/20264 min temps de lecture

Si vous avez un compte chez Interactive Brokers — et pas mal de lecteurs d'Objectif Chypre en ont un, pour loger leurs investissements pendant leur expatriation — il y a un réglage de sécurité que vous devriez activer aujourd'hui, pas la semaine prochaine. Pas parce qu'IBKR est un mauvais broker, bien au contraire, c'est probablement l'un des plus sérieux du marché. Mais parce qu'une faille assez vicieuse, liée au système américain de transfert de comptes-titres, a refait surface récemment. Je vous explique ce que c'est, pourquoi il ne faut pas paniquer, et surtout comment la neutraliser en moins de deux minutes.

La fraude ACATS, c'est quoi exactement ?

ACATS (Automated Customer Account Transfer Service) est un système américain qui permet de transférer automatiquement un portefeuille d'un broker à un autre, en quelques jours, sans intervention humaine. Pratique quand c'est vous qui faites la demande. Beaucoup moins quand c'est quelqu'un d'autre qui usurpe votre identité.

Voici le scénario qui a été documenté à plusieurs reprises : un fraudeur récupère suffisamment d'informations sur vous (nom, adresse, numéro de sécu américain pour les citoyens US, etc.) pour ouvrir un compte à votre nom chez un petit broker américain peu regardant sur les vérifications. Ensuite, s'il met aussi la main sur votre numéro de compte Interactive Brokers, il peut déclencher un transfert ACATS qui va vider votre portefeuille IBKR vers ce compte frauduleux — en trois jours, parfois sans que vous soyez prévenu avant que ce soit fait.

C'est rare. Je ne veux pas que vous arrêtiez de dormir ce soir. Mais c'est à fort impact : si ça vous arrive, c'est tout votre portefeuille qui part. Et ce type de fraude ne fonctionne quasiment que sur les brokers américains — les transferts internationaux impliquant des courtiers hors US demandent des vérifications manuelles qui vous laisseraient le temps de réagir.

La solution : activer le Transfer Lock

La bonne nouvelle, c'est qu'Interactive Brokers propose un verrou spécifique pour ça, et il est gratuit et rapide à activer.

Voici comment faire :

  • Cliquez sur l'icône personnage en haut à droite de votre interface IBKR

  • Allez dans Settings

  • Dans la colonne de droite, sous Security, cliquez sur Transfer Lock

  • Activez-le

Une fois activé, plus aucun transfert ACATS ne peut sortir de votre compte sans que vous leviez vous-même ce verrou. C'est à mon avis le réglage de sécurité le plus sous-estimé chez IBKR, et pourtant l'un des plus efficaces.

Autres bons réflexes à adopter

  • Vérifiez vos relevés régulièrement, pas une fois par an

  • Activez les alertes de transfert si votre broker les propose

  • Protégez votre numéro de compte comme un mot de passe — c'est la pièce qui manque au fraudeur pour déclencher le transfert

  • Soyez suspicieux si vous recevez un courrier ou un email d'un broker que vous n'utilisez pas : cela peut signifier qu'un compte a été ouvert à votre nom ailleurs

Et côté authentification, que choisir ?

Depuis peu, Interactive Brokers permet d'activer des passkeys, et c'est une excellente nouvelle. Mon avis personnel : privilégiez une clé physique type YubiKey plutôt que l'authentification classique par code SMS ou app. Je n'ai ''plus'' aucun lien avec Yubico, mais c'est aujourd'hui ce qui se fait de plus robuste en matière d'authentification forte — bien au-dessus du MFA classique. L'authentification via l'application mobile reste correcte si vous n'avez pas de clé physique, mais si vous devez choisir, la YubiKey est à mon sens l'option la plus sûre (et une deuxieme en backup).

Et le risque de virement vers un faux compte bancaire ?

C'est une autre crainte fréquente : et si quelqu'un détournait de l'argent vers un compte bancaire frauduleux directement depuis IBKR ? En pratique, c'est plus difficile à mettre en œuvre que la fraude ACATS, car il faudrait à la fois créer un faux compte bancaire et pirater vos identifiants IBKR avec la double authentification. Honnêtement, je m'inquiéterais bien davantage d'un piratage de votre compte courant dans votre banque locale — c'est statistiquement un risque plus probable que celui-ci.

À retenir

  • La fraude ACATS permet de transférer tout un portefeuille vers un broker frauduleux en 3 jours, souvent sans alerte préalable

  • Elle ne concerne quasiment que les brokers américains

  • Activer le Transfer Lock dans Settings > Security bloque totalement ce risque

  • Privilégiez une YubiKey (et une deuxieme en backup) plutôt qu'un MFA classique pour l'authentification

  • Le risque de virement bancaire frauduleux est plus difficile à exécuter que la fraude ACATS

FAQ

Le Transfer Lock a-t-il un coût chez Interactive Brokers ? Non, c'est une fonctionnalité de sécurité gratuite, à vérifier cependant dans votre interface au moment où vous lisez cet article, IBKR pouvant faire évoluer ses menus.

Si j'active le Transfer Lock, puis-je quand même transférer mon compte un jour ? Oui, il suffit de désactiver temporairement le verrou avant d'initier un transfert volontaire.

Les passkeys et YubiKey remplacent-ils complètement le mot de passe ? Cela dépend de la configuration choisie, à vérifier directement dans les paramètres de sécurité de votre compte IBKR.

Ce risque concerne-t-il aussi les comptes IBKR ouverts depuis l'étranger ? Le risque ACATS vise surtout les transferts entre brokers américains. Si vous avez ouvert votre compte IBKR depuis Chypre ou ailleurs en Europe, le risque existe mais reste plus limité, à confirmer selon votre entité IBKR de rattachement.

Dois-je m'inquiéter si j'ai un compte IBKR aujourd'hui ? Pas de panique, mais activez le Transfer Lock dès aujourd'hui, c'est l'affaire de deux minutes.

Conclusion

Interactive Brokers reste, à mon avis, l'un des courtiers les plus sérieux pour loger ses investissements en expatriation. Cette histoire d'ACATS n'est pas une raison de fuir la plateforme, c'est simplement une faille de nature systémique qu'il suffit de colmater une bonne fois pour toutes. Deux minutes aujourd'hui pour épargner des mois de tracas si jamais vous tombiez sur la mauvaise personne au mauvais moment, ça me semble un calcul plutôt simple.

Vous n'avez par encore de compte chez Interactive Brokers (IBKR), lisez mon article ici: IBKR

Vous avez des questions sur la gestion de vos investissements depuis Chypre ou sur votre installation sur l'île ? L'équipe d'Objectif Chypre est là pour en discuter avec vous.