Securite ou connerie ?

Désolé d'être grossier mais parfois mes semblables (informaticiens et autres) ont des idées tordues.
Je suppose que vous êtes, comme moi, abonné pour gérer vos comptes personnel ou professionnel aux services Internet de votre prestataire financier préféré. Pour moi c'est La Poste (fils de postiers => on y échappe pas et jusqu'à maintenant, la Poste ne nous prenait pas trop pour des vaches à lait) et ING Direct (il fut un temps où leur livret était mieux rémunéré que le célébrissime livret A ).
Les deux établissements bancaires viennent de faire coup sur coup le changement sans crier gare. Je parle évidemment du fameux clavier virtuel mis en place sur la page de connexion. Je ne vous parle de celui-ci (pour les technophiles avertis uniquement) mais de ceux-ci.

Vous saisissez votre code en passant la souris sur les chiffres du clavier virtuel. Le positionnement des chiffres changent à chaque nouvel essai. ING Direct fait encore plus fort en mettant deux chiffres sur six et l'internaute doit compléter les cases vides. Résultat des courses : lors de deux changements, j'ai bloqué mon compte au bout de 3 tentatives et j'ai du appeler la hot-line (gratuite pour ING Direct et payante pour La Poste). Je me doute que les sites bancaires ou établissements financiers doivent faire l'objet d'attaques incessantes, de tentatives d'intrusion maisj'ai toujours retenu que la faille sécuritaire la plus importante est  le fait de l'inattention ou de la bétise humaine (le fameux post-it avec le mot de passe collé sur l'écran ou sous le clavier). Alors, ne peut on pas tout simplement obligé les clients à codifier leur mot de passe sur un nombre de caractères plus important, les obliger à le renouveller plus souvent ? D'un point de vue CRM, celà ne me semble pas aberrant ou tout du moins beaucoup moins que mon ami "le clavier virtuel". De plus, je trouve que ces changements font preuve d'un manque d'information vers le client flagrant (ex: pour ING Direct, je n'avais pas compris car nullement signalé qu'il fallait saisir uniquement les 4 chiffres manquants). La solution de la Poste est encore plus sujette aux erreurs. Le simple survol par la souris équivaut à un click et la présentation des chiffres varie à chaque tentative de connexion. Autant vous dire qu'il faut bien faire attention à ne pas survoler par inadvertance un chiffre du clavier virtuel sinon vous êtes bon pour le blocage de votre compte.

J'aimerai bien connaitre l'avis croisé des experts en sécurité informatique (Laurent Deséchalliers par exemple) et des experts en usability (Frédéric Cavazza par exemple et toutes les personnes qui se soucient de l'internaute avant tout : quand penserait le bon docteur Jakob ?). Car là, les deux aspects semblent particulièrement inconciliables non ?

Pour moi en tout cas, ces établissements se payent sur le dos de leurs clients des changements technologiques qui n'améliorent pas vraiment le problème. De la communication et du marketing avant une quelconque solution plus sécurisée ...

Bon allez je retourne à mes fourneaux ...

PS : Dossier Sécurité sur le site de La Poste

https://www.entreprises.labanquepostale.fr/tools/dossier/securite.html