Notice 2176 de la CBUAE : prouvez que votre application bancaire mobile résiste à la fraude.
La loi des Émirats arabes unis fait d'une prévention et d'une détection robustes de la fraude une obligation légale pour les institutions financières agréées, et la Notice 2176 de la Banque centrale porte sur la fraude à la banque mobile. Les règles publiques de la CBUAE fixent déjà des attentes en matière d'authentification, de sessions, d'API, de protections de l'appareil et de tests. Ostorlab teste le comportement des défenses de votre application sur des appareils rootés et jailbreakés, derrière la connexion et dans les API qui font circuler l'argent.
- Vérifie la détection du root et du jailbreak, l'anti-altération et l'anti-instrumentation, ainsi que la réaction de l'application lorsqu'elles se déclenchent
- Teste la connexion, les codes à usage unique, les vérifications d'authentification renforcée et la gestion des sessions avec vos comptes de test
- Suit l'application jusqu'aux API de paiement, même avec TLS pinning
- Prouve chaque défaillance par des preuves de contournement ou un exploit rejouable
- Qui est concerné
- Les institutions financières agréées aux Émirats arabes unis
- Base juridique
- Décret-loi fédéral n° 6 de 2025, article 149, en vigueur depuis le 16 septembre 2025
- Objet de la Notice 2176
- La fraude à la banque mobile
- Statut de la notice
- Non publiée dans le CBUAE Rulebook public
Les règles de la CBUAE qui encadrent le canal mobile
La Notice 2176 s'ajoute à des règles en vigueur depuis des années. Les dates ci-dessous concernent les textes publics cités sur cette page.
- 30 octobre 2020
Règlement SVF
Des règles sur le risque technologique pour les dispositifs de valeur stockée (SVF), qui s'appliquent aussi aux banques agréées exerçant une activité de valeur stockée.
- 6 juin 2021
Règlement sur les services de paiement de détail
Des règles sur le risque technologique, l'authentification et les sessions pour les prestataires de services de paiement, avec des recommandations de bonnes pratiques à l'annexe II.
- 15 novembre 2021
Lignes directrices sur les technologies habilitantes
Des recommandations sur les API, notamment sur l'authentification, l'authentification multifacteur et des tests indépendants annuels.
- 16 septembre 2025
Décret-loi fédéral n° 6 de 2025
L'article 149 fait d'une prévention et d'une détection robustes de la fraude une obligation légale pour les institutions financières agréées.
- Date non publique
Notice 2176
Des actions contre la fraude à la banque mobile pour les institutions supervisées. La notice n'est pas publiée dans le Rulebook public.
- Chaque trimestre
Reporting à la CBUAE
Les réclamations liées à la fraude et les vulnérabilités apparentes des systèmes de sécurité et en ligne font l'objet d'un reporting trimestriel, et un rapport sur la fraude est remis chaque année au plus tard le 31 janvier.
Les règles antifraude et de sécurité de la CBUAE, appliquées à votre application mobile
La Notice 2176 s'ajoute aux règles publiques de la CBUAE sur la fraude, la protection des consommateurs, les paiements et le risque technologique. Pour chaque règle : ce que dit le texte, ce que cela implique pour une application bancaire mobile, comment Ostorlab vous aide et ce qui reste du ressort de votre équipe.
- Décret-loi fédéral n° 6 de 2025, article 149
Mettre en place une prévention et une détection robustes de la fraude
Ce que dit le texte
Les institutions financières agréées doivent mettre en œuvre des mécanismes robustes de prévention et de détection de la fraude pour protéger leurs clients contre les transactions non autorisées, l'ingénierie sociale, l'usurpation d'identité et les autres formes de fraude. La CBUAE peut fixer des normes de sécurité minimales pour la banque numérique, y compris des protocoles d'authentification, et les institutions doivent mettre en œuvre les mesures préventives qu'elle prescrit dans les délais qu'elle fixe.
Ce que cela implique pour votre application mobile
La prévention de la fraude est une obligation légale, et la CBUAE fixe les contrôles minimaux. Pour la plupart des banques, c'est dans l'application mobile que les clients s'authentifient et paient : c'est donc là que se trouvent nombre de ces contrôles.
Comment Ostorlab vous aide
Ostorlab teste les contrôles antifraude présents dans l'application et ses API : authentification, vérifications d'authentification renforcée, gestion des sessions, protections de l'appareil et logique métier des paiements.
Ce qui reste de votre ressort
La surveillance des transactions, les opérations antifraude et le respect des délais fixés par la CBUAE.
- Normes de protection des consommateurs (Consumer Protection Standards), articles 6.1.1.4 et 6.1.1.8
Sécuriser chaque canal de distribution
Ce que dit le texte
Offrez un environnement sûr, sécurisé et confidentiel dans tous les canaux de distribution. Sécurisez le traitement et les contrôles des transactions numériques, mettez en œuvre une surveillance détaillée des activités et renforcez les méthodes d'identification des consommateurs conformément aux exigences de la Banque centrale en matière de renforcement des canaux numériques.
Source :Normes de protection des consommateurs (Consumer Protection Standards), articles 6.1.1.4 et 6.1.1.8
Ce que cela implique pour votre application mobile
L'application mobile est un canal de distribution. Les données qu'elle stocke et transmet, et les transactions qu'elle initie, doivent être protégées de l'appareil jusqu'au backend.
Comment Ostorlab vous aide
Ostorlab recherche les jetons de session et les données personnelles dans le stockage local, les caches, les journaux et les captures d'écran, détecte les erreurs de configuration qui affaiblissent la protection du transport et des sessions, et teste les API derrière les transactions.
Ce qui reste de votre ressort
La surveillance des activités et les méthodes d'identification que vous choisissez.
- Normes de protection des consommateurs (Consumer Protection Standards), article 6.1.1.7 ; Règlement sur les services de paiement de détail et les schémas de cartes, article 13
Authentifier de manière forte, et à nouveau pour les actions à haut risque
Ce que dit le texte
Appliquez plus d'un élément de vérification d'identité pour les services électroniques. Pour les prestataires de services de paiement, l'authentification multifacteur est requise pour les transactions à haut risque, avec une nouvelle authentification, par exemple à deux facteurs, avant chacune d'elles, y compris pour les paiements dépassant des plafonds prédéfinis et les modifications des coordonnées personnelles.
Ce que cela implique pour votre application mobile
Les vérifications d'authentification renforcée lors de la modification d'un bénéficiaire, du relèvement d'un plafond ou du changement de coordonnées sont les contrôles que les fraudeurs cherchent à contourner. Elles doivent tenir côté serveur, quoi que l'application envoie.
Comment Ostorlab vous aide
Ostorlab saisit les codes à usage unique reçus par SMS, e-mail ou TOTP avec vos comptes de test et teste l'application effective de la MFA et les parcours d'authentification renforcée, y compris les tentatives de manipulation par un attaquant, ainsi que les appels d'API derrière les modifications de compte.
Ce qui reste de votre ressort
Le choix des méthodes d'authentification et la fixation des plafonds de transaction.
- Règlement sur les services de paiement de détail et les schémas de cartes, article 13
Limiter les tentatives de connexion, les sessions et la validité des mots de passe à usage unique
Ce que dit le texte
Limitez le nombre de tentatives de connexion et d'authentification, mettez en œuvre des contrôles d'expiration de session et des durées de validité de l'authentification, limitez la validité des mots de passe à usage unique au strict minimum nécessaire, et chiffrez les mots de passe de bout en bout entre l'application mobile et le système qui les vérifie.
Source :Règlement sur les services de paiement de détail et les schémas de cartes, article 13
Ce que cela implique pour votre application mobile
Ce sont des paramètres concrets et testables : verrouillage après des tentatives échouées, expiration des sessions, durée de vie et rejeu des mots de passe à usage unique, et protection des mots de passe en transit.
Comment Ostorlab vous aide
Les tests authentifiés couvrent la connexion et la déconnexion, le renouvellement des jetons, les délais d'expiration, l'invalidation des sessions et l'application effective de la MFA, et l'analyse du trafic montre comment les identifiants transitent de l'application vers le backend.
Ce qui reste de votre ressort
Les valeurs de la politique elles-mêmes, comme le seuil de verrouillage et la durée de vie des mots de passe à usage unique.
- Règlement sur les services de paiement de détail et les schémas de cartes, annexe II
Considérer les appareils des clients comme exposés
Ce que dit le texte
Les recommandations de la CBUAE aux prestataires de services de paiement indiquent qu'il convient de partir du principe que les appareils des clients sont exposés à des vulnérabilités de sécurité, avec des mesures contre l'accès non autorisé aux appareils, les malwares, les appareils mobiles compromis ou non sécurisés et les applications mobiles non autorisées.
Source :Règlement sur les services de paiement de détail et les schémas de cartes, annexe II
Ce que cela implique pour votre application mobile
Les téléphones rootés, les applications ré-empaquetées et les outils de hooking à l'exécution sont les conditions dans lesquelles opèrent les malwares bancaires. Les protections devraient réagir, et pas seulement détecter.
Comment Ostorlab vous aide
Mobile Shielding Scan exécute l'application dans des environnements rootés et jailbreakés, tente de contourner la détection du root et du jailbreak, l'anti-altération, l'anti-instrumentation et le TLS pinning, et montre si l'application bloque le parcours, refuse de démarrer ou continue de fonctionner. Vous obtenez un score de durcissement et des preuves de contournement.
Ce qui reste de votre ressort
Le choix et la configuration de votre produit de blindage ou de protection à l'exécution.
- Lignes directrices pour les institutions financières adoptant des technologies habilitantes (Guidelines for Financial Institutions Adopting Enabling Technologies), API : conception, 3.11 à 3.18
Sécuriser vos API et les faire tester de manière indépendante chaque année
Ce que dit le texte
Recourez à la gestion des accès et à l'authentification pour que seules les parties autorisées accèdent aux ressources des API, et mettez en œuvre une authentification qui empêche les attaquants de compromettre les jetons ou d'usurper l'identité d'autres utilisateurs. Utilisez l'authentification multifacteur lors du premier accès d'un client à un service en ligne qui utilise des API, séparez les rôles d'administrateur et d'utilisateur, et limitez la taille ou le nombre de ressources qu'un utilisateur peut demander. Une fonction indépendante ou un expert externe devrait réaliser des évaluations de vulnérabilité et des tests d'intrusion au moins une fois par an.
Ce que cela implique pour votre application mobile
Les API derrière l'application exigent le même examen que l'application : au moins une fois par an par une partie indépendante, et idéalement à chaque version.
Comment Ostorlab vous aide
Ostorlab intercepte le trafic de l'application, même avec TLS pinning, et teste les API à la recherche de contrôles d'autorisation défaillants (BOLA, BFLA, IDOR), d'usages abusifs des jetons et des sessions, et d'abus comme l'énumération, le rejeu et l'automatisation, avec les requêtes et réponses à l'appui de chaque résultat.
Ce qui reste de votre ressort
Le choix de l'intervenant chargé de l'évaluation indépendante annuelle, et la conception des API.
- Règlement SVF, article 12 ; Règlement sur les services de paiement de détail et les schémas de cartes, annexe II
Revoir le code et tester avant la mise en production
Ce que dit le texte
Adoptez des normes de développement sécurisé et des revues de code source fondées sur les risques, y compris par analyse automatisée. Seuls des systèmes correctement testés et approuvés devraient passer en production, avec des tests couvrant la logique métier et les contrôles de sécurité. Utilisez des outils automatisés et des techniques manuelles pour des évaluations de vulnérabilité régulières, et évaluez régulièrement la nécessité de tests d'intrusion et de simulations de cyberattaques.
Ce que cela implique pour votre application mobile
Chaque version de l'application devrait passer des tests de sécurité automatisés avant d'arriver sur le store, avec des tests plus approfondis pour les changements à haut risque.
Comment Ostorlab vous aide
Mobile SAST analyse le binaire, y compris les SDK intégrés, et Mobile DAST teste l'application en cours d'exécution ; les deux s'exécutent dans votre CI/CD. Le pentest par agents IA teste la logique métier des parcours de paiement et de gestion de compte.
Ce qui reste de votre ressort
Les revues manuelles, les tests d'acceptation utilisateur, la séparation des tâches et l'approbation des mises en production.
- Normes de protection des consommateurs (Consumer Protection Standards), articles 5.1.1.45, 6.2.1.11 et 6.2.3.3
Pouvoir démontrer que vos contrôles étaient sécurisés
Ce que dit le texte
Les transactions sont réputées autorisées si des procédures de validation appropriées et sécurisées ont été appliquées, sauf si le consommateur peut faire valoir un doute raisonnable. Les institutions peuvent être tenues responsables des pertes directes causées par des failles de leurs contrôles de sécurité, et doivent signaler chaque trimestre à la Banque centrale les vulnérabilités apparentes de leurs systèmes de sécurité et en ligne.
Ce que cela implique pour votre application mobile
Lorsqu'une transaction est contestée ou qu'une demande d'indemnisation arrive, il importe de pouvoir montrer que vos procédures de validation étaient sécurisées et testées.
Comment Ostorlab vous aide
Les résultats de scan, les vulnérabilités détectées avec leurs étapes de reproduction et les résultats de retest vous donnent une trace datée de la manière dont les contrôles de l'application ont été testés et corrigés, version après version.
Ce qui reste de votre ressort
Le processus de traitement des contestations, les rapports trimestriels et l'analyse juridique.
- Notice 2176 de la CBUAE, non accessible au public
Notice 2176 : agir contre la fraude à la banque mobile
Ce que dit le texte
La Notice 2176 définit des actions contre la fraude à la banque mobile pour les institutions supervisées par la CBUAE. Elle n'est pas publiée dans le CBUAE Rulebook public, cette page ne la cite donc pas.
Source :Notice 2176 de la CBUAE, non accessible au public
Ce que cela implique pour votre application mobile
Traitez chaque point de la notice comme les règles publiques ci-dessus : rattachez-le à un contrôle dans l'application ou le backend, à un test et à un responsable.
Comment Ostorlab vous aide
Une fois la notice mise en correspondance avec vos contrôles, Ostorlab peut tester les contrôles de l'application et des API qu'elle couvre et vous fournir des preuves pour chacun d'eux.
Ce qui reste de votre ressort
La lecture de la notice, sa mise en correspondance avec vos contrôles et le reporting à la CBUAE.
Synthèse des textes publics de la CBUAE, vérifiés le 27 septembre 2026. Certains textes s'appliquent à des types de licences spécifiques, comme indiqué. Cette page ne constitue pas un avis juridique.
Les règles de la CBUAE, contrôle par contrôle
Les contrôles visés par les textes publics de la CBUAE, la manière dont Ostorlab les teste dans votre application et ses API, et les preuves que vous pouvez conserver.
| Contrôle | Comment Ostorlab vous aide | Preuves conservées |
|---|---|---|
| Protections contre les appareils compromisPaiements de détail, annexe II | Exécute l'application dans des environnements rootés et jailbreakés et tente de contourner la détection du root et du jailbreak. Détails | Score de durcissement, et preuves de contournement pour chaque protection qui a échoué |
| Protections contre l'altération et le ré-empaquetagePaiements de détail, annexe II | Modifie le binaire et vérifie si l'application bloque l'exécution. Détails | Résultat réussite/échec pour l'anti-altération |
| Protections contre le hooking à l'exécutionPaiements de détail, annexe II | Injecte des débogueurs et des hooks et adapte sa tentative pour contourner les défenses anti-instrumentation. Détails | Preuves des protections qui ont tenu et de celles qui ont été contournées |
| Authentification multifacteur et nouvelle authentification pour les actions à haut risqueCPS 6.1.1.7 ; paiements de détail, art. 13 | Se connecte avec des codes à usage unique et teste l'application effective de la MFA, les parcours d'authentification renforcée et les appels d'API qui les sous-tendent. Détails | Résultats sur les parcours de connexion et d'authentification renforcée, avec étapes de reproduction |
| Tentatives de connexion, expiration des sessions et validité des mots de passe à usage uniquePaiements de détail, art. 13 | Teste la connexion et la déconnexion, le renouvellement des jetons, les délais d'expiration et l'invalidation des sessions. Détails | Résultats sur les sessions et les jetons, avec journaux des requêtes et réponses |
| Authentification des API, sécurité des jetons et contrôle d'accèsTechnologies habilitantes, 3.11 à 3.17 | Intercepte le trafic même avec TLS pinning et teste les autorisations, les usages abusifs des jetons et les abus comme l'énumération et le rejeu. Détails | Requêtes et réponses à l'appui de chaque résultat d'API |
| Protection des données sur l'appareil et en transitCPS 6.1.1.4 | Recherche les jetons et les données personnelles dans le stockage, les caches, les journaux et les captures d'écran, et vérifie la protection du transport. Détails | Preuves sur le système de fichiers montrant ce qui a été écrit, où et quand |
| Revue de code et tests avant la mise en productionSVF, art. 12 ; paiements de détail, annexe II | Mobile SAST et DAST dans la CI/CD, et un pentest par agents IA de la logique métier. Détails | Résultats de scan pour chaque build, et un exploit rejouable pour chaque résultat d'un agent IA |
| Identifiants codés en dur dans l'applicationCPS 6.1.1.4 | Détecte les clés d'API, jetons et identifiants dans le package de l'application et vérifie s'ils sont fonctionnels. Détails | Secrets validés, avec les permissions et les services qu'ils exposent |
| Une trace de contrôles sécurisés et testésCPS 5.1.1.45, 6.2.1.11, 6.2.3.3 | Conserve les résultats de scan, les tickets et les retests pour chaque version. | Historique daté des scans, tickets et résultats de retest |
Ostorlab teste les contrôles de l'application et de ses API. La surveillance des transactions, les opérations antifraude, la sensibilisation des clients et le reporting à la CBUAE restent du ressort de vos équipes.
Les contrôles antifraude mobiles à tester dans votre application
Une liste pratique pour les équipes sécurité et antifraude. Utilisez-la avec l'exemplaire de la Notice 2176 de votre institution.
Appareils compromis
Exécutez l'application sur des appareils rootés et jailbreakés, et vérifiez que les protections se déclenchent et que l'application réagit.
Applications ré-empaquetées et hookées
Essayez un build modifié et des hooks à l'exécution, et confirmez que l'application refuse de s'exécuter ou bloque les parcours sensibles.
Authentification renforcée pour les actions à haut risque
Vérifiez que l'ajout d'un bénéficiaire, la modification des coordonnées et le dépassement des plafonds exigent tous une nouvelle authentification, imposée par le serveur.
Paramètres de connexion et de mots de passe à usage unique
Vérifiez le verrouillage après des tentatives échouées, l'expiration des sessions, la durée de vie des mots de passe à usage unique et la protection contre le rejeu.
API derrière les paiements
Testez les autorisations sur chaque API de paiement et de compte, y compris les requêtes portant sur les données d'autres clients et les requêtes répétées.
Données laissées sur l'appareil
Recherchez les jetons et les données personnelles dans le stockage, les caches, les journaux et les captures d'écran, ainsi que les identifiants codés en dur dans l'application.
Test indépendant annuel
Planifiez l'évaluation de vulnérabilité et le test d'intrusion indépendants de vos API, au moins une fois par an, que prévoient les lignes directrices sur les technologies habilitantes.
Preuves pour le reporting
Conservez les résultats et les retests de chaque version, à l'appui du reporting trimestriel et du traitement des transactions contestées.
Une liste indicative, et non un modèle de la CBUAE. Ceci ne constitue pas un avis juridique.
Les capacités associées à cette page
Chacune a sa propre page détaillée.
- Mobile Shielding ScanTestez à l'exécution la détection du root et du jailbreak, l'anti-altération et le pinning, et voyez quelles protections ont tenu et lesquelles ont été contournées.En savoir plus
- Mobile Agentic Deep ScanDes agents IA pentestent la version publiée à chaque release, avec un exploit fonctionnel à rejouer pour chaque résultat d'un agent IA.En savoir plus
- Tests authentifiésTestez la connexion, les codes à usage unique et les parcours d'authentification renforcée avec vos comptes de test.En savoir plus
- Tests des API et du backendInterceptez le trafic de l'application même avec TLS pinning, puis testez les API et backends derrière les comptes et les paiements.En savoir plus
- Mobile SASTAnalyse statique des binaires APK, AAB et IPA, avec analyse de propagation (taint) sur l'application et ses SDK intégrés.En savoir plus
- SCA et SBOMDétectez les dépendances vulnérables, y compris les bibliothèques natives compilées statiquement, et suivez leur résolution version après version.En savoir plus
- Votre propre clé IALancez les scans par agents IA avec la clé de votre fournisseur d'IA et un plafond de dépense par scan, pour respecter vos politiques internes.En savoir plus
- Scan on-premisesScannez les applications de préproduction, API et dépôts derrière votre pare-feu ou VPN, sur une infrastructure que vous contrôlez.En savoir plus
Des banques et fintechs nous font confiance, dont
Sources
Les textes officiels sur lesquels s'appuie cette page, vérifiés le 27 septembre 2026.
- CBUAE Rulebook: Federal Decree-Law No. (6) of 2025, Article (149) Fraud PreventionS'applique à toutes les institutions financières agréées, à compter du 16 septembre 2025
- CBUAE Rulebook: Consumer Protection Standards, Article 5: Business ConductComprend les règles relatives aux transactions non autorisées (5.1.1.43 à 5.1.1.46)
- CBUAE Rulebook: Consumer Protection Standards, Article 6: Protection of Consumer Data and AssetsCanaux de distribution sécurisés, vérification d'identité, détection de la fraude, responsabilité et reporting trimestriel
- CBUAE Rulebook: Retail Payment Services and Card Schemes Regulation, Article (13) Technology Risk and Information SecurityRègles contraignantes pour les prestataires de services de paiement sur l'authentification, les sessions, les API et les tests d'intrusion, applicables depuis le 6 juin 2021
- CBUAE Rulebook: Retail Payment Services and Card Schemes Regulation, Annex IIRecommandations sur les bonnes pratiques en matière de risque technologique et de sécurité de l'information pour les prestataires de services de paiement
- CBUAE Rulebook: Stored Value Facilities Regulation, Article (12) Technology and Specific Risk ManagementS'applique aussi aux banques agréées exerçant une activité de valeur stockée, applicable depuis le 30 octobre 2020
- CBUAE Rulebook: Guidelines for Financial Institutions Adopting Enabling Technologies, APIs: DesignAuthentification des API, contrôle d'accès et tests indépendants annuels, publiées le 15 novembre 2021
- Notice 2176 de la CBUAEAdressée aux institutions supervisées et non publiée dans le CBUAE Rulebook public ; elle n'est donc pas citée sur cette page
Questions fréquentes
Des réponses claires sur la couverture, la mise en place et la façon dont les résultats parviennent à vos équipes.
Vous ne trouvez pas votre réponse ? Réservez une démo ou contactez-nous.
Vérifiez les défenses antifraude de votre application bancaire mobile
Commencez par un scan gratuit de votre application depuis le store, ou réservez une démo pour lancer des tests de blindage et des tests authentifiés avec notre équipe.