Ecrans, un site de Libération.fr

Internet, terrain de chasse favori des fraudeurs à la carte bancaire

Si le taux général de fraude à la carte bancaire est en baisse en France, il augmente sur le Net. Les banques s’organisent pour trouver des parades.

tags : économie , sécurité , phishing

Bogdan Z CC

« Ah, c’est encore pour une fraude à la carte bancaire ? », soupire le fonctionnaire de l’accueil en tendant un formulaire. Dans ce commissariat parisien, les plaintes pour fraudes, encore rares il y a un an, sont désormais monnaie courante.

Selon le rapport publié la semaine dernière par l’Observatoire de la sécurité des cartes de paiement, si la fraude a diminué nettement chez les commerçants et aux distributeurs automatiques en 2007, elle augmente en revanche « significativement » sur les paiements à distance (par téléphone, courrier et surtout internet), qui ne nécessitent pas de code confidentiel.

Les paiements à distance représentent aujourd’hui 5% de la valeur des paiements mais concentrent 44% de la fraude. 50 millions d’euros ont ainsi été détournés en 2007, contre 33 millions en 2006. « C’est de plus en plus compliqué de frauder dans le monde réel. Pas étonnant que les fraudeurs exploitent le filon internet », observe Eric Flour, responsable des services monétiques à la Société générale.

« Certes, le volume de fraude sur les paiements à distance, et en particulier sur internet, augmente, mais cette progression est proportionnelle à l’augmentation du volume de transactions par carte bancaire », tempère Pierre Chassigneux, directeur des risques et de l’audit à l’observatoire de sécurité des cartes de paiement. « Inutile d’alarmer les Français. Le risque de fraude, en baisse depuis 2003, reste très minime, à 0,06% ». Soit six chances sur 10.000 d’avoir un trou inexpliqué sur son compte.

Sur internet, le problème ne vient généralement pas des dispositifs de paiement en ligne, très sécurisés. « Le risque est quasi-nul lorsque l’on achète sur les sites bien installés de vente en ligne de livres, disques, produits électroniques ou autres », prévient l’Observatoire.

Spyware, phishing et skimming

Mais les fraudeurs ont plusieurs cordes à leur arc pour récupérer les données des cartes bancaires. D’abord, l’utilisation d’un logiciel espion (spyware) qui récupère les numéros fréquemment tapés sur votre clavier. Une technique battue en brèche par les anti-virus. Certains sites ont aussi trouvé la parade en proposant aux clients de composer leur code sur un clavier qui s’affiche directement à l’écran.

Deuxième technique : des escrocs drainent les internautes vers des faux sites d’achat qui reproduisent l’interface d’une enseigne en en reprenant les couleurs et le logo pour piéger le client.

Troisième technique, toujours sur la toile : le « phishing », traduit en français par hameçonnage. Il s’agit de récupérer les données confidentielles en se faisant passer pour la banque. Exemple type : vous recevez un mail vous demandant, sous un prétexte de mise à jour, de rappeler votre numéro de carte, sa date d’expiration et son cryptogramme.

Dans le monde « réel », les fraudeurs pratiquent aussi le « skimming », qui consiste à installer sur un distributeur un dispositif de piratage capable de copier la piste magnétique des cartes en quelques secondes. Le fraudeur réencode ensuite la piste magnétique sur une carte vierge, et le tour est joué. A ce détail près que la carte piratée n’est utilisable qu’à l’étranger : en France la généralisation de la carte à puce protège de ce risque. Cette pratique est en recul.

Enfin, plus classique et toujours efficace, le commerçant (ou l’employé) qui recopie les données de la carte d’un client dans l’arrière-boutique, pour ensuite dépenser sur internet.

Un casse-tête pour les banques et les clients

Reste l’épineuse question de la responsabilité. La loi sur la sécurité quotidienne de 2001 prévoit qu’à partir du moment où l’on ne peut pas certifier l’identité de l’auteur du retrait, la banque est tenue de rembourser. Concrètement, en cas de fraude, le client a 70 jours à compter de la date de l’opération frauduleuse pour déposer une réclamation auprès de sa banque, qui demande en général à la victime de faire un dépôt de plainte. A noter que les commissariat exigent un original du relevé de compte pour enregistrer la plainte. La banque a ensuite 30 jours pour rembourser au client piégé l’intégralité de la somme, frais de mise en opposition compris.

3D-Secure, un nouveau procédé d’authentification

Les banques, elles, se refusent à chiffrer l’ampleur des fraudes. Toujours est-il qu’elles rivalisent d’ingéniosité pour limiter les risques. Toutes ont une équipe de veille chargée de repérer les transactions potentiellement frauduleuses. « Si l’on constate un retrait à Paris le soir, à Rome le lendemain et de nouveau à Paris trois heures après, on appelle le client pour vérifier », explique-t-on à la BNP.

A la Société générale, Eric Flour vante le mérites de l’« e-carte bleue », déjà adoptée par un million de Français. « On propose aux clients un numéro de carte utilisable en ligne une seule fois, dans la limite d’un montant prédéterminé. Très pratique quand on achète sur un site inconnu. »

Mais la vraie nouveauté réside dans le système « 3D-Secure », qui sera adopté prochainement par le banques. L’idée est d’authentifier le cyberconsommateur grâce à un mot de passe ou une question à laquelle il est le seul à pouvoir répondre. Exemple : quel est le nom de jeune fille de votre mère, ou le nom de votre chien. De quoi décontenancer les fraudeurs au moins quelque temps.

Il y a 3 réactions à cet article.

Lire les réactions.
Réagir à cet article.

Partager cet article

Rechercher