Le Blog de BluePaid

Affaiblissement de la lutte contre la fraude à la carte bancaire.

C'est passé pendant l'été dans la quasi indifférence.

L'AFUB, Association française des usagers des banques et le Groupement des Cartes Bancaires CB ont déploré début août une note du ministère de la Justice incitant les services de police et de gendarmerie à ne plus enregistrer de plaintes en cas de fraude à la carte bancaire.

Le ministère de la Justice a en effet adressé une "dépêche" à l'ensemble des procureurs généraux près les Cours d'appel, à charge pour eux de la répercuter aux services concernés, rappelant que le dépôt de plainte n'est pas légalement obligatoire en cas de fraude à la carte bancaire.

Il invite donc les services de police et de gendarmerie à remettre une notice d'information aux porteurs de carte qui se présenteraient pour porter plainte, expliquant que leur banque est tenue de rembourser les sommes indûment retirées de leur compte sans exiger de plainte.

En clair, aux clients et aux banques de se débrouiller.

Rappelons que la Directive des services de paiement applicable depuis le 1er novembre 2009 rend toute transaction par carte bancaire effectuée à distance et sans présentation physique de la carte répudiable dans un délai de 13 mois. Avec le refus de prendre les plaintes, c'est un pas de plus fait dans la facilité vers la fraude et un pas de plus vers l'affaiblissement de la lutte à engager contre.

Certes, cela fera baisser les statistiques de la délinquance, mais les statistiques seulement*. Et cela ne protège ni le consommateur, ni les commerçants. Un mauvais choix !

* A noter : Selon l'Observatoire des paiements par carte bancaire, le taux de fraude dans la zone SEPA (espace Europeen) est moitie moins élevé que hors zone SEPA et se situe autour de 0,30% sur l'ensemble des transactions.

Paiement sécurisé et bonnes pratiques : la sécurité des transactions

Dans notre article précédant nous abordions le droit de contestation des porteurs de carte bancaire. souvenez-vous !

Nous n'avions pas abordé l'aspect sécurité des transactions.
Quelles sont les informations vérifiées chez Bluepaid ? quid du 3D secure? Qu'est-ce qu'une authentification renforcée ?

• Bluepaid sécurise les transactions pour le compte de ses clients. Nous verifions en particulier les informations de l'adresse IP et du pays d'émission de la carte afin de voir si les informations correspondent.
• Nous vérifions aussi les informations de livraison pour voir si tout semble cohérent avec la région du pays d'émission de la carte.
• Nous interrogeons le fichier des cartes volées ainsi que la banque du porteur pour s'assurer que le plafond de la carte n'est pas atteint.

Autant d'informations qui pourtant dans certains cas n'evitent pas totalement le risque de fraude.

Comment lutter contre ces risques : la grande tendance du moment, c'est la norme 3D secure.
Il s'agit d'une série de codes qui viennnent renforcer l'authentification de la personne réalisant une transaction sur internet.
Malheuseusement, même si de grands sites comme Air France ou voyages-SNCF ont décidé de franchir le pas, la plupart des achats effectués sur internet dans un moment de "passage a l'acte" se verront repoussés par cette authentification. Et c'est avant tout les petits commercants qui en pâtissent.
D'ailleurs les grands sites l'ont bien compris, certains donnent le choix à leurs clients, d'autres comme
les deux grands sites web cités precédemment apres l'avoir installé en 2010 ont fait machine-arrière.
Pour ensuite le reproposer.

Prenons un exemple concret : je souhaitais acheter le dernier iPhone, Blackberry ou Nexus sur internet
apres avoir consulté pendant des heures tous les sites e-commerce, je vais effectuer mon achat.

Or au moment de payer, je sors du site web ou je me trouvais pour arriver sur la page de ma banque où on me demande mon numero de compte et pour finir le code qui se trouve sur une carte qui ressemble à un plan de bataille navale, fournie par ma banque.
Coulé ! Refroidi j'ai laisse tombé, ça fait 6 mois maintenant.

J'oubliais le fait que j'ai plusieurs comptes dans la même banque et donc plusieurs cartes dont je n'ai pas tous les identifiants...

Voila en gros ce qu'est le 3D secure. Mais, la réalité, c'est que tout le monde n'est pas Air France ou la SNCF. La plupart des e-commercants qui encaisse sur internet des paiements en ligne et securisés ont un CA de de 1,000 à 5,000 euros. Ils se trouvent sur des marchés de niche où ils s'imposent en specialiste de leur domaine : par exemple le roi du safran, la reine de la broderie ou la spécialiste d'Hello Kitty.

Pour eux, le 3D Secure n'est absolument pas adapté !

Le revers du boom du e-commerce : le taux de fraude à la carte bancaire augmente

L'observatoire de la sécurité des cartes de paiement a remis la semaine dernière son rapport annuel portant sur les transactions en France en 2009.

Une constatation : les fraudes à la carte bancaire ont augmenté en 2009 par rapport à 2008 et un des grands responsables serait Internet, via le e-commerce.

De nombreux Français restent encore réticents à utiliser leur carte de paiement en ligne, le rapport démontre hélas que cette crainte est assez justifiée.

En matière de transactions nationales, le taux de fraude moyen global s’élève à 0,033% soit 144 millions d’euro. Celui des paiements à distance via Internet est de 0,263% soit 51.9 millions d’euro.

Malgré ce taux assez faible de 0,263%, le taux de fraude représente néanmoins 57% du montant total des fraudes sur l'ensemble des transactions nationales.
Note : Ces chiffres sont néanmoins à relativiser, car inhérents à la forte croissance du secteur du e-commerce. Le secteur va bien, le e-commerce vend comme jamais, il est mathématiquement logique, non pas que le taux de fraude augmente, mais qu'en proportion, il prenne une part plus importante sur l'ensemble des transactions nationales.

La solution ? Plus de sécurité et plus d'authentification. Les banques y travaillent.

A ce jour, qui paie la facture en cas de fraude ?

• Dans 2% des cas, c'est le propriétaire de la carte bancaire qui est tenu pour responsable.
  Il sera donc tenu de payer les achats effectués.
• Dans 40% des cas, lorsque l’erreur ne provient ni du propriétaire de la carte bancaire, ni du commerçant, ce sont les banques qui remboursent.
• Mais dans 58% des cas, ce sont les commerçants qui devront payer, a fortiori si leur site Internet n’est pas suffisamment sécurisé.

La solution ? Un service d'assurance du panier client. J'ai entendu dire qu'il s'en préparerait un pour bientôt...

A suivre, donc.

En attendant, si vous avez des questions à poser, des conseils à demander, n'hésitez pas à entrer en contact avec les équipes BluePaid, nous serons ravis de vous répondre.

Le 3D Secure n'est pas une sinécure

A l'heure où la préoccupation de sécuriser les transactions bancaires ne se dément pas, les banques souhaiteraient généraliser le 3D Secure Code, un système d'authentification des acheteurs en ligne.

Il est possible que dans les semaines qui viennent pour receviez un message du type de celui-ci, envoyé par ING Direct : « A compter du 1er mars 2010, vous recevrez par SMS un code permettant de valider vos achats sur les sites affichant le logo Mastercard Secure Code. Ce code s'ajoutera aux données qui vous sont déjà demandées. »

A ce jour, lorsque vous achetez en ligne, vous saisissez votre identifiant puis votre mot de passe pour vous identifier dans un espace sécurisé où vous entrez votre numéro de carte bancaire puis le code à trois chiffres figurant au dos pour effectuer un paiement en ligne.

Mais les banques, estimant ce processus insuffisant en termes de sécurité et de lutte contre la fraude,  essaient de généraliser auprès des sites de e-commerce un système supplémentaire d'authentification. 3D Secure Code, est proposé sur les sites où figurent les logos Verified by Visa ou MasterCard Secure Code.

Pour les sites qui ont adopté l'étape supplémentaire, une nouvelle fenêtre apparaît issue de la banque ou du prestataire de paiement en ligne à l'intérieur de laquelle il s'agit de saisir sa date de naissance, un code confidentiel ou un code spécifique et unique reçu pour la transaction en cours.

Si tout se passe bien, la banque valide ce code, qui lui-même valide la transaction.

A ce jour, le service est gratuit. Et heureusement !

La Fevad assure que seuls 30 % des sites d'e-commerce, et essentiellement de petits sites, ont mis en place le 3D Secure Code car il présente l'inconvénient non négligeable d'interrompre le processus de paiement.

L'irruption impromptue d'une demande d'information  par la banque ou le prestataire de paiement en ligne, comme la date de naissance ou le numéro de mobile, ferait peur puis fuir le client, ce qui, vous en conviendrez est l'inverse de l'effet recherché !

A tout cela s'ajoute, si l'on en croit Ross Anderson, le prof de l'Université de Cambridge qui avait exploité une faille dans la sécurité des cartes bancaires, de nombreuses faiblesses dans le protococole 3D Secure.

Pour faire un point complet sur la norme 3DSecure et son impact sur les porteurs et les e-commerçants, une conférence est organisée le mardi 16 février 2010 à Paris où s'exprimeront consultants, prestataires technologiques et e-commerçants, ainsi que Carte Bleue Visa, le GIE Cartes Bancaires et la FEVAD.

Plus d'info ici.