Protection de la carte bancaire : et si le problème n'était pas que dans le monde numérique ?

Protection de la carte bancaire : et si le problème n’était pas que dans le monde numérique ?

Vers des formulaires papier over TLS ?

171

Protection de la carte bancaire : et si le problème n'était pas que dans le monde numérique ?

Si certains ont encore parfois peur de se faire pirater leurs informations de paiement lors d'un achat en ligne, il est plus rare de voir des utilisateurs se méfier lorsqu'un commerçant ou un téléconseiller leur demande la transmission d'une telle information. C'est pourtant bien plus risqué.

Avec la montée en puissance de la vente en ligne à coup de « 1-click » et des services de paiement ou de transfert d'argent nouvelle génération, un élément devient de plus en plus crucial à protéger : les informations relatives à votre carte bancaire.

Les dispositifs en place sont plutôt bons en la matière, et la fraude à un niveau assez bas. Ainsi, ce ne sont le plus souvent pas les informations de votre carte qui sont stockées par les sites, mais un simple « jeton » (ou token) lié à une autorisation qui peut être révoquée. Et ceux qui utilisent ce genre d'outils sont soumis aux normes PCI-DSS.

En ligne, des règles claires

 

De son côté, la CNIL dispose depuis des années de recommandations claires sur ce qu'il est possible de faire ou non. La semaine dernière, elle a publié un rappel sur le sujet suite à une délibération intervenue cet été. Elle y précise que le numéro de la carte, la date d'expiration et le cryptogramme visuel ne doivent être conservés au-delà de la transaction.

Il y a bien sûr des exceptions possibles, comme en cas d'abonnement à tacite reconduction, ou la facilitation des achats ultérieurs si le client a exprimé son consentement qui « doit prendre la forme d'un acte de volonté explicite, par exemple au moyen d'une case à cocher et non pré-cochée par défaut ». Dans tous les cas « la conservation du cryptogramme est interdite après la réalisation de la première transaction ».

La Commission nous a confirmé qu'elle ne reconnaissait pas les données bancaires comme des données dites sensibles. Il s'agit néanmoins d'une donnée à caractère personnelle puisque la loi informatique et libertés dispose dans son article 2 que cela concerne « toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres ». 

Un guide datant de fin 2016 est également disponible : Commerce et données personnelles.

CNIL Achat en ligne

IRL, vos données de carte bancaire en mode YOLO

Contrairement à ce que l'on pense, c'est dans le monde physique que les choses se gâtent. Si une fuite en ligne peut rapidement être massive, une attaque « In Real Life » (IRL) est plus limitée, mais aussi bien plus simple.

L'un des dangers identifiés est celui du paiement sans contact, à travers une carte bancaire ou un smartphone. Très bavard au départ, ce dispositif a été largement renforcé ces dernières années. Mais comme l'a encore montré récemment le blogueur Numendil, c'est loin d'être parfait.

Avec un bon équipement, ou même une simple application Android, on peut encore récolter quelques informations qui peuvent être utiles depuis une carte de paiement qui est constamment accessible, contrairement à une application de paiement sur smartphone qui doit être activée.

Mais il y a encore bien pire que cela, et l'on rencontre encore couramment des pratiques qui n'ont pas lieu d'être en 2017. Il fût un temps où l'on passait les cartes bancaires dans des « presses » afin d'en effectuer une empreinte carbone. Une période révolue ? Pas tant que cela.

Hôtels, achat par correspondance, centres d'appel : CB partout, protection nulle part

Ceux qui vont couramment dans des hôtels en dehors des grandes chaînes savent qu'il est souvent demandé de fournir une carte au moment du « Check-in ». Et là, les informations de la cartes sont parfois stockées directement dans la base de données client ou même simplement écrites sur une fiche papier.

Ce, alors que les TPE prennent parfaitement en charge l'empreinte bancaire permettant aux commerçants de se couvrir en cas de problème. Et sur le sujet, il est bien plus difficile de trouver la trace de recommandations de la CNIL, ou même de savoir si elle effectue concrètement des vérifications sur les procédures de paiement des commerçants.

Un conseil, donc, si vous allez souvent d'un hôtel à un autre : pensez à utiliser une carte de paiement secondaire à autorisation systématique, sur laquelle vous laissez assez peu de fonds. En cas de problème, le risque sera ainsi limité.

Cette pratique se retrouve d'ailleurs dans d'autres secteurs que l'hôtellerie. Pour l'abonnement à la presse papier, ou l'achats de produits par catalogue, on retrouve encore souvent des formulaires proposant au client d'inscrire les informations de sa carte bancaire. Des informations qui seront protégées par une simple enveloppe lors du transport.

Abonnement Magazine CB

Parfois, c'est au téléphone que l'employé du centre d'appel d'un organisme de crédit ou d'une société vous proposera de lui donner les informations de votre carte bancaire. Qui vous assurera qu'il ne le met pas de côté pour une utilisation ultérieure ? Rien, si ce n'est le risque de se faire prendre par son employeur.

On se demande alors à quoi cela peut bien servir de mettre en place des solutions de chiffrement comme TLS si c'est pour au final transmettre ce genre de données dans un simple courrier ou au téléphone. Surtout qu'en cas de problème, il sera bien compliqué d'identifier la fuite de manière certaine.

La protection des données de paiement doit être assurée partout

Bref, s'il est important de sécuriser le partage des données bancaires en ligne et de renforcer le niveau de sécurité dans le domaine du paiement, notamment à l'heure où le smartphone devient un outil de plus en plus utilisé, il faut aussi ne pas oublier de regarder plus près de nous, dans notre quotidien.

Car tant que la sécurité de l'utilisateur reposera sur quelques chiffres présents sur une carte plastique, qu'on lui demande de partager parfois sans assurer le moindre niveau de protection, toutes ces mesures deviendront inutiles. C'est toujours sur le maillon le plus faible de la chaîne que les attaquants portent leurs coups. 

Certes, en cas de fuite, l'utilisateur est protégé par la législation et peut de plus en plus facilement faire renouveler sa carte. Des mesures comme 3D Secure sont également parfois mises en place par les commerçants. Mais celle-ci n'est pas systématique et pose encore trop souvent des problèmes. Surtout lors des périodes commerciales intenses comme le Black Friday ou les les soldes.

Mais il s'agit là d'une autre histoire, que nous aurons sans doute l'occasion d'évoquer dans un prochain édito.

Commentaires (171)


C’est clair que les sites comme booking qui filent les numéros de CB en clair avec le CVV c’est franchement nul.



D’autant qu’ils peuvent simplement donner les dernier chiffres pour être sur de la CB utilisée.



Bon après ma boite me paye une Gold, c’est pas mon assurance, mais c’est vraiment YOLO la gestion des CB…


sinon pour les hôtels, il y a la réservation en ligne


Oui, mais quand tu arrives on te demande une trace CB quand même ;) Cela peut se faire avec le TPE mais comme dit il y a encore pas mal de cas où ça se fait “à l’ancienne”


Pour les paiements en ligne, il est fortement conseillé d’utiliser des moyens temporaires de type eCarte Bleue.

Au moins, même s’il y perte ou vol les informations de la eCB sont soient expirées soient le plafond est atteint.

Par contre, il y a des sites qui bloquent le paiement par eCB, dans ce cas je passe mon chemin.








David_L a écrit :



Oui, mais quand tu arrives on te demande une trace CB quand même ;) Cela peut se faire avec le TPE mais comme dit il y a encore pas mal de cas où ça se fait “à l’ancienne”







autant pour moi, je pensait que ce genre de pratique c’était comme le rail à carte bleue, finit depuis longtemps



pour le sans contact, étui blindé <img data-src=" />



(bon c’est plus histoire d’avoir un étui résistant pour ma part, le simple machin fourni par la banque ne la protège que très mal, et je transporte souvent juste la carte dans ma poche <img data-src=" /> )








StephaneGames a écrit :



Pour les paiements en ligne, il est fortement conseillé d’utiliser des moyens temporaires de type eCarte Bleue.&nbsp;







Ou utiliser cartes type N26, y’a moyen de bloquer le paiement en ligne et de l’activer qu’au besoin.



Tu peux aussi demander à ta banque de désactiver le sans-contact, c’est plus efficace (voir trop pour certain·e·s).








piwi82 a écrit :



Tu peux aussi demander à ta banque de désactiver le sans-contact, c’est plus efficace (voir trop pour certain·e·s).





j’ai fini par m’en servir en fait <img data-src=" />



essayez de recharger une carte prépayé sfr par téléphone, si votre voisin n’a pas vu tous les chiffres que vous avez tapé sur votre clavier car vous êtes parano, le serveur vocal vous redonne lentement et distinctement toute votre saisi… sympa quand on sait la discrétion des hauts parleurs de téléphones…



&nbsp;


Et les loueurs de véhicules, les hôtels low-cost, les sites de crowdfunding qui :





  • utilisent le numéro de CB comme identifiant&nbsp;

  • ponctionnent éventuellement des sommes à leur convenance comme un dépôt de garantie ou un dédommagement suite à la constatation arbitraire d’une dégradation



    Personnellement, n’ayant pas de gros revenus, les paiements se font avec&nbsp;contact et après négociation du débit de la CB avec le commerçant, par carte à autorisation systématique (Electron/Maestro). Par ailleurs, je recherche une CB prépayée rechargeable qui permette les retraits d’espèces à moindre frais. J’aime calculer a priori ce que je dépense et je n’aime pas laisser le commerçant décider unilatéralement de ce qu’il souhaite me prélevé.&nbsp;



    &nbsp;(j’ai tout de même un abonnement récurrent chez Netflix, mais je sais que le paiement ne passera pas si la somme dépasse mon solde bancaire)



    NB: mobile.free.fr n’accepte pas les cartes à autorisation systématique (je dis ça, je dis rien…)


“Avec un bon équipement, ou même une simple application Android, on peut

encore récolter quelques informations qui peuvent être utiles depuis une

carte de paiement qui est constamment accessible”



Récemment Youtube (Google play?) m’a demandé mon numéro de carte pour payer, et a sû lire le numéro de la carte grâce au NFC, c’est pratique mais en effet pas très rassurant.








joma74fr a écrit :









avec l’accent parisien : j’dis ça, j’dis rien&nbsp;<img data-src=" />



Je pense que la banque ne désactive pas le «sans contact», elle désactive le paiement de ce «sans contact».

La nuance est que les informations sont lisibles tout de même.



En France, les banques ont réussi à l’imposer en disant que c’était comme ça, «mais ont peut le désactiver».



Monéo a été un échec mais cette fois-ci, ils sont bien partit pour gagner.








joma74fr a écrit :



avec l’accent parisien :https://youtu.be/wYFQJSrIo88?t=47] j’dis ça, j’dis rien <img data-src=" />[/url]





:oui2:



<img data-src=" />


Si quelqu’un connaît une banque qui propose encore une carte de paiement dépourvue de NFC je suis preneur; merci.


De mon expérience personnelle, Caisse d’Epargne et Crédit Agricole ne proposent pas dans leur catalogue des cartes sans NFC, mais en demandant une telle carte au RDV avec le conseiller, ils peuvent encore en fournir. En gros, ils ne les vendent pas, n’en parlent pas, mais à la demande il en existe encore :)


Petit correctif :

« la conservation du cryptogramme est interdite après la réalisation de la première transaction ».

Non, la conservation du cryptogramme est interdite même lors de la 1ère transaction. Le cryptogramme est transmis à l’émetteur de la carte lors de la 1ère transaction ET NE DOIT PAS ETRE CONSERVE.

Lorsque vous faites vos achats sur un site marchand où vous n’êtes débité qu’au moment de l’envoie, ce que font la plupart des sites est d’envoyer une pré-autorisation (montant à 0 ou 1€) vers l’émetteur de la carte lros de la toute 1ère fois où vous utilisez la carte sur le site puis lors de l’envoie de la commande, ils effectuent ce qu’on appelle un paiement récurrent.


Demander les infos de la CB par mail ou par téléphone se fait encore beaucoup aux USA. Ça fait tout bizarre…


Si tu n’en trouve pas, tu peux toujours percer la carte pour couper l’antenne…








piwi82 a écrit :



Tu peux aussi demander à ta banque de désactiver le sans-contact, c’est plus efficace (voir trop pour certain·e·s).





Pourquoi, “trop” ?



(Pliz : “voire” et puis l’écriture dite inclusive, beurk <img data-src=" /> )







Jeanprofite a écrit :



Je pense que la banque ne désactive pas le «sans contact», elle désactive le paiement de ce «sans contact».

La nuance est que les informations sont lisibles tout de même.





Comment désactiver le paiement sans désactiver la puce complètement ? Tu es sûr de toi ?







Jeanprofite a écrit :



Monéo a été un échec mais cette fois-ci, ils sont bien partit pour gagner.





Ce qui se comprend, d’une part Monéo était avec contact (et code ?) et était facturé à tout le monde, et d’autre part là c’est gratuit à l’utilisation et sans contact (perso j’aime bien car bien pratique).

On a prédit des catastrophes (sécurité) quand le NFC est arrivé sur les cartes de crédit, mais finalement on n’a rien vu de tel.



Pour les paranoïas du sans contact, il est vrai que les 1ères cartes permettaient d’accéder à un peu trop de donnée en clair, ce qui n’est plus vrai maintenant.



Pour information, seul le sans contact “puce” est acceptée en France (enfin au Crédit Agricole :-) ), c’est à dire avec des données cryptographiques calculées en temps réel lors de la transaction.

Au US , ils utilisent le sans contact piste , c’est pratiquement identique à une transaction piste sauf qu’une partie de la piste est recalculée en temps réel et de toute façon dans ce cas c’est une demande d’autorisation systématique.( pas forcément en sans contact puce, comme pour les paiements en mode contact)


Et les cartes bleues reçues par la poste lors du renouvellement ? <img data-src=" />


Pour travailler dans le monde de la monétique, je confirme, la désactivation du sans contact ne désactive pas la puce … :-).

Pour les initiés, c’est un script qui est envoyé sur la puce pour le désactiver lors d’une transaction on line : blocage du sans contact


Autre info, sur le sans contact, l’Italie et l’Espagne s’amusent maintenant à faire des transactions sans contact avec saisie du code conf pour les montants supérieurs à 30€ (plus sûr du montant)


J’ajoute à ce que propose Nozalys : Banque populaire, agences de rives de Paris au minimum mais je ne vois pas pourquoi ce ne serait pas pareil pour les autres entités du groupe, il faut demander un contrat carte sans NFC.


et le code CVV écris au dos de la carte:&nbsp; login et mdp au même endroit <img data-src=" />








Jeanprofite a écrit :



Je pense que la banque ne désactive pas le «sans contact», elle désactive le paiement de ce «sans contact».

La nuance est que les informations sont lisibles tout de même.



En France, les banques ont réussi à l’imposer en disant que c’était comme ça, «mais ont peut le désactiver».



Monéo a été un échec mais cette fois-ci, ils sont bien partit pour gagner.





Effectivement, seul le paiement est désactivé, la lecture des informations sur la carte est totalement indépendante. Toutefois on a désormais moins d’infos accessibles “en clair” qu’avant où on avait tout ce qu’il faut pour effectuer une opération.



En ce qui concerne la possibilité d’avoir une carte sans NFC, vous pouvez l’exiger à n’importe quelle banque. Faut juste savoir comment, et çà dépend d’une banque à l’autre (et encore, faut que les chargés de gestion sachent comment faire, ce qui est rarement le cas).



C’est d’autant plus vrai à l’étranger. Perso, j’ai opté pour une banque en ligne avec une carte qui ne me sert qu’à cet effet justement pour limiter les risques :)








Rickyblue a écrit :



Pour travailler dans le monde de la monétique, je confirme, la désactivation du sans contact ne désactive pas la puce … :-).

Pour les initiés, c’est un script qui est envoyé sur la puce pour le désactiver lors d’une transaction on line : blocage du sans contact





Ce n’est pas clair pour moi : qu’est-ce qui est désactivé exactement ?



(j’ai eu travaillé dans le monde de la monétique, quand ça s’appelait Schlumberger, avant que ça donne naissance à Axalto puis Gemalto, je m’occupais des terminaux de paiement et des serveurs).









StephaneGames a écrit :



Pour les paiements en ligne, il est fortement conseillé d’utiliser des moyens temporaires de type eCarte Bleue.

Au moins, même s’il y perte ou vol les informations de la eCB sont soient expirées soient le plafond est atteint.

Par contre, il y a des sites qui bloquent le paiement par eCB, dans ce cas je passe mon chemin.





Lcl a arrêté son eCB cette année… Sniff !

par contre l’histoire quand tu arrives à l’hôtel et que on te demande ta carte qui a servi au paiement….



Mouai, moi, c’est toujours la piste magnétique qui est une plaie de sécurité, dans certain pays, au USA entre autre, c’est encore pas mal utilisé, pas besoin de code, il te demande juste une petite signature pour payer. Et ça, à copier, c’est très simple.











OlivierJ a écrit :



Ce n’est pas clair pour moi : qu’est-ce qui est désactivé exactement ?



(j’ai eu travaillé dans le monde de la monétique, quand ça s’appelait Schlumberger, avant que ça donne naissance à Axalto puis Gemalto, je m’occupais des terminaux de paiement et des serveurs).





De ce que j’ai compris de ses explication, ça demande juste à la puce d’interdire les transaction en sans contact.



En effet, toutefois la carte insérée dans un courrier dans une enveloppe banalisée. On ne remarque rien (sauf si on plie l’enveloppe).


Hélas, un article de bon sens qui manque cruellement dans l’actualité.



Et après on nous fait peur au milieu de tous les « risques cyber » qui tirent des rayons lasers et mangent des bébés.


Perso quand je vais a l’hôtel / resto je paye avec un chèque.&nbsp; Ils demandent la CNI ou PDC généralement&nbsp; pour vérifier l’identité et pis c’est tout.

&nbsp;




Parfois, c’est au téléphone que l’employé du centre d’appel d’un organisme de crédit ou d’une société où vous êtes client pourra vous proposer de vous proposera de lui donner les informations de votre carte bancaire.





On m’a déjà demandé ça au téléphone. J’ai écourté l’appel après avoir dit que c’était n’importe quoi.


moi je demande le numéro de leur carte en contrepartie, car il n’y a aucun risque <img data-src=" />


La Banque Postale (LBP) propose encore de ne pas vouloir de sans contact, c’est ce que je fais (malgré l’insistance de ma conseillère, qui prenait à la légère la question de la sécurité quand je lui en ai parlé).








Etre_Libre a écrit :



La Banque Postale (LBP) propose encore de ne pas vouloir de sans contact, c’est ce que je fais (malgré l’insistance de ma conseillère, qui prenait à la légère la question de la sécurité quand je lui en ai parlé).





Il y a vraiment un problème de sécurité ?

On en prédisait à la pelle, et on n’a rien vu venir, sauf erreur de ma part. Du coup je m’en sers autant que je peux et c’est pratique.



C’est la différence entre un risque et un dommage. Chacun prend le risque qu’il souhaite. Bien malin celui qui passe entre les gouttes des probabilités.



C’est comme les conflits d’intérêts : il n’y a rien à craindre tant que rien ne se produit. C’est quand ça se produit, qu’il y avait quelque chose à prévoir.


À La Banque postale (comme dans d’autres réseaux bancaires français), les conseillers ne connaissent rien à ce qu’ils vendent. J’espère que tu t’es bien renseigné ailleurs qu’auprès d’un conseiller commercial de La Banque postale pour être certain de ton coup.


Perso j’ai été étonné de voir ma Freebox arriver à la maison avec les identifiant sur un papier volant avec la boite.

Identifiant qui donnent accès a l’espace perso, qui donne accès à l’IBAN complet.

Suffirait qu’un tiers ouvre et referme bien le colis pour que mon IBAN soit dans la nature, je trouve cela plus que limite.

&nbsp;





OlivierJ a écrit :



Il y a vraiment un problème de sécurité ?

On en prédisait à la pelle, et on n’a rien vu venir, sauf erreur de ma part. Du coup je m’en sers autant que je peux et c’est pratique.





Oui il y a vraiment un problème de sécurité, et tu n’entendra jamais parler de ça car :




  1. tu n’entend jamais parler des fraudes à la carte bleu dans la média .. tu erst assuré et rembourser alors tout le monde s’en fout.

  2. pour les banques c’est un tel avantage (moins d’argent liquide non maîtrisé, moins de guichet, moins de DAB a entretenir, …) qu’il n’en feraon jamais état.



    Libre a chacun d’utiliser ce système, comme les banques en ligne pour le moment moins cher et qui atteindrons le prix des banques normales quand il n’y aura plus d’autre choix que de passer par la et que toutes la agences aurons sauté.









OlivierJ a écrit :



Il y a vraiment un problème de sécurité ? On en prédisait à la pelle, et on n’a rien vu venir, sauf erreur de ma part. Du coup je m’en sers autant que je peux et c’est pratique.





Si tu te fait voler ta carte le mec peu utiliser ta carte, dans l’absolu une carte est aussi copiable à une distance de moins de 10 cm. Par contre j’ai lu que le sans contact est limité a 2 fois 20€ par jours, pas terrible donc.









jaguar_fr a écrit :



et le code CVV écris au dos de la carte:&nbsp; login et mdp au même endroit <img data-src=" />





Apprendre le CVV par coeur à réception et le gratter au cutter…









OlivierJ a écrit :



Comment désactiver le paiement sans désactiver la puce complètement ? Tu es sûr de toi ?





Le paiement sans contact ne concerne que des montants limités, pas possible de payer cash une Ferrari avec le “sans contact”. Il est donc fortement probable que la banque arrive à reconnaitre si c’est un paiement sans contact ou un achat par code secret, il suffit donc à la banque de refurer toute transaction bancaire par le système “sans contact” sans gêner le paiement classique.

Le paiement est bien “désactivé” mais la carte reste toujours aussi bavarde par NFC. <img data-src=" />



Jusqu’à maintenant il y a surtout eu des cas de cartes perdues ou volées dont le nfc fonctionnait toujours après la révocation de la carte. Mais les banques ont dû vite y remédier. <img data-src=" /> Reste entre la perte de la carte et sa révocation en attendant des avancées technologiques côté fraudeurs : du coup les chercheurs essayent de prendre de l’avance avec les techniques de Distance-bounding.



Pour avoir quelques chiffres, dans le rapport de sécurité des moyens de paiement de la Banque de France :



L’Observatoire a collecté, pour la troisième année consécutive, les données permettant de mesurer le taux de fraude sur les paiements sans contact. Ainsi, sur l’ensemble de l’année 2016, 628,5 millions de paiements sans contact ont été enregistrés pour un montant total de 6 450,7 millions d’euros, représentant respectivement 6,5 % en volume et 1,6 % en valeur des paiements de proximité, pour un montant moyen de 12,5 euros par opération.

Par ailleurs, environ 119 000 paiements frauduleux ont été recensés sur la même période pour un montant total de 1,298 million d’euros.

Le taux de fraude sur les transactions sans contact s’élève par conséquent

à 0,020 % sur cette période. Il se maintient, comme en 2015 où il s’établissait à 0,019 %, à un niveau intermédiaire entre le taux de fraude des paiements de proximité tous modes confondus (0,008 %) et celui des retraits (0,029 %), et se situe par conséquent à un niveau très inférieur à celui des paiements à distance (0,199 %).








skankhunt42 a écrit :



Si tu te fait voler ta carte le mec peu utiliser ta carte, dans l’absolu une carte est aussi copiable à une distance de moins de 10 cm. Par contre j’ai lu que le sans contact est limité a 2 fois 20€ par jours, pas terrible donc.





C’est toujours 40€/jours et si ça dure un mois ça peu faire 1200€, rien de terrible comme tu dis… <img data-src=" />



Tout le monde le consulte pas son compte bancaire quotidiennement. <img data-src=" />









yl a écrit :



Apprendre le CVV par coeur à réception et le gratter au cutter…





+1 <img data-src=" />









youri_1er a écrit :



Perso j’ai été étonné de voir ma Freebox arriver à la maison avec les identifiant sur un papier volant avec la boite.



       Identifiant qui donnent accès a l'espace perso, qui donne accès à l'IBAN complet.             

Suffirait qu'un tiers ouvre et referme bien le colis pour que mon IBAN soit dans la nature, je trouve cela plus que limite.





On peut effectivement s’inquiéter d’identifiants dans la nature. En revanche, l’IBAN seul ne sert pas à grand chose.



      Il servait encore moins avant le 1er août 2014, date d'arrivée des mandats de prélèvement SEPA qui n'imposent plus une autorisation expresse fournie à la banque, mais le problème est moins lié à l'IBAN qu'aux pressions ayant mené à ce genre de norme/loi dangereuse par "simplification" au détriment de la sécurité.            

Bref : si l'IBAN ou un RIB est volé, il faut redoubler de vigilance quant aux communications de sa/ses banque(s) relative à l'établissement d'un prélèvement.








      De retour à l'article :            

Même en cas de paiement en ligne sécurisé, quand par exemple le service 3-D Secure tombe en rade (vous vous souvenez de l'indisponibilité de wlp-acs.com ? NextInpact en avait d'ailleurs rédigé un article), et que vos tentatives de paiement en ligne échouent... vous vous retrouvez parfois avec comme seule solution la communication orale au téléphone. C'est le cas chez Air France par exemple.






      Cela pose toute la question des attaques par dégradation : ce qu'il était possible de réaliser avec TLS en demandant à un client de revenir à une version trouée de SSL est corrigé avec les normes récentes.            

Avec l'être humain, la mise à jour n'est toujours pas faite, et quand un composant du système de paiement est en rade, il faut soit accepter de prendre le risque de payer par téléphone, soit faire une croix sur un produit/service si quelqu'un passe avant, sans responsabilité aucune de l'entreprise. Pratiques d'un autre temps...






      Quant au paiement sans contact, c'est un procédé décrié dès le départ et démonté/démontable dès qu'il est analysé un tant soit peu à la lumière de la sécurité.            

Qu'il existe est déjà un problème en soi puisque des personnes peu informées l'utilisent par "simplicité" sans forcément prendre conscience des risques à posséder un tel moyen de paiement, mais le problème devient ubuesque lorsque certains endroits comme des gares imposent ce système de paiement sur tous les équipements de vente d'un certain type.






      Rien n'oblige en effet un commerçant à garantir la possibilité d'utiliser un équipement sécurisé. Tiens, ça reboucle avec cette histoire d'hôtel/boui-boui qui note le numéro de carte ou prend l'empreinte de la carte via la bande magnétique.            

Il y a un terrain pour l'action législative à ce niveau, non ? Sachant qu'un endroit qui, en 2017, n'est pas capable d'assurer un paiement sécurisé tout en réclamant de la carte bancaire, n'est probablement pas capable d'offrir une prestation d'aplomb et encore moins rigoureuse...


J’avais déjà fait mon choix avant de voir ma conseillère, je ne la vois que rarement (1 fois toutes les x années, avec “x” le plus grand possible), mais “au passage” elle proposait fortement la CB avec paiement sans contact NFC, et j’ai refusé.


D’après des echos importants, le NFC mis dans les CB est une passoire, mais j’aimerais vérifier moi-même, avec un compte secondaire que j’aurais bientôt chez Orange Bank, histoire de tester tout ça (si j’y arrive).


Il y a environ 10 ans, j’ai réglé par carte dans une boutique d’un grand opérateur téléphonique. Le vendeur a ouvert une page sur un poste, et a rentré les informations de la carte + ccv dans un formulaire pour effectuer le paiement…


Je touche du bois, je n’ai eu des emmerdes qu’avec un chèque et Paypal depuis que j’ai une CB, soit la fin des années 1980…



Ça va faire un peu chapeau d’alu ce que je vais dire mais, par précaution, j’ai acheté un étui spécial anti-lecture RFID pour ma CB. J’ai la flemme de demander à désactiver le paiement sans contact, en plus de m’en servir de temps à autre…


Tant que le remboursement des transactions frauduleuses coûtera moins cher aux banques que de sécuriser leurs moyens de paiement, rien ne changera. La piste magnétique est toujours présente sur les cartes bleues par exemple…

Mais c’est assez surprenant quand on sait la complexité des processus de mise en œuvre des systèmes informatiques bancaires. C’est comme si la loi obligeait à construire un bunker avec porte blindée, mais sans interdire de laisser la clé à portée de main. <img data-src=" />


J’ai la carte simple de La Banque Postale.

Il n’y a pas de puce ou alors elle est désactivée de base.

Boursorama permet la désactivation et activation en ligne dans l’espace compte bancaire. Jamais fait car NFC est désactivé de base.



J’utilise la e-carte bleue de la Banque Postale. Oui, une service payant pour compenser le manque de sécurité des cartes 😠

Il y a Hello Bank ou Fortuneo je crois qui proposent la e-carte bleue gratuitement….mais pas assez riche pour ouvrir un compte chez eux 🤔








skankhunt42 a écrit :



Si tu te fait voler ta carte le mec peu utiliser ta carte, dans l’absolu une carte est aussi copiable à une distance de moins de 10 cm. Par contre j’ai lu que le sans contact est limité a 2 fois 20€ par jours, pas terrible donc.





Ce n’est pas à la porté de tout le monde de cloner une CB. Tu as plus de chance de te faire voler ton porte feuille que te faire cloner ta carte…. Et un petit étui contre le NFC et c’est règlé (Au passage, je conseil les étuis SECVEL).



&nbsp;



choukky a écrit :



C’est toujours 40€/jours et si ça dure un mois ça peu faire 1200€, rien de terrible comme tu dis… <img data-src=" />



Tout le monde le consulte pas son compte bancaire quotidiennement. <img data-src=" />





C’est pour ca que malgré tout ce qu’on raconte, je trouve que payer en paylib avec mon portable est plus fiable que ma CB. Si on me vole mon portable, je m’en rendrai compte tout de suite ! Et le NFC n’est pas activé en permanence, il faut donc déverrouiller le tel, et il faut un code pour payer… Au final, si je pouvais même supprimer ma CB pour uniquement mon smartphone je le ferais… Mais faudrait faire des smartphone plus fin pour qu’on puisse les enfiler dans les TPE&nbsp;<img data-src=" />&nbsp;ET bien sur, faut pas faire n’importe quoi avec son smartphone aussi…

&nbsp;









Nicoletti27 a écrit :



Tu veux trouver sur une fille pour une nuit? Venez sur [….]





Forcément quand ça parle carte bancaire et argent faut bien ça <img data-src=" />.





Sinon je crois qu’en France sur la fraude c’est la “banque” présumée responsable, enfin je ne sais pas si ça a changé depuis



C’est vrai uniquement si tu n’as pas besoin d’une vraie carte bleue pour retirer ton achat (réservation de billets de train par exemple…)








jelus a écrit :



J’utilise la e-carte bleue de la Banque Postale. Oui, une service payant pour compenser le manque de sécurité des cartes 😠





Moi aussi j’utilise eCB, mais c’est pour me protéger des attaques des crackers sur les sites où je paie en ligne.



LaBanquePostale propose par défaut des CB sans le paiement sans contact. Il faut le demander expressément pour l’avoir.


Oui c’est par défaut sans contact avec LBP mais ils poussent de plus en plus à le prendre…


Je suis passé à un bureau de La banque postale : le gars m’a répondu un peu n’importe quoi et a finalement conclu que j’étais un «spécialiste».

J’en ai retenu que les nouvelles cartes comporte une puce nfc, reconnaissable par ce logo.








Demilitarized Zone a écrit :



En effet, toutefois la carte insérée dans un courrier dans une enveloppe banalisée. On ne remarque rien (sauf si on plie l’enveloppe).





Et du coup ils font quoi ?

Ils inscrivent la mention “ne pas plier” ?&nbsp;

&nbsp;



Il y a bien la Société Générale qui propose une carte avec CVV dynamique au dos via un petit écran LCD. Mais ils rendent cette option payante. C’est assez inadmissible, sachant qu’il est de la responsabilité de la banque de supporter les coûts liés à la sécurité des moyens de paiement qu’ils fournissent.








youri_1er a écrit :



Oui il y a vraiment un problème de sécurité, et tu n’entendra jamais parler de ça car :




  1. tu n’entend jamais parler des fraudes à la carte bleu dans la média .. tu erst assuré et rembourser alors tout le monde s’en fout.

  2. pour les banques c’est un tel avantage (moins d’argent liquide non maîtrisé, moins de guichet, moins de DAB a entretenir, …) qu’il n’en feraon jamais état.





    Tu racontes des bêtises sur tes 2 réponses.

    Pour le 1) tu auras vu le commentaire #47 qui rappelle les montants des fraudes, qui sont publiés depuis si longtemps que je ne sais même pas s’il a existé une époque sans publication.

    Pour le 2) en effet c’est aussi un avantage pour les banques pour les raisons que tu cites, qui n’ont rien de secret. Et moi ça m’arrange aussi de ne pas avoir à gérer des pièces de monnaie pour payer 1,35 E.







    skankhunt42 a écrit :



    Si tu te fait voler ta carte le mec peu utiliser ta carte, dans l’absolu une carte est aussi copiable à une distance de moins de 10 cm. Par contre j’ai lu que le sans contact est limité a 2 fois 20€ par jours, pas terrible donc.





    En fin de compte c’est moins gênant pour le côté sans contact que pour le côté carte de crédit, quand on te la vole et qu’on s’en sert.







    choukky a écrit :



    Le paiement sans contact ne concerne que des montants limités, pas possible de payer cash une Ferrari avec le “sans contact”. Il est donc fortement probable que la banque arrive à reconnaitre si c’est un paiement sans contact ou un achat par code secret, il suffit donc à la banque de refurer toute transaction bancaire par le système “sans contact” sans gêner le paiement classique.

    Le paiement est bien “désactivé” mais la carte reste toujours aussi bavarde par NFC. <img data-src=" />





    Le paiement sans contact pour moi est souvent instantané, ça ne passe pas par la banque ; si on utilise une carte NFC désactivée, c’est refusé directement par le terminal qui voit que c’est le cas (étant donné ce qui est lu sur la carte). Je pensais qu’on avait le moyen de “griller” la mémoire de la partie NFC, comme ça elle aurait répondu au niveau radio mais sans données autres que du bruit ou des zéros.







    choukky a écrit :



    C’est toujours 40€/jours et si ça dure un mois ça peu faire 1200€, rien de terrible comme tu dis… <img data-src=" />

    Tout le monde le consulte pas son compte bancaire quotidiennement. <img data-src=" />





    Si je perds ma carte bancaire, je m’en rends compte dans la journée (ou avant 24 h), je m’en sers quasiment tous les jours (et sinon elle est dans mon porte-carte avec d’autres).

    Je suis prêt à courir le risque de perdre 40 E.









    Berbe a écrit :



    Quant au paiement sans contact, c’est un procédé décrié dès le départ et démonté/démontable dès qu’il est analysé un tant soit peu à la lumière de la sécurité.

    Qu’il existe est déjà un problème en soi puisque des personnes peu informées l’utilisent par “simplicité” sans forcément prendre conscience des risques à posséder un tel moyen de paiement





    Manifestement, les risques au quotidien, concrètement, sont faibles.

    Je comprends qu’on s’en soit inquiété au tout début, mais avec le recul qui peut dire que c’est risqué ?









OlivierJ a écrit :



Comment désactiver le paiement sans désactiver la puce complètement ? Tu es sûr de toi ?







Les banques en lignes permettent de désactiver et d’activer la fonction à distance.

Qu’est-ce que l’ingénieur, en toi, en conclut ?







OlivierJ a écrit :



Ce qui se comprend, d’une part Monéo était avec contact (et code ?) et était facturé à tout le monde, et d’autre part là c’est gratuit à l’utilisation et sans contact (perso j’aime bien car bien pratique).







Effectivement.

Pour être exact, j’aurai dû la comparer à sa nouvelle tentative visant les jeunes baptisée Izly (plus pratique car sans contact).



Je suis légèrement étonné de te savoir te comporter comme un utilisateur PIP (définition en page 18 de ce document.



Édit correction de lien.



Concrètement c’est quoi le risque pour l’usager si on pirate son numéro CB + cryptogramme ?

Les fraudeurs ne vont pas pouvoir retirer d’argent aux distributeurs.

En revanche ils vont pouvoir acheter et se faire livrer des biens (quitte à les revendre pour faire de l’argent)

Mais si l’usager indique que telle transaction est frauduleuse il va être automatiquement remboursé par sa banque, non ?

A moins que celle-ci prouve que vous avez communiqué le code secret elle est tenue de rembourser.

Après la banque va se retourner vers le commerçant qui a accepté la commande avec légèreté qui se retournera contre le transporteur qui n’a pas vérifié l’identité etc etc&nbsp;&nbsp;

Au final il y aura un dépôt de plainte et sans doute que l’adresse de livraison sera black listée .&nbsp;

&nbsp;

Il n’y a pas vraiment de risque individuel, mais plutôt un risque collectif qui est intégré dans le coût du dispositif.&nbsp;








heret a écrit :



Moi aussi j’utilise eCB, mais c’est pour me protéger des attaques des crackers sur les sites où je paie en ligne.





Sérieusement ?

De quoi parles-tu concrètement ?







jelus a écrit :



J’utilise la e-carte bleue de la Banque Postale. Oui, une service payant pour compenser le manque de sécurité des cartes 😠

Il y a Hello Bank ou Fortuneo je crois qui proposent la e-carte bleue gratuitement….mais pas assez riche pour ouvrir un compte chez eux 🤔









CounterFragger a écrit :



Il y a bien la Société Générale qui propose une carte avec CVV dynamique au dos via un petit écran LCD. Mais ils rendent cette option payante. C’est assez inadmissible, sachant qu’il est de la responsabilité de la banque de supporter les coûts liés à la sécurité des moyens de paiement qu’ils fournissent.





Je connais ces possibilité de e-carte Bleue (ça fait des années que ça existe) et autres CVV dynamique, mais n’ayant personne autour de moi qui a eu des problèmes avec sa carte bleue, je n’ai jamais trouvé de justification à ces systèmes. Et j’ai voyagé ces dernières années, Espagne, Croatie, Grèce, Italie (certes ça reste l’UE), et Maroc il y a 9 ans.



je pense qu’il faut activer une nouvelle carte avec un achat par code avant de le faire via d’autres type de paiement, ce serait pour cela qu’ils l’expédient par simple lettre

&nbsp;








OlivierJ a écrit :



Si je perds ma carte bancaire, je m’en rends compte dans la journée (ou avant 24 h), je m’en sers quasiment tous les jours (et sinon elle est dans mon porte-carte avec d’autres).

Je suis prêt à courir le risque de perdre 40 E.





Dans les faits, tu ne perdras absolument rien : s’il y a paiement frauduleux, c’est à la banque de prouver que ce n’était pas le cas, et comme le code secret n’est pas utilisé, tu es remboursé à partir du premier centime.









OlivierJ a écrit :



Manifestement, les risques au quotidien, concrètement, sont faibles.

Je comprends qu’on s’en soit inquiété au tout début, mais avec le recul qui peut dire que c’est risqué ?





Au pire, seuls le numéro de CB et la date d’expiration peuvent être récupérés en clair via NFC. C’est insuffisant pour 99% des sites de commerce en ligne, sachant que le CVV ne peut être lu. Même si idéalement, la puce pourrait bien se garder de transmettre ce type d’infos…



En fait, le paiement mobile NFC via Apple Pay, Paylib ou Android Pay est bien plus sûr : le numéro de CB transmis n’est qu’un token à usage unique.









Jeanprofite a écrit :



Les banques en lignes permettent de désactiver et d’activer la fonction à distance.

Qu’est-ce que l’ingénieur, en toi, en conclut ?





L’hypothèse que certaines puces NFC comportent l’information de crédit en local, ou du moins l’indication qu’il n’y a pas besoin d’autorisation en ligne (cas de ma puce manifestement), et que d’autres puces NFC doivent passer par un serveur d’autorisation à chaque transaction (cas de certaines banques en ligne semble-t-il).







Jeanprofite a écrit :



Je suis légèrement étonné de te savoir te comporter comme un utilisateur PIP (définition en page 18 de ce document.





Arf, je note l’acronyme (pour moi c’était Picture In Picture).

J’ai juste une attitude rationnelle, au vu de la faiblesse du risque (cf mes commentaires précédents du jour).









v1nce a écrit :



Concrètement c’est quoi le risque pour l’usager si on pirate son numéro CB + cryptogramme ?

Les fraudeurs ne vont pas pouvoir retirer d’argent aux distributeurs.

En revanche ils vont pouvoir acheter et se faire livrer des biens (quitte à les revendre pour faire de l’argent)

Mais si l’usager indique que telle transaction est frauduleuse il va être automatiquement remboursé par sa banque, non ?



&nbsp;

… plusieurs mois plus tard. Entre temps, il faudra supporter les emmerdes, comme devenir interdit bancaire parce que le compte aura été à découvert, payer les aggios (je ne sais pas s’il sont remboursés dans des cas comme ça), etc…



En octobre j’ai vu un retrait bizarre via ma CB, alors qu’elle n’a pas de NFC.



C’est un retrait à l’étranger (hors zone euro, car 5 euros de frais à côté), alors que ma CB et moi n’avons pas bougé de la France.



La piste pour moi : un vol des numéros sur un site marchand ou piratage d’un serveur de banque, et création d’une CB “double”, une copie identique de l’originale, pour retirer des espèces dans un distributeur à l’étranger.








CounterFragger a écrit :



Dans les faits, tu ne perdras absolument rien : s’il y a paiement frauduleux, c’est à la banque de prouver que ce n’était pas le cas, et comme le code secret n’est pas utilisé, tu es remboursé à partir du premier centime.





C’est fort possible, et de toutes façons je paie une sorte d’assurance multi-trucs liée à ma carte bancaire (et même un peu au-delà), ça doit aider à ce que ma banque soit “gentille” en cas de souci.







CounterFragger a écrit :



En fait, le paiement mobile NFC via Apple Pay, Paylib ou Android Pay est bien plus sûr : le numéro de CB transmis n’est qu’un token à usage unique.





Ça semble être l’avenir (on a son mobile tout le temps avec soi), mais pour l’instant avoir une carte de paiement distincte de mon mobile me semble une bonne idée. Je crains le jour où le mobile est perdu/volé ou ne fonctionne plus, on aura TOUT dessus, ça va être chaud (je suppose qu’on va établir des moyens dégradés ou manuels de s’en sortir).



Suite à une transaction bizarre (piratage) sur ma CB, j’ai renouvelé en octobre 2017 ma Visa Classic et elle est toujours sans NFC (pas de logo avec les vagues).








heret a écrit :



… plusieurs mois plus tard. Entre temps, il faudra supporter les emmerdes, comme devenir interdit bancaire parce que le compte aura été à découvert, payer les aggios (je ne sais pas s’il sont remboursés dans des cas comme ça), etc…





Il faut être sérieux, tu ne deviens pas interdit bancaire pour un découvert, et encore moins pour une transaction lié à un vol de carte bancaire ; et la banque rembourse les agios, c’est le minimum (déjà vécu).



Article L133-18 du Code Monétaire et Financier :





En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24,

le prestataire de services de paiement du payeur rembourse immédiatement au payeur le montant de l’opération non autorisée et, le

cas échéant, rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu



Immédiatement, ce n’est pas plusieurs mois plus tard. Et si la banque tarde, ne pas hésiter à les harceler ou à porter plainte.

&nbsp;


immédiatement après que la preuve de la fraude a été apportée, ce qui peut prendre plusieurs mois.


La seule piste plausible : copie à ton insu de la piste magnétique (qui, elle, est bien une vraie passoire en terme de sécurité). Les informations affichées sur la CB ou récupérées via NFC ne permettent en aucun cas d’en créer un clone utilisable dans un DAB.


interdit bancaire, c’est peut être un peu fort effectivement mais pas si déconnant. Et il n’empêche que les emmerdes tu les auras, à commencer par prouver qu’il y a eu fraude et que la banque accepte tes preuves.


Immédiatement, c’est immédiatement, la loi est claire. La charge de la preuve est inversée, c’est à la banque que revient la charge de la preuve qu’il n’y a pas eu fraude. Et si la banque est récalcitrante, ne pas hésiter à faire appel à une association de consommateurs et à utiliser tous les moyens légaux possibles.



Ce genre de mésaventure m’est déjà arrivée, et le remboursement n’a même pas dû prendre 2 semaines.


Et bien félicitations, mais ça ne se passe pas toujours comme ça, par exemple :http://www.lavoixdunord.fr/112198/article/2017-01-31/entre-clients-escroques-et-…

&nbsp;








OlivierJ a écrit :



C’est fort possible, et de toutes façons je paie une sorte d’assurance multi-trucs liée à ma carte bancaire (et même un peu au-delà), ça doit aider à ce que ma banque soit “gentille” en cas de souci.





Ça doit aider, mais ça ne sert pas à grand chose. Tout au plus tu n’auras pas à payer la franchise de 150€ si le code secret est utilisé, franchise qui n’est de toute façon pas due si le code secret t’a été subtilisé par des moyens détournés.



Je ne pense pas, car ma CB ne bouge jamais, toujours à portée de main, et je ne la laisse pas accessible comme ça…



Enfin, quoi qu’il en soit, j’ai fait opposition dès le lendemain à la CB et j’ai demandé à ma banque un remboursement, avec le formulaire qui va bien sur leur site.


Il te faudra une carte de type “Electron” (ou équivalent). Pour l’instant du moins.








Etre_Libre a écrit :



En octobre j’ai vu un retrait bizarre via ma CB, alors qu’elle n’a pas de NFC.



C’est un retrait à l’étranger (hors zone euro, car 5 euros de frais à côté), alors que ma CB et moi n’avons pas bougé de la France.



La piste pour moi : un vol des numéros sur un site marchand ou piratage d’un serveur de banque, et création d’une CB “double”, une copie identique de l’originale, pour retirer des espèces dans un distributeur à l’étranger.



Ou plus simplement, un générateur de CB aléatoire pour créer la nouvelle carte. Ils ne se font plus chier à casser le chiffrement depuis longtemps.







Gilbert_Gosseyn a écrit :



Il te faudra une carte de type “Electron” (ou équivalent). Pour l’instant du moins.



Electron et ses équivalents sont quand même assez limités… Il y a des automates (péages autoroute…) et des TPE qui les refusent.



Oui ça paraît bien possible…



Au fait, un jour les CB pourront avoir un nombre de chiffres plus important ?



Parce que là, c’est court…








Etre_Libre a écrit :



Oui ça paraît bien possible…



Au fait, un jour les CB pourront avoir un nombre de chiffres plus important ?



Parce que là, c’est court…



Ca impliquerait trop de travail de mise à jour de centaines de milliers de terminaux de paiement (virtuels ou physiques), donc très peu probable. Aujourd’hui on est plutôt sur le CVV aléatoire qui change régulièrement.



J’ai oublié une précision :

Je souhaite (par confort) une carte permettant de payer à l’étranger, Visa ou bien Mastercard.

Quelle est le type de ta carte bleue ?


Certains DAB sont “piratés” pour justement cloner les cartes. Un lecteur de bande magnétique est inséré à l’endroit où tu insères ta carte dans le distributeur, puis récupéré plus tard par l’escroc.



Hormis cette méthode, il n’existe pas d’autre moyen pour cloner la bande magnétique : le cryptogramme présent au dos de la carte et celui mémorisé dans la bande sont par exemple différents. Même en générant aléatoirement un numéro de CB, la piste ne sera pas reproductible sans lecture physique.


A LBP c’est la CB “Visa Classic”, qui est une carte internationale et qui n’est pas à autorisation systématique.



Je m’en suis déjà servi aux USA et en Egypte, ainsi qu’en Europe.