Si certains ont encore parfois peur de se faire pirater leurs informations de paiement lors d'un achat en ligne, il est plus rare de voir des utilisateurs se méfier lorsqu'un commerçant ou un téléconseiller leur demande la transmission d'une telle information. C'est pourtant bien plus risqué.
Avec la montée en puissance de la vente en ligne à coup de « 1-click » et des services de paiement ou de transfert d'argent nouvelle génération, un élément devient de plus en plus crucial à protéger : les informations relatives à votre carte bancaire.
Les dispositifs en place sont plutôt bons en la matière, et la fraude à un niveau assez bas. Ainsi, ce ne sont le plus souvent pas les informations de votre carte qui sont stockées par les sites, mais un simple « jeton » (ou token) lié à une autorisation qui peut être révoquée. Et ceux qui utilisent ce genre d'outils sont soumis aux normes PCI-DSS.
En ligne, des règles claires
De son côté, la CNIL dispose depuis des années de recommandations claires sur ce qu'il est possible de faire ou non. La semaine dernière, elle a publié un rappel sur le sujet suite à une délibération intervenue cet été. Elle y précise que le numéro de la carte, la date d'expiration et le cryptogramme visuel ne doivent être conservés au-delà de la transaction.
Il y a bien sûr des exceptions possibles, comme en cas d'abonnement à tacite reconduction, ou la facilitation des achats ultérieurs si le client a exprimé son consentement qui « doit prendre la forme d'un acte de volonté explicite, par exemple au moyen d'une case à cocher et non pré-cochée par défaut ». Dans tous les cas « la conservation du cryptogramme est interdite après la réalisation de la première transaction ».
La Commission nous a confirmé qu'elle ne reconnaissait pas les données bancaires comme des données dites sensibles. Il s'agit néanmoins d'une donnée à caractère personnelle puisque la loi informatique et libertés dispose dans son article 2 que cela concerne « toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres ».
Un guide datant de fin 2016 est également disponible : Commerce et données personnelles.
IRL, vos données de carte bancaire en mode YOLO
Contrairement à ce que l'on pense, c'est dans le monde physique que les choses se gâtent. Si une fuite en ligne peut rapidement être massive, une attaque « In Real Life » (IRL) est plus limitée, mais aussi bien plus simple.
L'un des dangers identifiés est celui du paiement sans contact, à travers une carte bancaire ou un smartphone. Très bavard au départ, ce dispositif a été largement renforcé ces dernières années. Mais comme l'a encore montré récemment le blogueur Numendil, c'est loin d'être parfait.
Avec un bon équipement, ou même une simple application Android, on peut encore récolter quelques informations qui peuvent être utiles depuis une carte de paiement qui est constamment accessible, contrairement à une application de paiement sur smartphone qui doit être activée.
Mais il y a encore bien pire que cela, et l'on rencontre encore couramment des pratiques qui n'ont pas lieu d'être en 2017. Il fût un temps où l'on passait les cartes bancaires dans des « presses » afin d'en effectuer une empreinte carbone. Une période révolue ? Pas tant que cela.
Hôtels, achat par correspondance, centres d'appel : CB partout, protection nulle part
Ceux qui vont couramment dans des hôtels en dehors des grandes chaînes savent qu'il est souvent demandé de fournir une carte au moment du « Check-in ». Et là, les informations de la cartes sont parfois stockées directement dans la base de données client ou même simplement écrites sur une fiche papier.
Ce, alors que les TPE prennent parfaitement en charge l'empreinte bancaire permettant aux commerçants de se couvrir en cas de problème. Et sur le sujet, il est bien plus difficile de trouver la trace de recommandations de la CNIL, ou même de savoir si elle effectue concrètement des vérifications sur les procédures de paiement des commerçants.
Un conseil, donc, si vous allez souvent d'un hôtel à un autre : pensez à utiliser une carte de paiement secondaire à autorisation systématique, sur laquelle vous laissez assez peu de fonds. En cas de problème, le risque sera ainsi limité.
Cette pratique se retrouve d'ailleurs dans d'autres secteurs que l'hôtellerie. Pour l'abonnement à la presse papier, ou l'achats de produits par catalogue, on retrouve encore souvent des formulaires proposant au client d'inscrire les informations de sa carte bancaire. Des informations qui seront protégées par une simple enveloppe lors du transport.
Parfois, c'est au téléphone que l'employé du centre d'appel d'un organisme de crédit ou d'une société vous proposera de lui donner les informations de votre carte bancaire. Qui vous assurera qu'il ne le met pas de côté pour une utilisation ultérieure ? Rien, si ce n'est le risque de se faire prendre par son employeur.
On se demande alors à quoi cela peut bien servir de mettre en place des solutions de chiffrement comme TLS si c'est pour au final transmettre ce genre de données dans un simple courrier ou au téléphone. Surtout qu'en cas de problème, il sera bien compliqué d'identifier la fuite de manière certaine.
La protection des données de paiement doit être assurée partout
Bref, s'il est important de sécuriser le partage des données bancaires en ligne et de renforcer le niveau de sécurité dans le domaine du paiement, notamment à l'heure où le smartphone devient un outil de plus en plus utilisé, il faut aussi ne pas oublier de regarder plus près de nous, dans notre quotidien.
Car tant que la sécurité de l'utilisateur reposera sur quelques chiffres présents sur une carte plastique, qu'on lui demande de partager parfois sans assurer le moindre niveau de protection, toutes ces mesures deviendront inutiles. C'est toujours sur le maillon le plus faible de la chaîne que les attaquants portent leurs coups.
Certes, en cas de fuite, l'utilisateur est protégé par la législation et peut de plus en plus facilement faire renouveler sa carte. Des mesures comme 3D Secure sont également parfois mises en place par les commerçants. Mais celle-ci n'est pas systématique et pose encore trop souvent des problèmes. Surtout lors des périodes commerciales intenses comme le Black Friday ou les les soldes.
Mais il s'agit là d'une autre histoire, que nous aurons sans doute l'occasion d'évoquer dans un prochain édito.
Commentaires (171)
#1
C’est clair que les sites comme booking qui filent les numéros de CB en clair avec le CVV c’est franchement nul.
D’autant qu’ils peuvent simplement donner les dernier chiffres pour être sur de la CB utilisée.
Bon après ma boite me paye une Gold, c’est pas mon assurance, mais c’est vraiment YOLO la gestion des CB…
#2
sinon pour les hôtels, il y a la réservation en ligne
#3
Oui, mais quand tu arrives on te demande une trace CB quand même ;) Cela peut se faire avec le TPE mais comme dit il y a encore pas mal de cas où ça se fait “à l’ancienne”
#4
Pour les paiements en ligne, il est fortement conseillé d’utiliser des moyens temporaires de type eCarte Bleue.
Au moins, même s’il y perte ou vol les informations de la eCB sont soient expirées soient le plafond est atteint.
Par contre, il y a des sites qui bloquent le paiement par eCB, dans ce cas je passe mon chemin.
#5
#6
pour le sans contact, étui blindé " />
(bon c’est plus histoire d’avoir un étui résistant pour ma part, le simple machin fourni par la banque ne la protège que très mal, et je transporte souvent juste la carte dans ma poche " /> )
#7
#8
Tu peux aussi demander à ta banque de désactiver le sans-contact, c’est plus efficace (voir trop pour certain·e·s).
#9
#10
essayez de recharger une carte prépayé sfr par téléphone, si votre voisin n’a pas vu tous les chiffres que vous avez tapé sur votre clavier car vous êtes parano, le serveur vocal vous redonne lentement et distinctement toute votre saisi… sympa quand on sait la discrétion des hauts parleurs de téléphones…
#11
Et les loueurs de véhicules, les hôtels low-cost, les sites de crowdfunding qui :
Personnellement, n’ayant pas de gros revenus, les paiements se font avec contact et après négociation du débit de la CB avec le commerçant, par carte à autorisation systématique (Electron/Maestro). Par ailleurs, je recherche une CB prépayée rechargeable qui permette les retraits d’espèces à moindre frais. J’aime calculer a priori ce que je dépense et je n’aime pas laisser le commerçant décider unilatéralement de ce qu’il souhaite me prélevé.
(j’ai tout de même un abonnement récurrent chez Netflix, mais je sais que le paiement ne passera pas si la somme dépasse mon solde bancaire)
NB: mobile.free.fr n’accepte pas les cartes à autorisation systématique (je dis ça, je dis rien…)
#12
“Avec un bon équipement, ou même une simple application Android, on peut
encore récolter quelques informations qui peuvent être utiles depuis une
carte de paiement qui est constamment accessible”
Récemment Youtube (Google play?) m’a demandé mon numéro de carte pour payer, et a sû lire le numéro de la carte grâce au NFC, c’est pratique mais en effet pas très rassurant.
#13
#14
Je pense que la banque ne désactive pas le «sans contact», elle désactive le paiement de ce «sans contact».
La nuance est que les informations sont lisibles tout de même.
En France, les banques ont réussi à l’imposer en disant que c’était comme ça, «mais ont peut le désactiver».
Monéo a été un échec mais cette fois-ci, ils sont bien partit pour gagner.
#15
#16
" />
#17
Si quelqu’un connaît une banque qui propose encore une carte de paiement dépourvue de NFC je suis preneur; merci.
#18
De mon expérience personnelle, Caisse d’Epargne et Crédit Agricole ne proposent pas dans leur catalogue des cartes sans NFC, mais en demandant une telle carte au RDV avec le conseiller, ils peuvent encore en fournir. En gros, ils ne les vendent pas, n’en parlent pas, mais à la demande il en existe encore :)
#19
Petit correctif :
« la conservation du cryptogramme est interdite après la réalisation de la première transaction ».
Non, la conservation du cryptogramme est interdite même lors de la 1ère transaction. Le cryptogramme est transmis à l’émetteur de la carte lors de la 1ère transaction ET NE DOIT PAS ETRE CONSERVE.
Lorsque vous faites vos achats sur un site marchand où vous n’êtes débité qu’au moment de l’envoie, ce que font la plupart des sites est d’envoyer une pré-autorisation (montant à 0 ou 1€) vers l’émetteur de la carte lros de la toute 1ère fois où vous utilisez la carte sur le site puis lors de l’envoie de la commande, ils effectuent ce qu’on appelle un paiement récurrent.
#20
Demander les infos de la CB par mail ou par téléphone se fait encore beaucoup aux USA. Ça fait tout bizarre…
#21
Si tu n’en trouve pas, tu peux toujours percer la carte pour couper l’antenne…
#22
#23
Pour les paranoïas du sans contact, il est vrai que les 1ères cartes permettaient d’accéder à un peu trop de donnée en clair, ce qui n’est plus vrai maintenant.
Pour information, seul le sans contact “puce” est acceptée en France (enfin au Crédit Agricole :-) ), c’est à dire avec des données cryptographiques calculées en temps réel lors de la transaction.
Au US , ils utilisent le sans contact piste , c’est pratiquement identique à une transaction piste sauf qu’une partie de la piste est recalculée en temps réel et de toute façon dans ce cas c’est une demande d’autorisation systématique.( pas forcément en sans contact puce, comme pour les paiements en mode contact)
#24
Et les cartes bleues reçues par la poste lors du renouvellement ? " />
#25
Pour travailler dans le monde de la monétique, je confirme, la désactivation du sans contact ne désactive pas la puce … :-).
Pour les initiés, c’est un script qui est envoyé sur la puce pour le désactiver lors d’une transaction on line : blocage du sans contact
#26
Autre info, sur le sans contact, l’Italie et l’Espagne s’amusent maintenant à faire des transactions sans contact avec saisie du code conf pour les montants supérieurs à 30€ (plus sûr du montant)
#27
J’ajoute à ce que propose Nozalys : Banque populaire, agences de rives de Paris au minimum mais je ne vois pas pourquoi ce ne serait pas pareil pour les autres entités du groupe, il faut demander un contrat carte sans NFC.
#28
et le code CVV écris au dos de la carte: login et mdp au même endroit " />
#29
#30
C’est d’autant plus vrai à l’étranger. Perso, j’ai opté pour une banque en ligne avec une carte qui ne me sert qu’à cet effet justement pour limiter les risques :)
#31
#32
#33
Mouai, moi, c’est toujours la piste magnétique qui est une plaie de sécurité, dans certain pays, au USA entre autre, c’est encore pas mal utilisé, pas besoin de code, il te demande juste une petite signature pour payer. Et ça, à copier, c’est très simple.
#34
En effet, toutefois la carte insérée dans un courrier dans une enveloppe banalisée. On ne remarque rien (sauf si on plie l’enveloppe).
#35
Hélas, un article de bon sens qui manque cruellement dans l’actualité.
Et après on nous fait peur au milieu de tous les « risques cyber » qui tirent des rayons lasers et mangent des bébés.
#36
Perso quand je vais a l’hôtel / resto je paye avec un chèque. Ils demandent la CNI ou PDC généralement pour vérifier l’identité et pis c’est tout.
#37
Parfois, c’est au téléphone que l’employé du centre d’appel d’un organisme de crédit ou d’une société où vous êtes client pourra vous proposer de vous proposera de lui donner les informations de votre carte bancaire.
On m’a déjà demandé ça au téléphone. J’ai écourté l’appel après avoir dit que c’était n’importe quoi.
#38
moi je demande le numéro de leur carte en contrepartie, car il n’y a aucun risque " />
#39
La Banque Postale (LBP) propose encore de ne pas vouloir de sans contact, c’est ce que je fais (malgré l’insistance de ma conseillère, qui prenait à la légère la question de la sécurité quand je lui en ai parlé).
#40
#41
C’est la différence entre un risque et un dommage. Chacun prend le risque qu’il souhaite. Bien malin celui qui passe entre les gouttes des probabilités.
C’est comme les conflits d’intérêts : il n’y a rien à craindre tant que rien ne se produit. C’est quand ça se produit, qu’il y avait quelque chose à prévoir.
#42
À La Banque postale (comme dans d’autres réseaux bancaires français), les conseillers ne connaissent rien à ce qu’ils vendent. J’espère que tu t’es bien renseigné ailleurs qu’auprès d’un conseiller commercial de La Banque postale pour être certain de ton coup.
#43
Perso j’ai été étonné de voir ma Freebox arriver à la maison avec les identifiant sur un papier volant avec la boite.
Identifiant qui donnent accès a l’espace perso, qui donne accès à l’IBAN complet.
Suffirait qu’un tiers ouvre et referme bien le colis pour que mon IBAN soit dans la nature, je trouve cela plus que limite.
#44
#45
#46
#47
Jusqu’à maintenant il y a surtout eu des cas de cartes perdues ou volées dont le nfc fonctionnait toujours après la révocation de la carte. Mais les banques ont dû vite y remédier. " /> Reste entre la perte de la carte et sa révocation en attendant des avancées technologiques côté fraudeurs : du coup les chercheurs essayent de prendre de l’avance avec les techniques de Distance-bounding.
Pour avoir quelques chiffres, dans le rapport de sécurité des moyens de paiement de la Banque de France :
L’Observatoire a collecté, pour la troisième année consécutive, les données permettant de mesurer le taux de fraude sur les paiements sans contact. Ainsi, sur l’ensemble de l’année 2016, 628,5 millions de paiements sans contact ont été enregistrés pour un montant total de 6 450,7 millions d’euros, représentant respectivement 6,5 % en volume et 1,6 % en valeur des paiements de proximité, pour un montant moyen de 12,5 euros par opération.
Par ailleurs, environ 119 000 paiements frauduleux ont été recensés sur la même période pour un montant total de 1,298 million d’euros.
Le taux de fraude sur les transactions sans contact s’élève par conséquent
à 0,020 % sur cette période. Il se maintient, comme en 2015 où il s’établissait à 0,019 %, à un niveau intermédiaire entre le taux de fraude des paiements de proximité tous modes confondus (0,008 %) et celui des retraits (0,029 %), et se situe par conséquent à un niveau très inférieur à celui des paiements à distance (0,199 %).
#48
#49
#50
#51
J’avais déjà fait mon choix avant de voir ma conseillère, je ne la vois que rarement (1 fois toutes les x années, avec “x” le plus grand possible), mais “au passage” elle proposait fortement la CB avec paiement sans contact NFC, et j’ai refusé.
#52
D’après des echos importants, le NFC mis dans les CB est une passoire, mais j’aimerais vérifier moi-même, avec un compte secondaire que j’aurais bientôt chez Orange Bank, histoire de tester tout ça (si j’y arrive).
#53
Il y a environ 10 ans, j’ai réglé par carte dans une boutique d’un grand opérateur téléphonique. Le vendeur a ouvert une page sur un poste, et a rentré les informations de la carte + ccv dans un formulaire pour effectuer le paiement…
#54
Je touche du bois, je n’ai eu des emmerdes qu’avec un chèque et Paypal depuis que j’ai une CB, soit la fin des années 1980…
Ça va faire un peu chapeau d’alu ce que je vais dire mais, par précaution, j’ai acheté un étui spécial anti-lecture RFID pour ma CB. J’ai la flemme de demander à désactiver le paiement sans contact, en plus de m’en servir de temps à autre…
#55
Tant que le remboursement des transactions frauduleuses coûtera moins cher aux banques que de sécuriser leurs moyens de paiement, rien ne changera. La piste magnétique est toujours présente sur les cartes bleues par exemple…
Mais c’est assez surprenant quand on sait la complexité des processus de mise en œuvre des systèmes informatiques bancaires. C’est comme si la loi obligeait à construire un bunker avec porte blindée, mais sans interdire de laisser la clé à portée de main. " />
#56
J’ai la carte simple de La Banque Postale.
Il n’y a pas de puce ou alors elle est désactivée de base.
Boursorama permet la désactivation et activation en ligne dans l’espace compte bancaire. Jamais fait car NFC est désactivé de base.
J’utilise la e-carte bleue de la Banque Postale. Oui, une service payant pour compenser le manque de sécurité des cartes 😠
Il y a Hello Bank ou Fortuneo je crois qui proposent la e-carte bleue gratuitement….mais pas assez riche pour ouvrir un compte chez eux 🤔
#57
#58
#59
C’est vrai uniquement si tu n’as pas besoin d’une vraie carte bleue pour retirer ton achat (réservation de billets de train par exemple…)
#60
#61
LaBanquePostale propose par défaut des CB sans le paiement sans contact. Il faut le demander expressément pour l’avoir.
#62
Oui c’est par défaut sans contact avec LBP mais ils poussent de plus en plus à le prendre…
#63
Je suis passé à un bureau de La banque postale : le gars m’a répondu un peu n’importe quoi et a finalement conclu que j’étais un «spécialiste».
J’en ai retenu que les nouvelles cartes comporte une puce nfc, reconnaissable par ce logo.
#64
#65
Il y a bien la Société Générale qui propose une carte avec CVV dynamique au dos via un petit écran LCD. Mais ils rendent cette option payante. C’est assez inadmissible, sachant qu’il est de la responsabilité de la banque de supporter les coûts liés à la sécurité des moyens de paiement qu’ils fournissent.
#66
#67
#68
Concrètement c’est quoi le risque pour l’usager si on pirate son numéro CB + cryptogramme ?
Les fraudeurs ne vont pas pouvoir retirer d’argent aux distributeurs.
En revanche ils vont pouvoir acheter et se faire livrer des biens (quitte à les revendre pour faire de l’argent)
Mais si l’usager indique que telle transaction est frauduleuse il va être automatiquement remboursé par sa banque, non ?
A moins que celle-ci prouve que vous avez communiqué le code secret elle est tenue de rembourser.
Après la banque va se retourner vers le commerçant qui a accepté la commande avec légèreté qui se retournera contre le transporteur qui n’a pas vérifié l’identité etc etc
Au final il y aura un dépôt de plainte et sans doute que l’adresse de livraison sera black listée .
Il n’y a pas vraiment de risque individuel, mais plutôt un risque collectif qui est intégré dans le coût du dispositif.
#69
#70
je pense qu’il faut activer une nouvelle carte avec un achat par code avant de le faire via d’autres type de paiement, ce serait pour cela qu’ils l’expédient par simple lettre
#71
#72
#73
#74
En octobre j’ai vu un retrait bizarre via ma CB, alors qu’elle n’a pas de NFC.
C’est un retrait à l’étranger (hors zone euro, car 5 euros de frais à côté), alors que ma CB et moi n’avons pas bougé de la France.
La piste pour moi : un vol des numéros sur un site marchand ou piratage d’un serveur de banque, et création d’une CB “double”, une copie identique de l’originale, pour retirer des espèces dans un distributeur à l’étranger.
#75
#76
Suite à une transaction bizarre (piratage) sur ma CB, j’ai renouvelé en octobre 2017 ma Visa Classic et elle est toujours sans NFC (pas de logo avec les vagues).
#77
#78
Article L133-18 du Code Monétaire et Financier :
En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24,
le prestataire de services de paiement du payeur rembourse immédiatement au payeur le montant de l’opération non autorisée et, le
cas échéant, rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu
Immédiatement, ce n’est pas plusieurs mois plus tard. Et si la banque tarde, ne pas hésiter à les harceler ou à porter plainte.
#79
immédiatement après que la preuve de la fraude a été apportée, ce qui peut prendre plusieurs mois.
#80
La seule piste plausible : copie à ton insu de la piste magnétique (qui, elle, est bien une vraie passoire en terme de sécurité). Les informations affichées sur la CB ou récupérées via NFC ne permettent en aucun cas d’en créer un clone utilisable dans un DAB.
#81
interdit bancaire, c’est peut être un peu fort effectivement mais pas si déconnant. Et il n’empêche que les emmerdes tu les auras, à commencer par prouver qu’il y a eu fraude et que la banque accepte tes preuves.
#82
Immédiatement, c’est immédiatement, la loi est claire. La charge de la preuve est inversée, c’est à la banque que revient la charge de la preuve qu’il n’y a pas eu fraude. Et si la banque est récalcitrante, ne pas hésiter à faire appel à une association de consommateurs et à utiliser tous les moyens légaux possibles.
Ce genre de mésaventure m’est déjà arrivée, et le remboursement n’a même pas dû prendre 2 semaines.
#83
Et bien félicitations, mais ça ne se passe pas toujours comme ça, par exemple :http://www.lavoixdunord.fr/112198/article/2017-01-31/entre-clients-escroques-et-…
#84
#85
Je ne pense pas, car ma CB ne bouge jamais, toujours à portée de main, et je ne la laisse pas accessible comme ça…
Enfin, quoi qu’il en soit, j’ai fait opposition dès le lendemain à la CB et j’ai demandé à ma banque un remboursement, avec le formulaire qui va bien sur leur site.
#86
Il te faudra une carte de type “Electron” (ou équivalent). Pour l’instant du moins.
#87
#88
Oui ça paraît bien possible…
Au fait, un jour les CB pourront avoir un nombre de chiffres plus important ?
Parce que là, c’est court…
#89
#90
J’ai oublié une précision :
Je souhaite (par confort) une carte permettant de payer à l’étranger, Visa ou bien Mastercard.
Quelle est le type de ta carte bleue ?
#91
Certains DAB sont “piratés” pour justement cloner les cartes. Un lecteur de bande magnétique est inséré à l’endroit où tu insères ta carte dans le distributeur, puis récupéré plus tard par l’escroc.
Hormis cette méthode, il n’existe pas d’autre moyen pour cloner la bande magnétique : le cryptogramme présent au dos de la carte et celui mémorisé dans la bande sont par exemple différents. Même en générant aléatoirement un numéro de CB, la piste ne sera pas reproductible sans lecture physique.
#92
A LBP c’est la CB “Visa Classic”, qui est une carte internationale et qui n’est pas à autorisation systématique.
Je m’en suis déjà servi aux USA et en Egypte, ainsi qu’en Europe.