La carte bancaire reste le moyen de paiement favori des Français. Selon le dernier rapport de l’Observatoire de la sécurité des moyens paiements, elle était utilisée dans 53% des transactions en 2018. Le montant total de ces opérations s’élevait à 568 milliards d’euros la même année, auxquels s’ajoutent 136 milliards d’euros de retraits (pour 1,43 million d’opérations). Les cartes bancaires émises en France ont représenté 42% des cas de fraude en montant, juste derrière les chèques qui constituent le premier poste de fraudes dans l’Hexagone. Elles ont concentré en revanche 92,4% du nombre de transactions frauduleuses relevées sur l’année. Pourtant, si le volume d’attaques sur les paiements a encore bondi de 58% au deuxième semestre 2019 dans le monde, le taux d’attaques (rapporté au volume total de paiement) a diminué de 7% sur la période, selon le Cybercrime Report. Un succès qui peut s’expliquer, entre autres, par celui de la lutte contre la fraude à la carte bancaire. Mais pour appréhender cette dernière, il faut connaître ses différentes formes, que la BCE a regroupé en deux catégories :
– la fraude physique, à partir de cartes volées, copiées – on parle alors de skimming – ou de pression sur le payeur. Elle rassemble les cas où le fraudeur effectue un retrait au distributeur automatique de billet (DAB) et ceux où il réalise un paiement auprès d’un terminal de point de vente (point-of-sale terminal, POS).
– la fraude à distance, ou card-not-present fraud, via l’utilisation de données de cartes bancaires piratées puis utilisées pour réaliser des achats illicites, en ligne, par téléphone, par mail (paiements “MOTO”, pour mail order / telephone order) ou tout autre moyen de règlement d’une transaction à distance.
Au total, la direction générale de la concurrence, de la consommation et de la répression des fraudes répertorie une dizaine de sources, de techniques et de transactions différentes sujettes à la fraude à la carte bancaire. Mais quelle que soit la méthode, le résultat est le même : ce n’est pas le propriétaire de la carte qui réalise la transaction, ou alors pas de son plein gré.
Le tournant du standard EMV
Si les premières cartes prépayées sont apparues aux Etats-Unis au début des années 50, et la carte bleue lancée en 1967 en France, c’est l’introduction des normes EMV (Europay, Mastercard, Visa), en 1995, qui a permis une inflexion notable dans les taux de fraude à la carte bancaire. Ces standards ont introduit le recours au code PIN et aux algorithmes cryptographiques, deux éléments qui permettent un net renforcement de la sécurité de la carte, ainsi que des usages multi-applicatif rendus possibles par la présence d’une puce électronique. La généralisation de ces nouveaux outils de paiement a permis de remplacer les cartes à bandes magnétiques, beaucoup plus simples à copier, en Europe, au Japon, au Mexique, au Canada, etc. “Les Etats-Unis réalisent une migration vers les cartes EMV, mais il reste des pays comme l’Indonésie dans lesquels on n’est toujours pas passé aux cartes à puces, précise Patrice Meilland, SVP Powered Cards Business Line chez Idemia. Sur ces marchés, on constate encore une fraude massive au paiement de proximité.” Lorsque le mouvement vers les cartes EMV est amorcé, en revanche, la chute des taux de fraude est manifeste. Au Royaume-Uni, la migration de 2007 avait ainsi permis de réduire de 67% le volume des pertes dues aux transactions illicites réalisées depuis un terminal de paiement.
Les PCI DSS (Payment Card Industry Data Security Standard) constituent un autre ensemble de normes qui ont contribué à la sécurisation des paiements par carte bancaire. Mises aux points pour la première fois en 2004 par le Conseil des normes de sécurité PCI, elles visent surtout à protéger les informations des titulaires de cartes, pour éviter leur usage détourné en ligne.