Comment éviter le vol de ses données bancaires sur Internet ?

Le paiement en ligne a beau être entré dans les habitudes de l’internaute moyen, il reste incroyablement mal sécurisé par rapport au paiement par carte bleue classique. Il n’est pas question pour autant d’abandonner les achats sur Internet ! Où sont les risques ? Comment font les criminels pour voler des données bancaires ? Comment éviter le piratage de sa carte bleue ? Que faire si vous voyez des paiements louches sur votre relevé de compte… autant de questions auxquelles nous allons répondre dans cet article !

La carte bancaire sur internet : un risque 25 fois plus élevé !

Ce sont les chiffres donnés par l’Observatoire de la Sécurité des Cartes de Paiement : le taux de fraude constaté en France en 2014 (derniers chiffres disponibles) pour le paiement en ligne était de 0,25% (un paiement sur 400) contre 0,01% (un sur 10 000) pour le paiement de proximité par carte bancaire habituel. Le taux de fraude en ligne est donc très élevé, et ces chiffres ne s’arrangent malheureusement pas beaucoup avec les années… Le commerce en ligne continuant à grossir rapidement, le volume de transactions frauduleuses sur les ventes à distance ne connaît pas la crise : il est passé de 146 à 264 millions d’euros entre 2010 et 2014… soit plus de 80% de hausse !

Lorsqu’on s’intéresse aux méthodes de fraude, les chiffres sont là aussi éloquents. L’utilisation de carte volée ou perdue d’une part et l’usurpation de numéro de carte d’autre part représentent 99% des fraudes constatées dans l’ensemble des paiements par carte bancaire. Mais ce sont bel et bien ces numéros de carte usurpés, la plupart du temps utilisés dans des paiements en ligne, qui représentent la première source de problème (66,4% des montants). Il faut dire qu’il est bien plus simple de voler et d’utiliser un numéro de carte que de voler la carte elle-même… et ce ne sont pas les moyens qui manquent !

Comment voler un numéro de carte bancaire

Selon vos goûts, vos moyens techniques et votre ambition, vous pourrez utiliser une des méthodes suivantes :

• pirater un PC à distance pour récupérer les informations qui sont stockées dessus ou même tapées par l’utilisateur à l’aide d’un “keylogger“
• faire un faux site de vente en ligne et récupérer les informations bancaires par la même occasion
• se faire passer pour un site de confiance vous demandant des coordonnées bancaires (phishing)
• attaquer un serveur stockant des numéros de carte
• intercepter les données bancaires sur le réseau lors de leur envoi
• photographier une carte à l’insu de son propriétaire
• le “moulinage” : générer des numéros de carte aléatoirement
• acheter des numéros de carte valables sur un marché noir

Bref, les moyens ne manquent pas… mais pourquoi cela semble-t-il si simple ? Est-ce vraiment si peu sécurisé ? Regardons comme cela se passe un peu plus en détail…

Comment une transaction par carte bancaire est-elle sécurisée ?

Quand on parle de numéro de carte bancaire, il s’agit en fait plus précisément des informations lisibles sur la carte, c’est à dire :

• le numéro
• le propriétaire de la carte
• la date d’expiration
• le code de vérification (le CCV2) constitué des 3 derniers chiffres au dos de la carte

Lors d’un paiement par carte en ligne classique, le site du commerçant vous renvoie normalement sur une page (ou un morceau de page) web gérée par sa banque. La plupart du temps, le commerçant ne voit donc pas passer les informations de votre carte bancaire ce qui réduit considérablement les risques de vol de données à cette étape. Par ailleurs, cette page de la banque utilise le protocole https qui empêche théoriquement l’interception des données sur le réseau entre le client et la banque.

La page de paiement de la banque vous demande alors votre numéro mais aussi les autres informations pour s’assurer que vous avez bien la carte entre les mains (et non que vous avez “mouliné” un bon numéro par exemple). Néanmoins, dans les 2 tiers des cas, la sécurisation s’arrête là : il suffit donc d’avoir l’ensemble des données de la carte pour réaliser le paiement.

Enfin, dans environ un paiement sur trois, une étape supplémentaire est nécessaire : le 3D secure. Cela consiste en un code de confirmation envoyé par SMS que vous devez entrer en un temps limité sur la page. Le 3D secure est une sécurisation très efficace quand elle est utilisée… mais elle a deux défauts :

• elle ajoute une étape qui n’est pas bien maîtrisée par tous les internautes… ce qui amène un nombre significatif d’abandon de commandes en cours de route : cela amène de nombreux commerçants à ne pas activer le 3D secure
• comme elle n’est pratiquée par la majorité des sites, elle n’est pas dissuasive pour les fraudeurs qui se contentent d’éviter les sites qui l’activent

Mais pourquoi les banques n’imposent-elles pas 3D Secure malgré tout ? N’ont-elles pas intérêt à sécuriser le processus au maximum ? C’est là que ça devient intéressant…

Qui paye lors d’une opération frauduleuse ?

La plupart du temps, en tant que consommateur, la banque vous rembourse lorsque vous avez été victime d’un vol ou d’une usurpation de carte bleue. Vous pourriez donc penser que c’est la banque qui supporte le coût du manque de sécurité de son système (ce qui paraîtrait plutôt logique)… or, il n’en est rien !
Une étude d’UFC Que Choisir nous donne la répartition suivante pour les opérations faites en France :

• 56,5 % directement supportés par les commerçants qui sont donc susceptibles de pertes sèches
• 2,3 % supportés par les consommateurs qui ne sont pas manifestés auprès de la banque ou qu’ils l’ont fait trop tard, ou qui ont subi une franchise
• 41,1 % directement supportés par la banque

Finalement 2,3 % pour le consommateur, cela paraît assez faible me direz-vous. C’est vrai, mais lorsqu’on creuse un peu on s’aperçoit que :

• les commerçants intègrent le coût de la fraude dans leur prix : ce sont donc les consommateurs qui payent
• les banquent intègrent le coût de la fraude dans leur « assurance moyen de paiement » : ce sont donc les consommateurs qui payent

Ne cherchez pas plus loin : le pigeon, c’est vous, c’est moi, c’est nous. Sous une forme ou une autre, nous devons payer pour le manque de sécurisation de ces transactions délibéré des banques et des commerçants en ligne. C’est un peu comme si la SNCF décidait de diminuer le nombre de ses contrôleurs pour faire des économies puis augmentait ses tarifs pour compenser la hausse de la fraude. Oui, on peut dire que c’est scandaleux !

Comment se protéger lors d’un paiement en ligne ?

Tous les paiements en ligne ne se valent pas. La première chose à faire est de s’assurer que l’on est en train d’acheter sur un site de confiance. Les 5 astuces que nous vous donnons dans cet article sont plus que jamais valables !

La seconde précaution est de bien choisir sa méthode de paiement. Il n’est en effet pas rare d’avoir le choix entre plusieurs méthodes chez un commerçant donné. A prix égal, la plus sécurisante pour vous est sans aucun doute Paypal. Paypal vous offre en effet plusieurs garanties :

• la protection des acheteurs en cas de problème avec un commerçant
• le fait que vos données bancaires ne sont transmises qu’à Paypal

Si Paypal n’est pas disponible ou coûte significativement plus cher que les autres moyens de paiement, vous devrez alors probablement payer par carte bancaire. Dans ce cas, vérifiez tous les points suivants :

• la transaction est sécurisée par https et son fameux cadenas vert (condition nécessaire mais pas suffisante : un site pirate peut parfaitement utiliser https !)
• certains navigateurs web (comme Google Chrome) vous proposent de retenir vos coordonnées bancaires : nous vous déconseillons de le faire
• certains sites vous proposent de conserver vos données bancaires : nous vous le déconseillons encore plus fortement de le faire
• faites une copie d’écran des endroits où l’on vous demande de saisir vos coordonnées bancaire : cela pourra vous servir en cas de problème
• surveillez toujours votre relevé de compte afin de vous assurer de l’absence de mouvements anormaux
• utiliser une e-carte bleue vous donnera une sécurisation supplémentaire (nous y reviendrons dans un prochain article)

Dernière précaution valable pour toute opération sensible en ligne : faites vos paiement sur un ordinateur sécurisé. Cela signifie qu’il doit bénéficier des mises à jour de sécurité automatique ainsi que d’un antivirus bien paramétré. Cela veut aussi dire que faire un paiement depuis le PC d’un ami dont vous ne connaissez pas la sécurité est un risque non négligeable !

Les autres moyens de paiement

1. Le virement bancaire est une opération irréversible mais il vous donne l’avantage de complètement contrôler le montant que vous payez.
2. Les autorisations de prélèvement sont à réserver à des paiements récurrents à des organismes dans lesquels vous avez une très grande confiance (impôts, opérateur, etc.)
3. Le chèque est parfois autorisé. Plus réversible que d’autres formes de paiement, il a néanmoins quelques inconvénients : les courriers qui n’arrivent pas, les montants et les ordres modifiés par des escrocs.
4. Les paiements en cash (Mandat cash, Western Union, coupon PCS) irréversibles, coûteux, utilisés dans de nombreuses arnaques sont à proscrire absolument pour les paiements à distance.

Que faire si je vois des opérations anormales sur mon relevé de compte ?

1. Assurez-vous tout d’abord qu’il ne s’agit pas d’opérations faites par quelqu’un de votre entourage… cela arrive plus souvent qu’on ne croit ! Cela peut aussi correspondre à un paiement que vous avez fait mais dont l’intitulé est bizarre sur votre relevé (cela est fréquent quand il y a des intermédiaires de paiement, notamment à l’étranger).
2. Si le doute persiste, contactez votre banque au plus vite : vous avez 70 jours pour contester un paiement par carte frauduleux à l’étranger, 13 mois dans le cas d’un paiement en France.
3. Si vous suspectez un vol de vos coordonnées bancaires, faites opposition à votre carte.
4. Procédez aux démarches demandées par votre banque pour obtenir le remboursement des montants frauduleux. D’après le code monétaire, la banque doit vous rembourser intégralement et sans délais. Un dépôt de plainte est exigé par certaines banques… même si rien ne l’impose du point de vue de la loi pour obtenir un remboursement, puisque c’est à la banque de prouver une éventuelle négligence lourde de votre part.
5. Si les difficultés persistent, adressez vous au médiateur bancaire voire à une association de consommateurs si ce n’est pas suffisant.

En conclusion : vérifiez toujours la fiabilité d’un commerçant en ligne

En choisissant des sites de confiance pour tout achat faisant intervenir un paiement en ligne par carte bancaire, vous éviterez l’essentiel des problèmes… et même si un paiement frauduleux devait vous arriver vous serez remboursé par votre banque.
Toutefois, si vous avez été victime d’une arnaque en achetant là où il ne fallait pas, les banques considéreront que vous êtes dans un cas de litige commercial et qu’elles ne peuvent rien pour vous. C’est le moment ou jamais de relire nos 5 astuces pour détecter un site d’arnaque !