Dans un contexte où la société française prend de plus en plus conscience de son empreinte numérique, l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (ARCEP) et l'Agence de la transition écologique (ADEME) viennent de franchir un pas décisif. Ces deux institutions ont annoncé ce jeudi 12 décembre la création d'un observatoire des impacts environnementaux du numérique, une initiative qui promet de révolutionner notre compréhension des enjeux écologiques liés aux technologies de l'information. Cette plateforme, fruit d'une collaboration initiée en 2020 à la demande des ministères de la Transition écologique et de l'Économie, vise à devenir une référence incontournable en matière de données fiables sur l'empreinte environnementale du numérique. "L'observatoire a vocation à constituer une plateforme de référence en matière de données fiables et sourcées sur les impacts environnementaux du numériqu...
C'est un concept de fraude que nous connaissons, sous le nom de man in the middle. La nouveauté est que ce professeur a réussi à le mettre en œuvre il y a quelques semaines », a expliqué hier Marc Bornet, administrateur du Groupement des Cartes Bancaires CB, confirmant des informations du Figaro.
Le scénario imaginé par le chercheur reste pour l'instant « académique ». « Le procédé requiert un matériel lourd, un ordinateur, qui doit être branché sur le terminal. Il faudra du temps pour miniaturiser un tel équipement », rassure Marc Bornet, qui précise que le leurre ne trompe pas les serveurs lorsque les transactions font l'objet d'une demande d'autorisation vers la banque du client (c'est-à-dire lors des retraits dans les distributeurs, des paiements par internet, et des achats dans un magasin d'un gros montant). Seules les petites transactions ne demandant pas d'autorisation pourraient être concernées. Marc Bornet rappelle enfin qu'un tel système de fraude ne fonctionne qu'avec de « vraies cartes », donc a priori des cartes volées. Dans ce cas, la fraude léserait les banques et non les clients, protégés par leur contrat.
Reste que les banques prennent très au sérieux cette menace de fraude, la plus grave jamais survenue contre les cartes à puces, réputées plus sûres que les cartes à bande magnétique.
C'est qu'en France, les cartes - qui sont le moyen de paiement préféré de 73 % des Français - représentent près de 48 % des paiements de détail. Fin 2008 selon les derniers chiffres du GIE Carte bancaire, les Français disposaient de 57,7 millions de cartes CB, contre 21 millions en 1992. En moyenne, chaque carte est utilisée 108 fois pour un paiement et 26 fois pour un retrait en une année. Et sur les quelque 1 000 milliards des dépenses de consommation des ménages français, plus d'un tiers est payé par carte CB.
Autant dire qu'une possible fraude au code secret constituerait non seulement une menace pour le système bancaire, mais entamerait la confiance des Français dans leur carte.
La course-poursuite contre les pirates
Les vols de cartes bancaires par une agression ou devant des distributeurs trafiqués selon diverses techniques, comme celle bien connue du collet marseillais, semblent dépassés. Les réseaux internationaux de fraude ont investi le secteur. Selon le dernier rapport de l'Observatoire de la sécurité des cartes de paiement, le taux de fraude sur les paiements de proximité et sur automate continue de diminuer (0,015 % en 2008 soit 44,5 M€), tout comme le taux de fraude sur les retraits (0,018 % soit 19,1 M€). En revanche, la fraude sur les paiements à distance est en hausse (0,252 % soit 67,2 M€). L'origine de la fraude la plus importante est désormais celle liée à l'usurpation de numéros de carte en vue de paiements frauduleux à distance.
Piratage. L'une des plus grosses fraudes en Europe s'est d'ailleurs faite à distance. En novembre dernier, un gang a piraté les bases de données d'une société espagnole détenant des informations bancaires de particuliers, notamment des touristes. Une fois les numéros récupérés, le gang a effectué des achats sur internet. Des banques allemandes dont les clients étaient victimes ont dû retirer d'urgence 100 000 cartes.
Yes cards. Autre système de fraude à grande échelle, celui de la fabrication de fausses cartes, que l'on appelle les « yes cards », c'est-à-dire des cartes, vierge à l'origine, qui, une fois programmées par les pirates disent toujours « oui » lors de toute transaction, quel que soit le code secret tapé. Les logiciels chargés de générer les numéros de fausses cartes Visa ou Mastercard ne manquent pas sur internet. C'est la raison pour laquelle, pour toute transaction par internet, il faut désormais indiquer le cryptogramme de 3 chiffres figurant au dos de nos cartes bancaires.
Mais entre les émetteurs de carte et les pirates, la course-poursuite est permanente. « Depuis 2002, les cartes CB se sont équipées d'une puce au nouveau standard international EMV. Et depuis 2005, un système de cryptage supplémentaire, le DDA (Dynamic Data Authentication), est ajouté aux cartes dites de 3e génération », précise le GIE CB.
Ross Anderson, l'homme qui a percé le secret
Ross Anderson est un spécialiste de la sécurité informatique. Ancien consultant dans ce domaine, il intègre en 1992 le département de recherche en sécurité et le laboratoire informatique de l'université de Cambridge. Il est membre de la Royal Society, de la Royal Academy of Engineering, de l'Institut de mathématique et de ses applications, et de l'Institut de physique au Royaume-Uni.
Son champ de recherches est particulièrement vaste. Il a publié des analyses et des études sur l'économie et la psychologie de la sécurité informatique ; sur les réseaux Peer-to-Peer et les systèmes de réseau social ; sur la fiabilité des systèmes de sécurité (dont la fraude bancaire et le Hacking) ; sur la robustesse des protocoles cryptographiques ; sur la sécurité des bases de données médicales ; et sur protection de la vie privée. Il est également le co-auteur d'un blog de référence, « Light Blue Touchpaper » (www.lightbluetouchpaper.org), qui aborde plusieurs aspects de la sécurité informatique.
Autant dire que Ross Anderson est tout sauf un plaisantin mais bien un expert reconnu qui fait autorité. C'est pour cette raison que les banques européennes ont pris très au sérieux sa découverte d'une faille d ans le processus d'authentification par code secret. Ros Anderson aurait déjà prévenu l'autorité qui supervise le secteur financier britannique (Financial Services Authority) ainsi que la Banque centrale européenne (BCE), qu'il allait publier prochainement sur internet le récit de sa découverte sur Internet.
Comment se protéger de la fraude ?
L'observatoire de la sécurité des cartes de paiement, organisme qui dépend de la Banque de France, a élaboré une série de conseils de prudence destinés aux porteurs de carte. Ces conseils de prudence ont été rédigés en collaboration avec les représentants des consommateurs, des commerçants et des émetteurs.
Protégez votre code. L'observatoire rappelle que la carte est personnelle et ne doit pas être prêtée. Il faut apprendre par cœur son code confidentiel, ne pas le noter ni le ranger avec la carte. N'hésitez pas à cacher avec votre main le clavier du terminal lors de la composition du code.
Chez les commerçants. Ne quittez pas votre carte des yeux. Vérifiez le montant affiché sur le terminal avant de valider.
Devant les distributeurs. Évitez les distributeurs qui paraissent avoir été altérés. Ne vous laissez pas distraire par des inconnus, même proposant leur aide. Mettez immédiatement en opposition votre carte si elle a été avalée.
Sur internet. Ne stockez pas le numéro de votre carte sur votre ordinateur. Vérifiez que le site internet de la boutique est sécurisé (présence d'un cadenas).
À l'étranger. Avant le départ contactez l'établissement émetteur de votre carte, pour connaître notamment les mécanismes de protection des cartes et munissez-vous des numéros internationaux de mise en opposition.
En cas de perte ou de vol. Faites immédiatement opposition. En cas de vol, déposez plainte au commissariat ou à la gendarmerie. À partir de la mise en opposition, votre responsabilité ne peut plus être engagée.
Carte à puce : invention française
La puce qui équipe les cartes bancaires est une invention française. Elle a été imaginée puis brevetée en 1974 par Roland Moreno et Jean Moulin. Comme les grandes inventions tout est parti d'une blague et le projet s'est d'abord appelé TMR en hommage au film de Woody Allen Take the money and run (Prend l'oseille et tire-toi). La carte à puce à ouvert la voie à une foule d'applications (carte téléphone, Monéo, carte SIM, cartes sans contact, etc.)