Technomedia

La peur d'avoir d'oublié le code secret de sa carte bancaire lorsque l'on paie chez un commerçant ou, pire, l'angoisse de se faire voler ce fameux code de quatre chiffres, va-t-elle devenir un mauvais souvenir grâce au paiement sans contact ? En tout cas, les Français commencent à se familiariser avec cette nouvelle façon de payer, comme l'ont indiqué vendredi 10 avril  Axelle Lemaire, secrétaire d'État au Numérique, et le GIE Cartes Bancaires qui faisaient un point sur le sujet (lire ci-dessous).
Le paiement sans contact ? Une nouvelle façon de payer, plus simple et plus rapide. Grâce à une puce incorporée à la carte bleue, on peut payer jusqu'à 20 € sans avoir besoin de composer son code secret, simplement en apposant la carte quelques instants sur le terminal compatible du commerçant. Gain de temps, simplicité… et sécurité.
L'observatoire de la sécurité des cartes de paiement, un organisme dépendant de la Banque de France, notait déjà dans son rapport annuel 2013 publié en juillet dernier, que «le taux de fraude sur les paiements de proximité reste à un niveau très faible (0,013), en baisse par rapport à 2012 (0,015 %)».
Ce système de paiement sans contact, adopté sur 36,7 % des cartes en circulation, semble en tout cas plus abouti que le porte-monnaie électronique Moneo qui était inclus dans certaines cartes.

Le coup d'accélérateur d'Apple

Mais surtout, ce qui pourrait donner un coup d'accélérateur à l'adoption du paiement sans contact serait de se passer de la carte bancaire pour utiliser un appareil que l'on a désormais toujours sur soi : son smartphone.
En présentant en septembre dernier sa solution de paiement sans contact baptisée Apple Pay, le PDG d'Apple, Tim Cook a évidemment parlé de «révolution», un mot que la firme à la pomme utilise souvent à l'excès. Pourtant, cette fois, cette nouvelle fonctionnalité des iPhone, qui est déployée aux États-Unis depuis octobre dernier, pourrait bien donner tout à la fois le coup d'envoi d'une nouvelle étape dans la façon dont nous réglons nos achats chez les commerçants, et faire à terme une victime : la carte bancaire.

7,2 millions de mobiles NFC en France

Car si le smartphone sert effectivement de moyen de paiement, à quoi bon conserver sur soi une carte de paiement ? La question se pose de moins en moins de façon théorique puisque le parc de lecteurs sans contact progresse fortement : «Fin 2017, l'immense majorité du parc de commerçants sera équipée», assure Bruno de Laage, président du Conseil de direction du GIE Cartes Bancaires. En tout cas les fabricants de smartphones – Apple en tête – les opérateurs télécoms et les banques veulent y croire.


Il y a quelques jours Visa a convaincu quatre grandes banques françaises (BNP Paribas, la BPCE, la Banque Postale et la Société Générale) de s'associer à son expérimentation sur le paiement mobile sans contact, avec Wordline, la filiale d'Atos spécialisée dans le paiement en ligne. De quoi réjouir l'Association Française du Sans Contact Mobile (AFSCM) qui estime que cette fois, avec plus de 7,2 millions de Français équipés d'un téléphone mobile NFC, et des applications mobiles de paiement fiables, «l'essor du paiement mobile» en France est en marche. Le GIE Cartes Bancaires organise une grande campagne de communication nationale durant cinq semaines sur le sujet avec trois spots publicitaires actuellement diffusés à la télévision. Pour Bruno de Laage, président du Conseil de direction du GIE, plus de doutes : «L'avenir du sans contact est le mobile. La vraie révolution via le mobile permettra une évolution du paiement physique, en ligne»

Paiements sans contact multipliés par 7 en un an

Le paiement sans contact prend de l'ampleur en France. Tel est l'enseignement du bilan tiré hier par le GIE Carte Bancaires en présence d'Axelle Lemaire. «Opérateurs telecom et start-up sont mobilisés», a assuré la secrétaire d'État au Numérique. Vendredi 10 avril, le GIE a livré des chiffres très encourageants et parfois étonnants. Le profil type de l'utilisateur du paiement sans contact en France est une femme de 58 ans et l'article le plus couramment acheté est… la baguette !
Entre janvier 2014 et janvier 2015, le nombre de paiements sans contact a été multiplié par 7 en France. Plus de 70 millions de transactions ont été réalisées durant cette période. On compte 267 290 commerces équipés de terminaux compatibles soit 20,6 % ; certains étant très avancés comme Carrefour, équipé depuis 2009.
Actuellement il y a 30 millions de cartes bancaires sans contacts en France (200 millions en Europe) mais seuls 20 % des porteurs se servent du sans contact, qui recueille toutefois entre 94 % et 98 % de taux de satisfaction. «Le paiement sans contact sans code a le même niveau de sécurité qu'avec code sur carte classique», rappelle Bruno de Laage, du GIE.
Surtout 7,2 millions de personnes possèdent désormais l'un des 50 mobiles compatibles NFC. «Plus de 8 smartphones sur 10 sont NFC en France», indique Thierry Millet, Directeur des Services Financiers Mobiles et NFC d'Orange, qui précise que tous les opérateurs ont travaillé ensemble au sein de l'AFSCM. Histoire de faire émerger des solutions alternatives, françaises et européennes, face aux rouleaux compresseurs que sont Google et Apple.

Apple veut nous faire payer avec notre smartphone



Lors de la présentation d'Apple Pay, son nouveau moyen de paiement via l'iPhone, le PDG d'Apple, Tim Cook avait dévoilé une courte vidéo comparative. Dans la première séquence, l'on voit une femme dans un magasin effectuer un achat. Au moment de payer, elle fouille dans son sac, sort son porte-monnaie, puis sa carte bleue, la tend au commerçant, compose son code, reprend sa carte, la range. Dans la seconde séquence, elle sort juste son iPhone, le pose sur le terminal de paiement.

800 millions de comptes déjà créés

Le smartphone reconnaît alors son empreinte digitale et le paiement est effectué. «Et c'est tout !» s'est alors exclamé le PDG d'Apple. Rapidité et simplicité : tels sont bien les deux maîtres-mots du nouveau moyen de paiement sur lequel Apple mise beaucoup pour s'attirer de nouveaux clients
Certes le système d'Apple utilise la technologie sans contact NFC qui n'est pas une nouveauté. La preuve, les dernières cartes bancaires en France disposent aussi d'une puce pour les petits paiements de moins de 20 €.
Mais Apple voudrait bien réaliser avec le paiement ce qu'elle a fait avec l'iPhone. Elle n'avait pas inventé le smartphone mais elle en a révolutionné l'usage. Avec le paiement par iPhone, l'ambition est la même. Et cette fois, Apple part avec un atout de taille : son portefeuille de clients qui, tous, au moment de l'achat d'un iPhone, ont donné leurs coordonnées bancaires pour effectuer des achats de musique ou d'applications. Dès lors, Apple apparaît comme un intermédiaire incontournable dans l'acte de paiement et prélève au passage une commission : 0,15 % du prix de la transaction.
Si les consommateurs peuvent plébisciter la simplicité d'Apple Pay, les commerçants, eux, sont plus partagés. L'Apple Pay a convaincu les principales banques américaines, les grands groupements de cartes comme Visa ou Mastercard, et des enseignes comme les grands magasins Macy's ou la chaîne McDonald's, mais d'autres ne veulent pas en entendre parler comme les supermarchés Wal-Mart ou Best Buy.


Les petits commerçants rechignent aussi à basculer dans la solution de paiement d'Apple car ils ont adhéré au consortium MCX, qui leur a promis de prélever des commissions moins chères. En France aussi, la méfiance est de mise face à Apple Pay qui doit arriver dans le courant de cette année. Le groupe Auchan préfère ainsi miser sur sa propre solution MyAuchan.
Second point de friction entre Apple et les commerçants : l'utilisation des données personnelles. Les commerçants n'accèdent pas aux informations sur les cartes de crédit de leurs clients et ne peuvent donc y mener leurs programmes de fidélité.
Enfin, une étude réalisée début mars, publiée par InfoScout et PYMNTS, sur le nombre d'utilisateurs d'Apple Pay et leur usage du service de paiement sans contact montre que seulement 6 % ont payé au moins une fois avec et 9 % ont ouvert l'application par curiosité. En cause des difficultés pour payer et des dysfonctionnements (caissiers non formés, double facturation).

Les milliards du paiement mobile

Pas de nature à doucher l'optimisme d'Apple, qui envisage de faire de sa montre connectée un autre moyen de paiement mobile, puisque, selon une enquête de Phœnix Marketing International, 66 % des utilisateurs d'iPhone ont créé leur compte sur Apple Pay.
Pour l'heure, tous les acteurs ont l'œil braqué sur un chiffre : le marché mondial des paiements mobiles, qui pourrait peser 85 milliards de dollars en 2018 dans le monde dont 13 milliards aux États-Unis selon Strategy Analytics. Pas étonnant que Google et Microsoft envisagent aussi de créer un équivalent de l'Apple Pay.


«Un vrai confort, mais des questions sur la sécurité»

Serge Maître est secrétaire général de l'Association française des usagers des banques (www.afub.org).

Que pensez-vous du paiement par smartphone. Y a-t-il des risques ?
Petit à petit le téléphone portable va s'enrichir de la fonctionnalité de paiement qui va se substituer à l'usage de la carte bancaire proprement dit. De l'autre côté des Pyrénées on paie déjà son taxi avec son mobile. Est-ce que l'on doit avoir des réserves ? Concrètement c'est fait pour faciliter la vie du quotidien, éviter d'avoir de la monnaie ou des billets dans ses poches. Mais la sécurité est-elle meilleure ou non ? C'est une des grosses interrogations. On peut suspecter que les fraudeurs puissent s'emparerait suite à un vol du téléphone – comme il y a des vols de cartes bancaire – ou s'introduisent informatiquement dans le téléphone pour porter atteinte à la sécurité de votre argent.

Le risque de fraude va-t-il augmenter ?
Le paiement par téléphone est très répandu dans certains pays comme au Japon sans qu'il y ait une vague de fraude. Le seul problème chez nous, c'est que nous sommes le pays le plus bancarisé carte bancaire et moyens de paiement assimilés. On risque donc de se retrouver avec un flux de fraude réel. À Toulouse dernièrement, un réseau de fraudeurs au 3D-secure a été arrêté, donc la sécurité des technologies nouvelles n'est pas toujours au rendez-vous.
L'autre problème est que tous ces moyens supposent la mise en œuvre de logiciels auxquels on donne des codes d'accès que vous vous êtes engagé, auprès de votre banque, à garder confidentiels. Par exemple, sur les smartphones, il faut donner les codes confidentiels d'accès à sa banque. Cela aggrave le problème.

Avez-vous déjà reçu des plaintes à ce sujet ?
Pas encore. On a des plaintes de gens qui ont donné des ordres de virement sur internet et qui sont pillés parce que quelqu'un s'est introduit dans leur ordinateur. Les téléphones sont des ordinateurs donc nous sommes vulnérables. Il faut que les consommateurs ne succombent pas à l'effet de mode et se demandent «Est-ce que ça correspond à mon besoin ?» En résumé, le paiement par mobile apporte confort et facilité d'utilisation, mais il y a la sécurité en question.

La monnaie dans tous ses états 

Les monnaies virtuelles

C'est la monnaie virtuelle qui fascine et inquiète : le Bitcoin, de coin (pièce en anglais) et bit (l'unité informatique). Bitcoin est «le premier réseau de paiement pair à pair décentralisé fonctionnant grâce à ses utilisateurs, sans autorité centrale ou intermédiaire. Bitcoin est comparable à de l'argent liquide pour Internet», explique le site internet. Conçu en 2009 par un développeur non identifié dont le pseudonyme serait Satoshi Nakamoto, le Bitcoin est à la fois un système de paiement et l'unité de compte de ce paiement. Au départ, utilisée uniquement par les geeks, cette monnaie s'est progressivement répandue. Des grandes enseignes acceptent les bitcoins, qui peuvent par ailleurs être échangés contre de vrais dollars. Fin août 2013, la valeur de tous les bitcoins en circulation a dépassé 1,5 milliard de dollars. Et entre 2011 et fin 2013, le nombre d'utilisateurs de bitcoins, tous profils confondus a été multiplié par 10, à près de 7 millions. Deux écueils : la volatilité du Bitcoin qui réagit au moindre événement et le fait que les bitcoins, comme tout portefeuille électronique, peuvent être piratés.  

Les miles et points de fidélité
Ce sont des monnaies auxquelles on ne pense pas forcément mais qui ont pourtant un vrai poids économique : les miles des compagnies aériennes. C'est en 1981 que tout a commencé. La compagnie aérienne American Airlines a distribué les premiers miles à ses clients, des points de fidélité convertibles en avantages ou en billets d'avion. Depuis, plus de 160 compagnies ont adopté ce système, qui «paie» tous les ans quelque 20 millions de voyages. Mieux, les compagnies aériennes ont complètement intégré les miles dans leur politique commerciale : elles vendent des miles à leur client qui ne volent pas mais aussi à une foule de partenaires au sol comme les chaînes d'hôtels, les loueurs de voitures, de grandes chaînes de magasins ou des opérateurs téléphoniques. Qui à leur tour en distribuent à leurs clients. La valeur des miles dépasserait le total des dollars papier, soit plus de 2 200 milliards de dollars. Le système des miles s'est depuis décliné avec tous les programmes de fidélité des grandes enseignes. 

Les monnaies solidaires
Troisième type de monnaie alternative : les monnaies solidaires, appelées aussi monnaies sociales, locales, citoyennes. Leur objectif est le même : permettre à des membres d'un réseau partageant un ensemble de valeurs éthiques et sociales de réaliser des échanges de biens et de services sur un territoire délimité. Le phénomène n'est pas nouveau et sans remonter à l'Antiquité ou au Moyen Âge, au XXe siècle, il y a déjà eu des monnaies locales après la crise de 1929, en Allemagne. En France, la première monnaie locale est l'Abeille, créée dans notre région à Villeneuve-sur-Lot en janvier 2010. Depuis, une trentaine de monnaies a vu le jour, notamment les monnaies SOL qui regroupent une dizaine d'initiatives comme le SOL-Violette à Toulouse, l'une des plus importantes en termes de chiffre d'affaires. Leur succès a même questionné les instances bancaires de l'euro. Ce mercredi 8 avril, Jean-Philippe Magnen, vice-président du Conseil régional des Pays de la Loire, a remis un rapport à Bercy sur ces monnaies locales complémentaires.

Alerte rouge sur les cartes bancaires à puces. Les banques de toute l'Europe - dont en France le Crédit agricole, la Banque postale ou BNP-Paribas - sont mobilisées depuis plusieurs jours pour trouver une solution à l'incroyable faille découverte par un universitaire anglais. Ross Anderson, spécialiste de la sécurité informatique, a, en effet, trouvé comment fausser le dialogue entre une carte et un terminal de paiement, en faisant croire à ce dernier que le porteur de la carte a bien tapé le code secret à 4 chiffres.

C'est un concept de fraude que nous connaissons, sous le nom de man in the middle. La nouveauté est que ce professeur a réussi à le mettre en œuvre il y a quelques semaines », a expliqué hier Marc Bornet, administrateur du Groupement des Cartes Bancaires CB, confirmant des informations du Figaro.

Le scénario imaginé par le chercheur reste pour l'instant « académique ». « Le procédé requiert un matériel lourd, un ordinateur, qui doit être branché sur le terminal. Il faudra du temps pour miniaturiser un tel équipement », rassure Marc Bornet, qui précise que le leurre ne trompe pas les serveurs lorsque les transactions font l'objet d'une demande d'autorisation vers la banque du client (c'est-à-dire lors des retraits dans les distributeurs, des paiements par internet, et des achats dans un magasin d'un gros montant). Seules les petites transactions ne demandant pas d'autorisation pourraient être concernées. Marc Bornet rappelle enfin qu'un tel système de fraude ne fonctionne qu'avec de « vraies cartes », donc a priori des cartes volées. Dans ce cas, la fraude léserait les banques et non les clients, protégés par leur contrat.

Reste que les banques prennent très au sérieux cette menace de fraude, la plus grave jamais survenue contre les cartes à puces, réputées plus sûres que les cartes à bande magnétique.

C'est qu'en France, les cartes - qui sont le moyen de paiement préféré de 73 % des Français - représentent près de 48 % des paiements de détail. Fin 2008 selon les derniers chiffres du GIE Carte bancaire, les Français disposaient de 57,7 millions de cartes CB, contre 21 millions en 1992. En moyenne, chaque carte est utilisée 108 fois pour un paiement et 26 fois pour un retrait en une année. Et sur les quelque 1 000 milliards des dépenses de consommation des ménages français, plus d'un tiers est payé par carte CB.

Autant dire qu'une possible fraude au code secret constituerait non seulement une menace pour le système bancaire, mais entamerait la confiance des Français dans leur carte.



Les vols de cartes bancaires par une agression ou devant des distributeurs trafiqués selon diverses techniques, comme celle bien connue du collet marseillais, semblent dépassés. Les réseaux internationaux de fraude ont investi le secteur. Selon le dernier rapport de l'Observatoire de la sécurité des cartes de paiement, le taux de fraude sur les paiements de proximité et sur automate continue de diminuer (0,015 % en 2008 soit 44,5 M€), tout comme le taux de fraude sur les retraits (0,018 % soit 19,1 M€). En revanche, la fraude sur les paiements à distance est en hausse (0,252 % soit 67,2 M€). L'origine de la fraude la plus importante est désormais celle liée à l'usurpation de numéros de carte en vue de paiements frauduleux à distance.

Piratage. L'une des plus grosses fraudes en Europe s'est d'ailleurs faite à distance. En novembre dernier, un gang a piraté les bases de données d'une société espagnole détenant des informations bancaires de particuliers, notamment des touristes. Une fois les numéros récupérés, le gang a effectué des achats sur internet. Des banques allemandes dont les clients étaient victimes ont dû retirer d'urgence 100 000 cartes.

Yes cards. Autre système de fraude à grande échelle, celui de la fabrication de fausses cartes, que l'on appelle les « yes cards », c'est-à-dire des cartes, vierge à l'origine, qui, une fois programmées par les pirates disent toujours « oui » lors de toute transaction, quel que soit le code secret tapé. Les logiciels chargés de générer les numéros de fausses cartes Visa ou Mastercard ne manquent pas sur internet. C'est la raison pour laquelle, pour toute transaction par internet, il faut désormais indiquer le cryptogramme de 3 chiffres figurant au dos de nos cartes bancaires.

Mais entre les émetteurs de carte et les pirates, la course-poursuite est permanente. « Depuis 2002, les cartes CB se sont équipées d'une puce au nouveau standard international EMV. Et depuis 2005, un système de cryptage supplémentaire, le DDA (Dynamic Data Authentication), est ajouté aux cartes dites de 3e génération », précise le GIE CB.

Ross Anderson, l'homme qui a percé le secret

Ross Anderson est un spécialiste de la sécurité informatique. Ancien consultant dans ce domaine, il intègre en 1992 le département de recherche en sécurité et le laboratoire informatique de l'université de Cambridge. Il est membre de la Royal Society, de la Royal Academy of Engineering, de l'Institut de mathématique et de ses applications, et de l'Institut de physique au Royaume-Uni.

Son champ de recherches est particulièrement vaste. Il a publié des analyses et des études sur l'économie et la psychologie de la sécurité informatique ; sur les réseaux Peer-to-Peer et les systèmes de réseau social ; sur la fiabilité des systèmes de sécurité (dont la fraude bancaire et le Hacking) ; sur la robustesse des protocoles cryptographiques ; sur la sécurité des bases de données médicales ; et sur protection de la vie privée. Il est également le co-auteur d'un blog de référence, « Light Blue Touchpaper » (www.lightbluetouchpaper.org), qui aborde plusieurs aspects de la sécurité informatique.

Autant dire que Ross Anderson est tout sauf un plaisantin mais bien un expert reconnu qui fait autorité. C'est pour cette raison que les banques européennes ont pris très au sérieux sa découverte d'une faille d ans le processus d'authentification par code secret. Ros Anderson aurait déjà prévenu l'autorité qui supervise le secteur financier britannique (Financial Services Authority) ainsi que la Banque centrale européenne (BCE), qu'il allait publier prochainement sur internet le récit de sa découverte sur Internet.

L'observatoire de la sécurité des cartes de paiement, organisme qui dépend de la Banque de France, a élaboré une série de conseils de prudence destinés aux porteurs de carte. Ces conseils de prudence ont été rédigés en collaboration avec les représentants des consommateurs, des commerçants et des émetteurs.

Protégez votre code. L'observatoire rappelle que la carte est personnelle et ne doit pas être prêtée. Il faut apprendre par cœur son code confidentiel, ne pas le noter ni le ranger avec la carte. N'hésitez pas à cacher avec votre main le clavier du terminal lors de la composition du code.

Chez les commerçants. Ne quittez pas votre carte des yeux. Vérifiez le montant affiché sur le terminal avant de valider.

Devant les distributeurs. Évitez les distributeurs qui paraissent avoir été altérés. Ne vous laissez pas distraire par des inconnus, même proposant leur aide. Mettez immédiatement en opposition votre carte si elle a été avalée.

Sur internet. Ne stockez pas le numéro de votre carte sur votre ordinateur. Vérifiez que le site internet de la boutique est sécurisé (présence d'un cadenas).

À l'étranger. Avant le départ contactez l'établissement émetteur de votre carte, pour connaître notamment les mécanismes de protection des cartes et munissez-vous des numéros internationaux de mise en opposition.


En cas de perte ou de vol. Faites immédiatement opposition. En cas de vol, déposez plainte au commissariat ou à la gendarmerie. À partir de la mise en opposition, votre responsabilité ne peut plus être engagée.

Carte à puce : invention française

La puce qui équipe les cartes bancaires est une invention française. Elle a été imaginée puis brevetée en 1974 par Roland Moreno et Jean Moulin. Comme les grandes inventions tout est parti d'une blague et le projet s'est d'abord appelé TMR en hommage au film de Woody Allen Take the money and run (Prend l'oseille et tire-toi). La carte à puce à ouvert la voie à une foule d'applications (carte téléphone, Monéo, carte SIM, cartes sans contact, etc.)

Depuis le début du mois, les Français reçoivent les plaquettes tarifaires éditées par leurs banques. L'occasion de constater la hausse de plusieurs prestations, notamment pour les forfaits et les cartes, qui peuvent atteindre 25 % selon Les Échos. De quoi se laisser tenter par les banques en ligne aux tarifs plus avantageux ? Voire.

Même si les réseaux traditionnels avec agences de quartier ne semble pas encore menacés, ces nouvelles banques qui ne fonctionnent que sur internet séduisent petit à petit les Français. Certes, les clients de ces nouveaux établissements bancaires ne représentent que1 % des usagers (soit moins de 500 000 personnes) et nombreux sont ceux qui entendent rester fidèles et à leur agence et à leur conseiller.

Mais les habitudes sont là : internet est devenu le premier moyen pour entrer en contact avec son banquier. 50 % des personnes interrogées par le Crédoc (Centre de recherche pour l'étude et l'observation des conditions de vie) utilisent ainsi prioritairement internet pour consulter la situation de leurs comptes courants. Mais il existe encore une réticence à franchir le pas pour passer à une banque toute en ligne. Parmi les sondés qui envisagent de changer de banque, seuls 12 % opteraient pour une banque 100 % internet.

Pour autant, les banques traditionnelles investissent à fond dans la Toile. En prenant des participations (Boursorama est filiale de la Société générale, Monabanq a été rachetée par le Crédit Mutuel) ou en créant leurs propres banques en ligne : BforBank (Crédit Agricole), Groupama Banque, Net Agence (BNP Paribas). La Caisse d'Épargne présentera la sienne la semaine prochaine.

Selon le cabinet Sia Conseil, ce développement des banques virtuelles, combiné à d'autres facteurs (concentration, réduction de coûts, hausse du nombre d'intermédiaires de crédit, automatisation, etc.) pourrait entraîner la fermeture de 750 à 1 100 agences d'ici 2 012. Paradoxalement, les banques virtuelles pourraient ouvrir des agences en dur, comme Boursorama. Car tous les établissements bancaires privilégient une relation multicanal, où internet est un moyen de relation parmi d'autres.

Reste que les offres de bienvenue des banques en ligne (carte de paiement internationale gratuite, nombreux services gratuits ou bon marché) pourraient séduire au-delà de la cible actuelle des technophiles urbains aisés.

Les États-Unis viennent de mettre au jour la plus vaste fraude à la carte bancaire jamais réalisée : 130 millions de comptes ont, en effet, été piratés entre fin 2006 et début 2008. À l'origine de ce cyberbraquage, Albert Gonzales, un jeune et génial crack en informatique de 28 ans, qui n'est pas un inconnu pour les autorités américaines, loin s'en faut.
Le jeune homme, fils d'immigrants cubains et féru de technologies depuis le lycée, a été arrêté une première fois en 2003 dans le New Jersey pour une affaire de piratage. Comme souvent dans ce type de dossiers, il lui avait été proposé, pour bénéficier d'une réduction de peine, d'aider le FBI à traquer ses complices, ce qu'il avait accepté. Sous le pseudonyme « CumbaJohny », il permet d'identifier 28 cyberdélinquants. Sauf que le petit génie joue double jeu et mène de front des activités criminelles. Il parvient alors à pirater 40 millions de cartes de crédit. En dépit des fortes sommes que lui rapporte le piratage, il vit dans un appartement miteux de Miami mais vise toujours plus haut. Il parvient sans mal, avec deux complices russes, à profiter de failles informatiques pour s'introduire dans les réseaux de supermarchés et d'organismes financiers pour voler les coordonnés bancaires des clients ; coordonnées ensuite envoyées sur des serveurs aux États-Unis, en Lettonie, aux Pays-Bas et en Ukraine puis revendues. Cette fraude géante coûterait 90 à 305 $ par dossier piraté, selon une étude de l'institut Forrester Research. Albert Gonzales, arrêté lundi, risque la prison à vie. Cette histoire, dont Hollywood fera sans doute un film, repose en tout cas la question de la sécurité et du vol des données bancaires ; un problème qui concerne tous les pays. En France, où les fraudes aux cartes ont augmenté en 2008 particulièrement pour les paiements sur Internet - Nicolas Sarkozy en a lui-même été victime - le gouvernement a renforcé en janvier les moyens de l'Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication (OCLTIC). Mais sans une réponse internationale bien coordonnée, les cyberpoliciers risquent d'avoir une longueur de retard.
Du côté des banques et des entreprises, on s'organise pour mieux protéger les données des clients, avec l'aide des éditeurs de logiciels antivirus. Le secteur bancaire a mis en place des normes internationales qui devraient se renforcer pour assurer la fiabilité et la sécurité des transactions sur internet. Ainsi pour faire un achat, après le numéro de carte et les trois chiffres du cryptogramme, les internautes vont devoir préciser leur date de naissance sur certains sites d'achat en ligne. L'obligation de répondre à des questions personnelles (date de naissance, etc.) est aussi dans les tuyaux.
Enfin, en amont, chez le consommateur, il faut que celui-ci soit très vigilant avant de donner son numéro de carte et se méfie des e-mails fantaisistes qu'il peut recevoir. Si la sécurité est affaire de moyens, elle est aussi question de pédagogie.


Les fraudes à la carte bancaire augmentent
Selon le rapport annuel 2008 de l'Observatoire de la sécurité des cartes de paiement, organisme émanant de la Banque de France, les fraudes à la carte bancaire progressent en France, à 50 000 cas. « La progression des montants de fraude (320,2 millions d'euros en 2008 contre 268,5 en 2007, soit une hausse de 19,3 %) est plus importante que la croissance du montant des transactions (464,0 milliards d'euros en 2008 contre 430,7 en 2007, soit une hausse de 7,7 %). Le montant moyen d'une transaction frauduleuse est stable à 131 euros », expliquait l'Observatoire le 9 juillet dernier. La part la plus importante revient aux paiements à distance (Internet mais aussi arnaques par courrier et téléphone). Le taux de fraude s'élève à 0,252 % pour un montant de 67,2 millions d'euros. « Les paiements à distance, qui représentent 6 % de la valeur des transactions nationales, comptent désormais pour 51 % du montant de la fraude Cette hausse de la fraude est toutefois à relativiser compte tenu de la croissance très dynamique du volume et de la valeur des paiements à distance », détaille l'Observatoire, qui constate que l'origine de fraude la plus importante est désormais celle liée à l'usurpation de numéros de cartes utilisés pour les paiements frauduleux à distance.



« Une police internationale pour Internet est urgente »

Jean-Philippe Bichard est expert en cybercriminalité, porte-parole de l'éditeur de logiciels Kaspersky Lab.

Une fraude massive comme celle survenue aux États-Unis est-elle possible en France ?
Cette affaire soulève plusieurs aspects de la cybercriminalité. Il faut tout d'abord dire qu'en France nous sommes davantage protégés du piratage car nos cartes bancaires sont dotées d'une puce électronique, ce qui n'est pas le cas aux États-Unis où les cartes ne fonctionnent qu'avec une piste magnétique. Par ailleurs le paiement par carte de crédit est plus développé que chez nous. Ceci dit, les techniques employées pendant plusieurs années par ce jeune hacker - qui avait été recruté par le FBI avant de retourner sa veste - pour voler des numéros sont bien sûr reproductibles chez nous. La constitution de réseaux d'ordinateurs « zombies », c'est-à-dire la prise de contrôle d'ordinateurs d'une entreprise ou d'un particulier à leur insu pour mener des activités de piratage sont possibles. Surtout cette affaire illustre le caractère international de ces fraudes ; le hacker américain a bénéficié de complicité à l'étranger. La cybercriminalité devient mondiale et tentaculaire comme une sorte de mafia.

Les États et les entreprises sont-ils bien préparés pour faire face à cette cybercriminalité mondiale ?
Il est clair qu'il est urgent de créer un Interpol pour internet, une police internationale spécialisée. Il existe bien une agence européenne dans ce sens mais qui n'a pas fait ses preuves. La réponse ne peut en tous cas pas n'être que franco-française. Par ailleurs, il faut que les politiques se saisissent réellement de ces problèmes. Il y a près de 20 millions d'internautes en France, notamment les jeunes générations, et on constate un vrai décalage entre cette réalité et la sensibilisation des politiques aux questions technologiques.

Pour les particuliers, y a-t-il des conseils de prudence à observer ?
Il ne faut pas être naïfs et ne pas oublier qu'internet n'est que le miroir de la société. À côté des formidables possibilités d'internet, il faut avoir à l'esprit qu'il y a des escrocs, des commerçants malhonnêtes, etc. Il faut donc savoir se méfier. Ensuite, on peut s'équiper de logiciels de protection comme des antivirus, des outils antispam pour éviter de recevoir des e-mails indésirables dans sa boîte e-mail ou des outils antiphishing qui détectent les faux sites bancaires conçus par les pirates pour tromper les internautes et leur voler leurs coordonnées bancaires.

(Photo carte de crédit : Channel R)