Avec 650 000 débits frauduleux déclarés par les ménages (chiffres estimés), les derniers chiffres de l’Observatoire national de la délinquance et des réponses pénales ont fait réagir l'UFC-Que Choisir. Celle-ci réclame une série de mesures obligatoires dont l'envoi systématique, par les banques, des confirmations de paiement sur internet notamment par SMS ou email.
Selon les données de l’Observatoire national de la délinquance et des réponses pénales, il y a eu 650 000 débits frauduleux sur compte bancaire déclarés par des victimes en 2011. Le chiffre était d’environ 500 000 en 2010. Soit une nette augmentation.
Sur ce total, « 52 % des ménages s’étant déclarés victimes disent que le débit frauduleux le plus récent a été effectué dans un commerce en ligne, ce qui signifie que leurs informations bancaires confidentielles (numéro de compte, numéros de cartes, identifiants de connexion, etc.) ont été utilisées pour procéder à un achat sur Internet ». Ils ne sont qu’un peu plus de 10% à avoir été victime d’une fraude via par exemple une carte bancaire contrefaite. « Une proportion identique de ménages dit avoir été victime d’un retrait frauduleux d’argent à un distributeur automatique de billets. »
Chez 27 % des ménages, le montant déclaré est inférieur ou égal à 100 euros. Mais pour 29 %, il se situe entre 300 et 1000 euros et même au-delà de 1000 euros pour près de 20 % d'entre eux. Dans 7 cas sur 10, les ménages qui se sont déclarés victimes ont découvert ces débits frauduleux eux-mêmes, en consultant leurs relevés. « 22 % ont été avertis par leur banque ou un autre établissement bancaire ». Plus grave, près de 6 ménages sur 10 ignorent comment les informations confidentielles ont été obtenues par le fraudeur. « 15 % déclarent que c’est arrivé à la suite d’un achat ou une réservation sur Internet » rapporte l’ONDRP. « 44 % des ménages s’étant déclarés victimes disent avoir déposé plainte auprès de la police ou de la gendarmerie suite à l’acte le plus récent et 77 % déclarent, au moment de l’enquête, avoir été remboursés en totalité par leur banque. »
Des mesures obligatoires pour sécuriser les transactions
En réaction, l’UFC Que Choisir fustige « l’inaction des pouvoirs publics sur ce sujet majeur et presse les parlementaires à prendre les mesures nécessaires pour que les paiements à distance soient enfin sécurisés ». Alors qu’en février 2012, l’association tirait déjà la sonnette d’alarme, en ce début 2013 elle estime, face à ces chiffres que « les professionnels n’ont pas pris la mesure du problème de la fraude, et les données sont accablantes ».
Quelques remarques : « alors que les banques doivent être garantes de la sécurité des cartes qu’elles commercialisent, comment admettre qu’elles ne détectent qu’1 fraude sur 5 ? ». De même, l’association dénonce le faible développement du protocole sécurisé 3-D Secure en France (24 % des transactions en fin 2012, contre 15 % en 2010). « Certes, 50 % des commerçants l’ont adopté mais il ne s’agit pas des principaux acteurs : la plupart des grands commerçants en ligne (Amazon, FNAC, PriceMinister par exemple) préfèrent toujours, au détriment de leurs clients, laisser passer la fraude plutôt que de risquer d’ajouter une étape à la vente. Une telle lenteur est inadmissible surtout lorsque l’on constate que ce système marche pour les rares secteurs qui l’adoptent : les sites de jeu en ligne ont ainsi fait baisser leur taux de fraude de 59 % en 3 ans. »
L’association presse donc les autorités à imposer dans le cadre de la Loi de régulation des activités bancaires ce dispositif chez les commerçants. Elle réclame « l’envoi systématique, par les banques, de confirmations de paiement sur internet via les espaces personnels des sites bancaires et par SMS ou email » et enfin une obligation de déclaration aux clients « par tout professionnel stockant des données de cartes bancaires de toute attaque de serveurs et/ou des vols de données personnelles, bancaires ou de cartes bancaires. »
Commentaires (84)
#1
Ce qui serait déjà pas mal, c’est que les banques n’acceptent pas de prélèvement automatique tant que le client n’a pas donné l’autorisation signée.
Parce que certains opérateurs tél/net en profitent allègrement…
Sans parler des prélèvements ou des débits abusifs où c’est la galère pour faire valoir ses droits.
Encore pire avec l’annulation d’un prélèvement auto, tout ça pour faire payer une opposition !
#2
Et si on paye en Bitcoins sur Internet?
#3
Au lieu d’inscrire son numéro de carte, l’ e-commerçant ne nous permettrait pas d’imprimer un virement complété par eux et payable en banque. Ne serait-ce pas plus sécurisant ?
#4
Les banques ne vérifient déjà pas les signatures des chèques…
#5
#6
Masquer, sur la carte, le code CSV augmente la sécurité. Bien souvent les données sont récupérées dans un magasin physique, puis utilisés frauduleusement en ligne. Un coup de marqueur ou une pastille fera l’affaire. l’indélicat attendra une autre carte. Il faut bien sûr au propriétaire de la carte mémoriser ce code.
#7
#8
Forcément que ça se développe, il n’y a aucune action et encore moins poursuite contre les auteurs. Ma mère a été victime d’un vol de ce type, 400E déboursé de son compte environ. Dépôt de plainte à la gendarmerie (Mazamet 81) … on lui a juste remis une attestation à communiquer à la banque pour être remboursée. Aucun dépôt de plainte n’a été pris :
“Oh c’est pas la peine, prenez juste ça pour votre banque”.
Même en insistant, rien à faire; de ce que j’ai pu lire sur le net, c’est comme ça a peu près partout : remise au plaignant d’une attestation pour sa banque mais très très rarement de “vrai” dépôt de plainte. Donc pas de statistique ni d’enquête.
Donc à mon avis les statistiques présentées sont loin de la réalité.
#9
En 2013, ce n’est pas systématique dans toutes les banques, la confirmation part e-mail/SMS ?
" />
#10
#11
#12
je rajouterais que c’est une révocation de mandat, maintenant ils peuvent tarifer ce service dans leurs brochures…mais comme ils ne peuvent prouver que le mandat a bien été donné car ils ne conservent pas ces derniers…cqfd
en cas d’abruti au comptoir ne pas hésiter à donner de la voix et menacer de clôturer son compte, ça marche bien les minis scandales devant les clients.
#13
oups
#14
ouai enfin tout ca pour dire qu’une remise a niveau de securité couterait bien plus cher aux banques que les fraudes. donc bon tant que c pas rentable hein.. (et que le client en paye une partie..)
Alors que bon pour internet suffirait deja de faire une 2 eme carte spéciale ca éviterait de montrer le chiffre secret (a 3 lettres !) a tout le monde pour pas bien cher!
#15
perso pour récupérer mes billes suite à des débits frauduleux de CB (600 euros tout de même) il m’a fallu 3 mois, et encore j’ai fait appel au médiateur et 2 recommandés,
légalement ça ne doit pas prendre plus d’un mois…tu parles…les assurances des banques ne sont pas pressées.
#16
Il devraient rendre les système comme le 3D secure obligatoire, avec ça la fraude serait beaucoup plus difficile voire presque impossible !
Au moment où l’on paye, la banque envoie un SMS avec un code à usage unique sur le numéro de téléphone enregistré à l’avance, code qu’il faut renseigner au moment du paiement sur internet et le tour est joué !
#17
Sans vouloir faire de la pub pour le crédit mutuel je peux créer des numéros de CB virtuels (gratuit et illimités) et j’alloue le montant que je veux dessus.
#18
le problème de 3DS c’est que les banques ont juste oubliées de faire leur devoir d’information auprès des particuliers et elles ne sont surtout pas mises d’accord sur une méthode commune d’authentification du porteur de la carte.
Résultat : les clients qui se retrouvent face a une page d’authentification sans savoir quoi mettre comme code. Les commerçants voient leurs taux d’abandons exploser dès lors que leurs TPEV utilisent 3DS.
Donc certains commerçants préfèrent admettre un peu de fraude sur le volume des vente que de voir le CA baisser de façon importante.
#19
#20
Il existe des assurances pas chères du tout qui couvrent en cas de problème sur des achats en ligne, demandez à votre banquier.
Ça m’a sauvé la mise en 2010 suite à un site de canailles.
#21
#22
#23
Ce qui serait bien de savoir (parce que là, l’ufc applique un raisonnement type ump, à savoir: plus il y a de crimes, plus il y a de mechants!), ca serait de voir si les gens subissent ce problème encore par la suite, pour savoir si c’est un soucis de negligence/manque d’information, ou si c’est vraiment une fatalité.
Perso je miserai plus sur un manque d’informations. Le web est perilleux, ca, tf1 l’a deja montré trentedouze fois. Mais jamais un seul mot sur les manieres simple de debusquer les navigation menaçante… (certificat web, analyse des domaines, mise en garde sur les offres trop allechantes…)
Moi politicien, j’aurai mis cette prevention au frais du FAI depuis belle lurette…
#24
#25
Depuis que j’utilise uniquement la e-CB pour mes achats en ligne, les seuls débits frauduleux que j’ai eu ont été causés par un distributeur vérolé sur Paris. Le gendarme n’a jamais voulu me croire par rapport au volume d’achats en ligne que je fais quand je lui ai dit que pour moi c’était ce distributeur. Pourtant, un ami avait fait un retrait en même temps que moi à celui-ci et a été victime du même coup.
Sinon quand je dois utiliser ma vraie carte, j’ai la confirmation de paiement par SMS avec un code pour le valider.
Au niveau des achats en ligne, j’ai fait le maximum pour ne plus avoir de mésaventure, ça m’est arrivé deux fois en tout et pour tout et les sommes m’ont très vite été remboursées. Mais malheureusement, on est difficilement à l’abri du vol de la CB par des moyens détournés lors d’achats ou retraits physiques.
et enfin une obligation de déclaration aux clients « par tout professionnel stockant des données de cartes bancaires de toute attaque de serveurs et/ou des vols de données personnelles, bancaires ou de cartes bancaires. »
Pour moi, le stockage des données de la CB par le commerçant devrait être interdit.
#26
les assurances ne servent à rien, un ancien banquer te dit ça,
à ranger au coté des assurances pour portable.
vu que tu es couvert quoiqu’il arrive du moment que tu ne divulgues pas ton code secret de CB,
etape une: passage à la banque et montage d’un dossier
etape 2: passage chez les policiers pour faire une simple déclaration de police à l’aide des relevés surlignés et d’un document spécifique remis par la banque
etape 3 retour à la banque pour remise du pv de police
etape 4 patience et longueur de temps…etc
#27
Je n’ai pas bien compris pourquoi tout le monde gueule sur les banques dans cette histoire…
L’absence de 3DSecure ce n’est pas la faute de la banque, mais celle du commerçant. A partir du moment où le commerçant ne l’a pas mis en place, que peut faire la banque pour détecter une éventuelle fraude ? rien.
#28
#29
#30
nuagesept> J’ai un mal fou à faire comprendre ça aux gens qui paient des services pour des cartes virtuelles ou autres.
Quand c’est gratuit pourquoi pas ça peut éviter les démarches mais je ne paierai jamais pour un tel service.
Et encore, le code par SMS de la Caisse d’Epargne n’a pas fonctionné pour moi pour un achat sur un site québecois, obligé d’utiliser une autre carte.
Et il y a aussi quelques limitations avec les numéro temporaires.
#31
3D Secure a plusieurs fois été bloquant pour moi, notamment quand tu as plusieurs téléphones portable et qu’ils t’envoient un SMS sur celui que tu n’as pas sur toi.
Moi je serai plus partisan de l’authentification forte avec un token comme le fait HSBC au UK. Tu laisse ça devant ton ordi, ou tu met ça sur ton porte-clé, et c’est suffisant.
#32
#33
#34
A ma banque, pour chaque transactions sur Internet, je reçois un Mail me demandant si il s’agit bien d’une opération valide ?
De plus, ça me demande un code par SMS.
Je n’ai jamais eu de soucis, pourtant j’achète sur Internet depuis plus de 10 ans.
#35
#36
#37
#38
#39
#40
#41
#42
#43
En Belgique, on a un lecteur de carte à utiliser chaque fois que l’on veut faire une transaction sur le net (et ceux quelque soit le pays qui accueil le site en question).
De ce fait, pour faire la transaction, il faut la carte, le lecteur de carte, le code PIN et les codes de transaction que la banque nous envoie et à entrer sur le lecteur de carte (les manip à faire sont clairement indiquées, même les personnes âgées y arrivent sans problème). Le lecteur donne un code de réponse (qui dépend de plein de paramètres) à renvoyer pour valider le paiement.
Donc ça prend une minute de plus pour faire l’achat, mais ça a l’air sûre. En tout cas, je n’ai encore jamais entendu un Belge dire que sa carte a été utilisée frauduleusement dans des conditions que je qualifierais de standards (vols des numéros de CB par exemple hors code PIN).
#44
Edit (sur un second post car je ne peux plus toucher au précédent):
" />
Pas mal l’écran de l’erreur 37 (un peu d’humour) et le petit jeu de Pong pour patienter
#45
#46
#47
Tiens je viens de penser que cette étude tombe juste avant les soldes qui cartonnent sur Internet, elle a peut-être plusieurs buts : sensibiliser les gens pour leurs achats éventuels sur net pour les soldes, inciter ceux-ci à contrôler leurs achats de Noel, pousser les gens à acheter en physique comme le net c’est mal
" />
apres le SMS sur le mauvais téléphone, comment veux tu que le banquier sache le téléphone que tu as sur toi à l’instant T. En plus pour peu que tu lui as changé ton numéro, il ne peut être au courant.
Après la 3D secure c’est comme tout ce n’est pas gratuit pour le site et le porteur de carte (c’est un cout caché).
la 3DS c’est une solution comme le code PIN qui n’est pas partagé au niveau international. Donc les banques ne sont pas toujours en cause aussi.
il faut que les gens se prennent en main aussi.
#48
Je pensais que ça allait être encore un article sur les débits de Free sur Youtube moi. Je dois être un peu obsédé par la question.
" />
#49
#50
#51
#52
3 D secure est une bonne idée. C’est simple et efficace.
Sinon, en cas de doute ou de problème, les numéros de CB virtuels, c’est aussi une bonne solution.
Bon, moi, le seul emmerdement que j’ai eu avec un moyen de paiement, c’était avec un chèque que j’avais fait à ma copropriété pour payer mes charges… alors que j’achète tout et n’importe quoi sur le net depuis 2006, en France comme à l’étranger.
#53
#54
#55
#56
Et pendant ce temps, Visa laisse en claire les données sur ses cartes avec puce RFID, permettant à l’importe qui équipé d’un téléphone avec un lecteur RFID de récupérer les informations des carte bancaires…
" />
#57
#58
#59
#60
#61
#62
Perso je suis chez une Banque en ligne. Pour ma carte bancaire
C’est déjà un bon début après on est jamais sur de rien
Déjà si les 3 codes CSV étaient aussi secret, ça solutionnerai pas mal de fraudes non?
#63
Paiement sur internet
une e-carte bleue est tout de même un moyen sécurisé - paiement avec un numéro unique chez un seul marchand.
En cas d’un abonnement mensuel chez un marchand, maximum 12 mois.
après le règlement le numéro de l’e-carte bleue n’existe plus
#64
#65
Parce qu’elle ne bloque pas les transactions vers ton numéro physique (et apparement l’une des méthodes les plus courantes est la récupération des numéros dans un magasin physique).
E-carte bleue : le principe du paiement par numéros virtuels
Le principe de l’E Carte Bleue
Lorsque vous effectuerez votre paiement grâce à votre numéro virtuel, aucune trace de votre véritable carte bancaire ne transitera sur internet. Si le numéro virtuel est intercepté par des fraudeurs, il sera inutilisable, puisque crédité d’une somme très précise et utilisable une seule fois.
Grâce à ce procédé, il n’y a aucune possibilité de pirater votre véritable carte lors d’un paiement en ligne, ce qui constitue une véritable sécurité. Il s’agit d’une protection infaillible contre le piratage des numéros de cartes de paiement et représente, parmi les paiements sécurisés, le plus efficace de tous
#66
#67
L’observation de XMalek reste malheureusement valable:
“Parce qu’elle ne bloque pas les transactions vers ton numéro physique (et apparement l’une des méthodes les plus courantes est la récupération des numéros dans un magasin physique).”
mais il n’y a pas de numéro physique, l’e-carte est une carte virtuelle entièrement indépendante que l’on active uniquement sur le pc avec 2 codes d’accès et un clavier virtuel jamais à la même place, ni numéros disposés dans le même ordre, sans relation commune avec la carte physique
#68
7 pages et aucune personne qui parle de paypal comme possibilité aussi. Les fraudes sont différentes mais pas de données bancaires sur le site du commerçant.
Après tout système qui ne serait implémenté que localement en France serait inefficace contre la fraude.
#69
#70
Pourquoi ne pas utiliser une e-carte?
On fixe le montant, ce n’est valable qu’une fois… Garantie absolue. Jamais de problème.
http://www.visa.fr/les-innovations-visa/mes-solutions-de-paiement/e-carte-bleue….
#71
Je suis étonner par le nombre de personnes qui se font pirater leurs cartes .
Personnellement je fait 3 à 4 achats sur le net par mois ,je n’est jamais eu de problèmes,je suis peut être chanceux
J’utilise paypal
La sécurité de vos achat seraient peut être mieux assurer si vous faites vous même votre police en allant sur des sites très connu ,en vous renseignant sur la fiabilité du site ,aller sur http://www.fia-net.com/,en gros ce renseigner sur le site
#72
#73
#74
Encore faudrait-il que les banques arrivent à envoyer des sms sur des numéros à l’étranger, ce que visiblement ils n’arrivent pas à faire, donc CB inutile pour des achats sur le web
" />
#75
#76
#77
#78
Certes, 50 % des commerçants l’ont adopté mais il ne s’agit pas des principaux acteurs : la plupart des grands commerçants en ligne (Amazon, FNAC, PriceMinister par exemple) préfèrent toujours, au détriment de leurs clients, laisser passer la fraude plutôt que de risquer d’ajouter une étape à la vente.
Normal, ils préfèrent supporter le cout de la fraude plutôt que de perdre des clients. Ils ont fait leurs calculs : la fraude leur coute moins cher.
La faute à qui, hein ?
#79
#80
#81
#82
#83
Ce qu’il essaye de te faire comprendre c’est qu’en fait la e-CB ça n’a que très peu d’intérêt en pratique car contrairement à ce que rabâche en boucle le 20h de TF1 l’origine de la fraude, c’est à dire la récupération des infos de ta carte, c’est très rarement les vilans pédo-terro-gaucho-mangeurs d’enfants de pirates de l’internet qui en sont responsables mais en très grande majorité des commerçants physiques indélicats ou des distributeurs automatique/automates de stations service “équipés” et dans ces cas là c’est bien les infos de ta carte réelle qui sont récupérées. (et dans les 2 derniers cas c’est une empreinte complète de ta carte qui est prise pour pouvoir la cloner, et avec un peu de chance et une micro caméra bien placée ils auront même ton code si tu ne masque pas correctement le clavier au moment de le taper)
j’ai eu le cas sur un site marchand (qui n’avait pas encore le système e-carte dans sa panoplie) et qui pensait que j’avais payé (la première fois) avec une carte bleue normale.
A la fois suivante il a fallu que je leur explique que j’avais payé (la première fois) avec une e-carte à numéro unique et que ce même marchand (ni personne d’autre) ne peut réutiliser une deuxième fois, même s’il a récupéré toutes les données, cette e-carte n’existe plus
Depuis ce marchand a mit en place le système e-carte
Comme dit, l’e-carte sert aussi à payer un abonnement mensuel chez un seul marchand (avec le même numéro), l’abonnement ne devant pas excéder 12 mois (pour l’article de départ et pas un autre rajouté par la suite)
#84
Utilisation frauduleuse d’une carte bancaire
Article L132-4
Créé par Loi n°2001-1062 du 15 novembre 2001 - art. 36 JORF 16 novembre 2001
La responsabilité du titulaire d’une carte mentionnée à l’article L. 132-1 n’est pas engagée si le paiement contesté a été effectué frauduleusement, à distance, sans utilisation physique de sa carte.
De même, sa responsabilité n’est pas engagée en cas de contrefaçon de sa carte au sens de l’article L. 163-4 et si, au moment de l’opération contestée, il était en possession physique de sa carte.
Dans les cas prévus aux deux alinéas précédents, si le titulaire de la carte conteste par écrit avoir effectué un paiement ou un retrait, les sommes contestées lui sont recréditées sur son compte par l’émetteur de la carte ou restituées, sans frais, au plus tard dans le délai d’un mois à compter de la réception de la contestation.
Article L132-5
Créé par Loi n°2001-1062 du 15 novembre 2001 - art. 37 JORF 16 novembre 2001
En cas d’utilisation frauduleuse d’une carte mentionnée à l’article L. 132-1, l’émetteur de la carte rembourse à son titulaire la totalité des frais bancaires qu’il a supportés.