Partie de cartes










L'inconvénient de vouloir traiter d'un sujet aussi sensible, comprendre la sécurité des paiements par carte bancaire sur le Net, c'est de faire le tri dans le flot d'informations disponibles souvent contradictoires. D'un coté les banques, dont le goût récurrent du secret n'est pas de nature à favoriser une communication claire et pertinente, de l'autre les contradicteurs, aux propos souvent orientés et alarmistes, et au milieu les médias, au sens le plus large du terme, instrumentalisés ponctuellement suivant les intérêts divergents des uns et des autres.

Si les enjeux sont multiples et complexes, la question principale a le mérite d'être simple : peut-on payer via internet avec sa carte bancaire en toute sécurité ? La réponse sera à la fois oui et non !

Oui parce que sur un volume global de transactions en pleine expansion, le pourcentage de fraude connue, si l'on se réfère aux chiffres du dernier rapport de l'Observatoire de la sécurité des cartes de paiement, est relativement faible de l'ordre de 0,086 % pour l'année 2003 (derniers chiffres disponibles).
Non également, car ce pourcentage, s’il paraît dérisoire, représente tout de même un montant de fraude estimé à 273,7 millions d'euros pour les systèmes bancaires de France métropolitaine. Il y a une sorte d'hypocrisie, dans le discours du Groupement des Cartes Bancaires, à se retrancher derrière l'apparente petitesse de ce pourcentage, afin de favoriser l'adoption par la Commission Bancaire Européenne, de la carte à puce prétendue infalsifiable, afin de la généraliser sur l'ensemble de l'espace de l'Union Européenne. Les banques françaises, dans une logique commerciale d'obtention de parts de marché coûte que coûte, ne sont pas sans ignorer l'existence d'une quantité de plus en plus importante de fausses vraies cartes à puce en circulation. Plus fort encore, les assurances payantes, qu'elles recommandent et proposent aux détenteurs de cartes, ne servent finalement qu'à surfacturer le prix de la carte. Malgré cette assurance sensée garantir le détenteur, en cas d'utilisation frauduleuse et les dispositions protectrices de la loi Nº 2001-1062 sur la sécurité bancaire, le client floué s'engage dans une longue procédure avec la banque émettrice pour se faire rembourser les sommes illégalement prélevées. Il est complètement illusoire de croire qu'avec un paiement dit sécurisé en https on est à l'abri sous le prétexte que les nouvelles cartes utilisent une clé de cryptage à 768 bits. C'est comme si on installait une porte blindée à l'épreuve des bombes, pendant que dans le même temps, quelqu'un proposait à proximité une copie parfaite de la clé d'ouverture. Tapez donc le terme "carding" dans votre moteur de recherche favori et vous risquez d'halluciner grave devant la profusion de sites proposant de downloader des logiciels générateurs de numéros de cartes de crédit et les nombreuses explications extrêmement détaillées relatives à l'utilisation des numéros obtenus. Entre les Yescards, les WhiteCards et les boîtiers duplicateurs de cartes de crédits que l'on peut très se procurer relativement facilement dans le commerce, l'utilisation normale d'une vraie carte n'apporte aucune garantie réelle. Petit exemple significatif je viens d'acheter chez un registrar (Gandi, excellent prestataire au demeurant) le nom de domaine letitblog.org. Il m'a suffi de rentrer dans un champ les 16 chiffres de ma MasterCard assortis des 3 derniers chiffres figurant au dos de la carte pour valider la transaction !

Autre élément, et non des moindres, en défaveur des banques, leurs bases de données ou sont stockés les numéros de cartes, attribués ou en attente, sont régulièrement crackés et visités par des organisations mafieuses qui scannent copient et transmettent grâce à des robots logiciels (bots) les informations nécessaires à la fabrication d'une vraie fausse carte. Il y a une foultitude d'autres moyens, du très simple à plus sophistiquée, pour utiliser malhonnêtement une carte bancaire, mais ne compter pas sur moi pour en parler ici. Le but de ce papier n'est pas d'expliquer comment truander avec un mode de paiement électronique, mais de porter à la connaissance des utilisateurs, que nous sommes tous, les risques et les tenants aboutissants de l'utilisation d'une simple carte bancaire. Normalement, ce travail d'information est du ressort de votre banquier. Pour l'anecdote, il ne m'a pas été possible d'avoir un rendez-vous avec le directeur de ma banque pour parler de ce sujet. Par contre 3 jours après le même rendez-vous était devenu possible après que j'eusse expliqué que je voulais acheter un gros paquet d'actions Apple (eh oui ! je suis un gros capitaliste pourri sous mes allures de jeune intello progressiste !).

En attendant que des systèmes d'identification biométrique se mettent en place, inutile de sombrer dans une paranoïa monétaire, il suffit juste d'être vigilant et surtout de faire le maximum de barouf en cas de souci avec votre banque, car leur goût du secret et de la discrétion s'accommode en général assez mal avec les glapissements frénétiques et répétés d'un client mécontent. L'été dernier, devant la mauvaise foi d'un employé de banque, m'affirmant avec dédain que les agios que je contestais étaient parfaitement justifiés, je me suis allongé par terre devant le guichet, en expliquant haut et fort, devant des clients médusés, que je ne bougerais pas tant qu'une solution honorable en ma faveur ne serait pas trouvée. Trois minutes plus tard, une tête plate en costume anthracite m'annonçait benoîtement qu'effectivement il s'agissait d'une malencontreuse erreur comptable. Depuis ce jour, mon banquier est d'une telle affabilité mielleuse avec moi que j'en ai presque honte pour lui...

Sam. - Janvier 8, 2005          


©