Le premier a été victime d’une personne qui s’est présentée à sa banque, munie de son numéro de compte - qu’on trouve sur chaque chèque - et visiblement de faux papiers : retrait de 800 € dont il attend le remboursement depuis 2 mois. Le second est un collègue sur le compte duquel on a retiré, d’un DAB, 600 €.
Et le 3ème est mon coloc’ qui a eu la mauvaise surprise de découvrir que 600 € d’achats sur internet avaient été effectués sur le numéro de sa carte de crédit.
Je ne compte plus le nombre de fois où, au moment de composer mon code, je me fais la remarque que n’importe qui aux alentours peut parfaitement le lire.
Plus encore qu’aux DAB où on peut cacher l’accès au clavier numérique, les caisses des supermarchés où l’on n’a aucune confidentialité. Mais aussi aux bornes d’achat de la RATP ou SNCF …
Je me demande d’ailleurs pourquoi les claviers numériques des DAB ne sont pas équipés des caches tout bêtes qu’on trouve dans les vestiaires des piscines ?
Il paraît que le montant des fraudes est minime pour les banques au regard du fric qu’elles se font (avec le nôtre).
Ce midi, je déjeunais avec un ami. Au moment du paiement avec sa carte bancaire, celui-ci s’étonne que la restauratrice lui donne le ticket « commerçant » et garde le ticket « client ». Elle nous explique que la banque a fait une erreur et a inversé les données. Preuve à l’appui, elle nous montre que sur le ticket « client », le numéro de la carte de crédit est incomplet alors que sur le ticket commerçant, le numéro figure au complet, ainsi que la date de validité de la carte … De retour au bureau, j’examine ma liasse de tickets client. Mon n° de CB y est systématiquement crypté !
Je cherche sur internet (longtemps…) et voici ce que je trouve sur le site BBA (Big Brother Awards):
- A la fin de chaque transaction, le terminal de paiement électronique (TPE) édite deux tickets, le premier pour le client et l’autre pour le commerçant. Sur le ticket client assez soft, les premiers chiffres du N° de CB sont depuis un peu plus d’un an, remplacés par des "-", pour ne pas laisser trainer son numéro sur un vieux ticket.
- Par contre sur le ticket "commerçant", on trouve la date précise de la transaction ("19/11/02"), l’heure à la seconde près ("09h32m43"), détails qui ont leur importance en particulier quand comme Jacques Mellick, bigbrotherisé à l’insu de son plein gré, on tente de fournir un alibi à un dirigeant sportif et qu’au même moment on paye un péage d’autoroute avec sa CB. Mais beaucoup plus grave, on trouve en clair les 16 digits de la carte ainsi que sa date de fin de validité. Il suffit que le commerçant note sur le ticket, le nom qu’il a lu sur la carte bancaire et il dispose ainsi de toutes les informations lui permettant d’effectuer un règlement sur Internet... On pourrait même imaginer qu’il revende ces précieuses données à quelques e-escrocs.
- Pourquoi le commerçant dispose t’il de ces renseignements ? Quand on accepte des paiements par carte bancaire, les transactions numériques sont stockées temporairement sur le terminal et envoyées ensemble en une fois la nuit via le modem intégré de l’appareil. Le terminal pourrait tomber en panne et ce serait au commerçant de prouver la réalité des paiements effectués dans la journée, d’où la trace papier...
- Pour pallier à cet impératif de sécurité et pour éviter les risques d’escroquerie par divulgation des informations, la solution serait que ne soit imprimé sur le ticket papier qu’un algorithme calculé à partir du code commerçant et du numéro de carte bancaire.
Incroyable, non ?