Fraude à la carte bancaire : trop, c’est trop ?

Un seuil critique a-t-il été franchi ? Selon Europol, la fraude à la carte bancaire en Europe représente désormais rien moins que 1,5 Md€ et est «dominée par des groupes criminels organisés bien structurés et actifs dans le monde entier ». Selon l’agence, le Vieux Continent souffre «d’une exposition croissante à la menace de transactions illégales réalisées hors de ses frontières et devrait développer des solutions plus efficaces pour aider les autorités répressives à combattre la fraude ». En particulier, bien que collectant d’importantes quantités d’informations, Europol indique «ne pas être mandaté pour coopérer avec les forces de police non européennes ou pour demander des mesures spécifiques pour aider à combattre ou à prévenir la fraude contre les européens ». Et de recommander justement l’élargissement de son mandat. 

Pour Europol, l’implémentation de la technologie EMV - carte à puce protégée par un code PIN - dans l’Union européenne «est le moteur clé de la réduction de la fraude à la carte bancaire domestique ». Et de déplorer sa faible adoption en dehors de l’Union car, à lire entre les lignes, il ressort qu’EMV ne protège que si déployé sur la carte et requis par le terminal de paiement ou de retrait. Ainsi, des cartes bancaires européennes contrefaites seraient utilisées aux Etats-Unis, en République Dominicaine, en Colombie, en Russie, au Brésil et au Mexique. 

Le demi-satisfecit adressé par Europol à EMV ne manquera pas de faire grincer quelques dents : il ne concerne pas la fraude en ligne. Et l’association de consommateurs UFC-Que Choisir vient justement d’appeler le gouvernement français à lutter contre celle-ci en appelant à une généralisation du dispositif 3D Secure, qui s’appuie notamment sur un second facteur d’authentification du porteur de carte, à partir de son téléphone mobile. En France, 650 000 personnes auraient été victimes de débits frauduleux, selon l’Observatoire national de la délinquance et des réponses pénales. La généralisation de 3D Secure pourrait peut-être apporter un début de réponse à certaines failles de PCI DSS et exploitables notamment dans le milieu de l’hôtellerie. 

Mais l’équipe du Dr Ross Anderson et de Steven J. Murdoch, de l’Université de Cambridge, pourraient être également tentés de sourire aux propositions d’Europol, eux qui ont montré en 2010, une méthode de détournement de cartes bancaires volées, permettant leur utilisation sans qu’il soit nécessaire d’en connaître le code PIN. En septembre dernier, ils ont également démontré que certaines implémentations du protocole EMV comportaient des failles susceptibles d’être exploitées.