Paiement sans contact : le plafond de paiement déconfiné le 11 mai, rien n'est moins sûr

La mise en place du paiement sans contact depuis les cartes bancaires à été très progressive en matière de plafond des montants. 20 euros, puis 30 euros, et voici qu'a la date de fin de déconfinement ce montant passera à 50 euros a indiqué jeudi 16 avril la Fédération bancaire française (FBF). Et cela concernera aussi une vingtaine de pays européens.

Depuis le début de l'épidémie, les paiements sans contact ont fait un bond assure Michel Khazzaka, directeur blockchain et payments d'Azzana Consulting. Et alors alors que le XPay était déjà installé en France. "L'an passé 21 % des paiements en volume étaient sans contact, et ce la représentait 6 % des paiements en montant" dit-il.

Reste que l'augmentation du plafond de paiement, s'il est perçu par le gouvernement comme une mesure de distanciation sociale efficace, n'intéresse pas nécessairement les acteurs de l'écosystème. "Le montant moyen des paiement sans contact est de 10,5 euros" note Michel Khazzaka. On est donc bien loin de la limite des 30 euros actuelle.

publicité

Ne pas changer un système qui marche en période de crise

Surtout, "le groupement des cartes bancaires ne voulait pas changer un système qui marche en période de crise" dit Michel Khazzaka. "Il y avait des réflexions en ce sens mais ce n'était pas du tout pour maintenant". Il s'agit donc bien d'une décision politique pour des raisons sanitaires.

Pourquoi ? Parce que ce mode de paiement diminue la possibilité de contamination par rapport à un paiement par carte bancaire via un code à taper sur un clavier. Voire le maniement d'espèces. L’Organisation mondiale de la santé (OMS) a appelé début mars 2020 à privilégier le paiement sans contact. Cette « évolution contribue au renforcement de la sécurité sanitaire dans le commerce de détail et facilitera ainsi une reprise rapide de l’activité dans ce secteur » explique Bruno Le Maire dans un communiqué.

Prise de risque pour les commerçants

Enfin, le relèvement de ce montant est une véritable prise de risque pour les commerçants. "Pour les magasins, le taux d'erreur du paiement sans contact est plus élevé qu'avec le code PIN. Certes, le paiement sans contact peut être 2 a 5 fois plus rapide quand il marche. Mais quand il ne marche pas, le client recommence avec son code PIN, ça prend du temps et la file d'attente aux caisses s'allonge" explique Michel Khazzaka.

Reste la mise en place concrète au 11 Mai. Cette date est directement liée à la fin de la période de confinement en France. Car une telle opération nécessite aussi une "industrialisation informatique lourde et délicate" ne pouvant "se faire du jour au lendemain, dans la précipitation, sans risquer de déstabiliser un système qui fonctionne bien, surtout dans le contexte délicat de ce coronavirus" a expliqué la FBF à l'AFP. 11 millions de terminaux devraient être équipés de cette nouvelle fonctionnalité.

"Ce n'est pas qu'une question de terminaux" note Michel Khazzaka. Certaines cartes ne pourront être mises à jour a distance et dans certains cas "il va falloir changer la carte pour changer le plafond" dit-il. Côté terminaux de paiement, la modification pourrait toucher 70 % du parc déjà équipé de la technologie NFC. Mais même pour ces appareils certaines implémentations sont complexes, et nécessiteront des mises à jour par vagues. Tout ne sera donc pas prêt au 11 mai.

Mauvaise nouvelle : les ventes de formation à la fraude sur le web sont en pleine essor. Bonne nouvelle : ils ne servent à rien

Près de la moitié des produits à vendre sur les places de marchés les plus populaires du dark web sont des guides sur la manière de commettre des fraudes. Des documents utiles pour les cybercriminels en herbe qui cherchent à savoir comment mener à bien des opérations de hacking. Mais il y a un revers à la médaille : de nombreux guides pratiques vendus sont totalement inutiles.

Les chercheurs en cybersécurité de Terbium Labs ont examiné les produits vendus sur trois importantes marketplace du dark web et ont découvert que 49 % de toutes les produits vendus sont des guides sur la fraude en ligne. Dans de nombreux cas, ces guides sont rédigés sur la manière de procéder à l'encontre d'organisations spécifiques, notamment celles du secteur financier.

Les données personnelles volées ne représentaient que 15 % des produits vendus, les comptes 12,2 %, les données financières 8,2 %, les outils et modèles de fraude 8 % et les cartes de paiement 7 %. Le prix moyen d'un seul dossier personnel est de 8,45 $, mais peut descendre à... 1$ pour les dossiers les moins intéressants.

publicité

7 dollars pour des identifiants, 33 dollars pour des données financières

Les justificatifs d'identité disponibles à la vente sur les sites comprennent des noms d'utilisateur et des mots de passe pour des services tels que des comptes de courrier électronique, des services de streaming et même des comptes de livraison de nourriture.

Le prix moyen de ces données est de 7 dollars - bien que dans certains cas, il atteigne trois chiffres - et les noms d'utilisateur et mots de passe divulgués, liés à d'autres données personnelles, peuvent fournir aux hackers un moyen de compromettre les autres comptes de la victime - potentiellement même ceux de son entreprise.

Les références des comptes avec des données financières sur le dark web fournissent potentiellement aux cybercriminels un accès direct aux comptes bancaires, cartes de paiement et comptes PayPal compromis - et un accès direct aux fonds qui s'y trouvent. Les attaquants peuvent soit simplement voler cet argent, soit utiliser les détails de la carte pour faire des achats pour eux-mêmes, ou même mettre en place des contrats de prêts avec ces comptes.

Les annonces dans cette catégorie se vendant en moyenne 33 $, mais elles peuvent parfois être de 500 $.

Comprendre que les données des entreprises sont exposées, et où elles le sont

L'achat de guides sur la manière de commettre une fraude n'est pas sans risque, car certains sont eux-mêmes frauduleux, ne fournissant aux lecteurs aucune information utile - et ce n'est pas comme si l'acheteur pouvait exiger le remboursement de son argent. "Ironiquement, de nombreux guides de fraude sont eux-mêmes frauduleux. Des pirates créent de faux guides et essaient de faire des bénéfices en les vendant avant que les acheteurs ne s'en aperçoivent" a déclaré Tyler Carbone, directeur de la stratégie chez Terbium Labs.

En prenant conscience des violations de données et autres incidents susceptibles de donner lieu à des fuites, les organisations peuvent réduire le risque d'être victimes de toute sorte d'attaques ou de fraudes. "Vous pouvez réduire considérablement votre exposition si vous comprenez très tôt que les données sont exposées, et quelles données sont exposées, car vous pouvez raccourcir les cycles où les criminels utilisent les données exposées pour frauder votre organisation" a-t-il ajouté.

Il existe également des politiques que les organisations peuvent employer pour empêcher les attaquants d'utiliser des données volées pour compromettre les comptes.

Il s'agit notamment d'encourager les employés à ne pas utiliser des mots de passe qu'ils auraient pu utiliser ailleurs et à recourir à l' pour les comptes professionnels, de sorte que même si un attaquant connaît les bons mots de passe, les chances qu'il puisse les utiliser avec succès sont fortement réduites.

Source :