Achats en ligne : la fraude a encore de beaux jours devant elle
Les banquiers n’ont pas adopté à temps le nouveau protocole de paiement sur Internet, 3D Secure. Une authentification forte limiterait pourtant les risques de fraude auxquels sont exposés leurs clients.
Depuis le 14 septembre, les consommateurs qui font un achat en ligne sont censés valider leur paiement au moyen d’une « authentification forte », imposant une double vérification de leur identité, comme le prévoit la directive sur les services de paiement dans le marché intérieur, adoptée le le 25 novembre 2015. Or, les plates-formes de paiement ne demandent toujours – au mieux – que la saisie d’un simple code reçu par SMS : la plupart des banques, des émetteurs de cartes bancaires et des e-commerçants ne sont en effet pas encore prêts à utiliser la version 2 du protocole de paiement sur Internet « 3D Secure ». Les associations de consommateurs le déplorent : les failles dans la sécurité autorisent la fraude. En 2018, elle s’est élevée à 173,3 millions d’euros, soit un euro de fraude pour 578 euros de transactions, selon l’Observatoire de la sécurité des moyens de paiement de la Banque de France. Or, quelque 20 % des ménages victimes de fraude ne sont pas remboursés par leur banque, selon le rapport Cadre de vie et sécurité 2018 du ministère de l’intérieur. Refus de remboursement Pourtant, le code monétaire et financier (article L133-18) l’exige. Mais certains établissements, comme le Crédit mutuel du Nord, considèrent que si leurs clients ont saisi le code à usage unique qui leur a été envoyé par SMS pour s’authentifier, ils ont, quoi qu’ils en disent, « autorisé » l’achat litigieux. Non seulement ils refusent de les rembourser, mais en plus, ils leur prélèvent des frais s’ils sont à découvert. Article réservé à nos abonnés Lire aussi Un testament peut-il imposer le célibat ? Les clients n’osent pas toujours se tourner vers la justice. Surtout que les banques, mauvaises perdantes, multiplient les recours. La Cour de cassation leur rappelle pourtant à chaque fois que l’ « utilisation » du moyen de paiement sécurisé 3D Secure (version 1) ne « prouve » pas que le client a autorisé l’opération. Le 13 février 2019, par exemple (N°17-23139), elle a donné raison à la cour d’appel d’Amiens, qui avait jugé que « sauf à présumer que le système sécurisé mis en place par le Crédit mutuel est infaillible », on ne peut « considérer que les opérations litigieuses constituent une opération autorisée ». Carte SIM usurpée Pourquoi la saisie d’un code envoyé par SMS sur le téléphone portable du client ne constitue-t-elle pas une preuve d’autorisation ? Parce que, a répondu l’Autorité bancaire européenne à cette question, seul celui qui possède la carte SIM associée à la ligne téléphonique du client est sûr de le recevoir. Or, cette carte SIM peut avoir été usurpée auprès de l’opérateur téléphonique (« SIMswap »).