Rapport 2010 de l'observatoire de la sécurité des cartes de paiement

Mandaté par le gouvernement depuis 2001, l'Observatoire de la Sécurité des Paiements par Carte vient de remettre son rapport ^[PDF] pour l'année 2010. Outre les habituelles statistiques sur la fraude, cette édition porte un regard sur différents sujets : la migration aux standards EMV, les évolutions des systèmes de paiement, les cartes prépayées... Pour ma part, je m'attarderai ici plus particulièrement sur les paiements en ligne.

Ceux-ci représentent désormais près de 5% du nombre total de transactions (retraits compris) par cartes émises en France et 6,5% en valeur. Or ils comptent pour 45% de la fraude (soit 0,276% des montants échangés), un taux en augmentation par rapport à l'année précédente, alors que les paiements sur terminaux physiques sont de moins en moins affectés (la fraude représente 0,012% du montant total des transactions réalisées sur le territoire national), grâce à la généralisation des standards EMV à l'ensemble de l'écosystème.

Face à cette situation préoccupante, l'Observatoire dédie une large part de son rapport aux réponses qui peuvent lui être apportées. Hélas, la tentative s'avère bien limitée, puisque la seule solution envisagée est le développement des systèmes d'authentification non rejouables (utilisant, par exemple, l'envoi par SMS d'un code à l'acheteur ou l'utilisation de tokens et autres lecteurs de cartes pour générer un mot de passe).

A l'appui de sa démonstration, l'étude présente une enquête auprès de consommateurs, qui semble plus tenir de la méthode Coué que d'une mesure objective... Selon celle-ci, 96% des internautes auraient une perception positive de ces méthodes d'authentification (malgré quelques difficultés identifiées lors des premères utilisations, tout de même), ce qui prouverait qu'elles ne sont pas préjudiciables aux ventes. Les e-commerçants constatant des chutes de 20% ou plus de leurs taux de transformation après mise en place de 3D-Secure apprécieront...

Au-delà de cette "légère" distorsion de la réalité, il est également évident que la protection qui pourrait être apportée par ces systèmes ne vaut que si elle est universelle. En effet, comme on le constate aujourd'hui avec l'application disparate des standards EMV, une adoption partielle ne ferait que déplacer la fraude vers les sites ou les pays où l'authentification forte n'est pas implémentée. Ce qui revient finalement à un constat d'impuissance à court et moyen terme devant l'ampleur croissante du phénomène...

On ne peut certes pas attendre de l'Observatoire qu'il propose des solutions révolutionnaires (qui restent à inventer). Mais il aurait été tout de même judicieux d'insister sur les moyens d'analyse des transactions en temps réel et de détection de la fraude à la source, qui, sans être parfaits, offrent dès aujourd'hui une aide précieuse dans la lutte contre la cybercriminalité.