Comment reconnaître et lutter contre la fraude avec des cartes de crédit et de débit? Document Fraude

Comment reconnaître et lutter contre la fraude avec des cartes de crédit et de débit? Document Fraude

Table des matières Introduction Investir dans la sécurité 3 Types de fraude Une criminalité aux nombreux visages 4 La sécurité en pratique Mesures de prévention de la fraude 6 Responsabilité La sécurité de vos clients est également votre affaire 10 Seuil d achat moins élevé Transactions contestées et fraude à la carte de crédit 11 Pour plus d informations 12

Introduction Investir dans la sécurité La carte de crédit rend les achats plus agréables et plus simples. Aussi bien dans les magasins physiques que sur Internet. Si vos clients peuvent payer de manière rapide, simple et sûre, ils passeront certainement plus facilement à l achat. Mais la carte de crédit fait, comme tous les autres moyens de paiement, l objet de tentatives d escroquerie et de fraude. Vous pouvez prendre des mesures contre la fraude. Mais les fraudeurs apprennent rapidement. Ils élaborent constamment de nouveaux stratagèmes pour parvenir à leurs fins, vous devez donc être en mesure de pouvoir réagir. Il est ainsi important de rester informé et vigilant. Il est également nécessaire d investir dans la prévention de la fraude. L investissement dans un environnement de paiement sûr doit être une étape logique de votre politique d entreprise. Le présent document vous indique comment et avec quels outils vous pouvez lutter contre la fraude. Nous vous présentons les types de fraude avec des cartes de crédit et de débit les plus fréquents et vous donnons un certain nombre de conseils pratiques pour compliquer autant que possible la tâche des fraudeurs. Vous trouverez de nombreuses informations à jour concernant la fraude et des mesures de prévention sur le site Web de PaySquare. Nous vous proposons également une liste de sites Web avec des informations utiles pour la protection de vos paiements à la fin du présent document. Mars 2015 3

Types de fraude Une criminalité aux nombreux visages La fraude est un «secteur d activités» dynamique et aux nombreux visages. De nouveaux trucs et stratagèmes via lesquels les criminels tentent de vous escroquer, vous et vos clients, font régulièrement leur apparition. Il est donc impossible de vous proposer une vue d ensemble complète et à jour des différents types de fraude avec des cartes de crédit et de débit. Le présent document répertorie les types de fraude qui ont le plus fait leurs preuves et qui fonctionnent le mieux avec ces moyens de paiement. Différents types de fraude avec des cartes de crédit et de débit : Skimming Vol ou perte Hameçonnage/dévoiement Corruption des données Contestation de transaction non légitime Usurpation d identité Skimming Le skimming consiste à obtenir les données et les codes PIN de cartes de crédit et de débit. Pour ce faire, les criminels installent généralement des appareils devant ou dans les terminaux de paiement ou les distributeurs de billets. Ces appareils copient les données de la piste magnétique. Les fraudeurs peuvent également obtenir le code PIN en observant par-dessus l épaule des clients ou à l aide d une mini-caméra, par exemple. La copie de la carte créée peut ensuite être utilisée pour effectuer des paiements ou procéder à des retraits. Cette technique est également utilisée dans les magasins et les restaurants où le client remet sa carte de crédit ou de débit pour procéder au paiement. Le lancement de la technologie EMV, une norme qui remplace la bande magnétique de toutes les cartes de paiement par une puce, a permis de réduire de manière importante les dommages et le nombre d incidents liés à ce type de fraudes en Europe, mais dans certains pays (p.e. les Etats-Unis) il y a encore un nombre important de cartes sans puce. Vol ou perte En cas de vol d une carte de crédit ou de débit, il est possible que les voleurs tentent de l utiliser pour retirer de l argent ou effectuer des paiements. Ce, dans un magasin physique ou une boutique en ligne. La technologie EMV a également permis de réduire de manière importante les dommages et le nombre d incidents en cas de perte ou de vol de cartes de paiement. 4

Hameçonnage/dévoiement Les tentatives d hameçonnage prennent généralement la forme d un courrier électronique ou d une conversation téléphonique, via lequel les fraudeurs demandent au détenteur légitime de la carte des informations confidentielles. Le dévoiement est une technique qui incitent les personnes à visiter un site Web dont l aspect est identique à celui du site Web de leur banque ou d une autre partie, telle que PayPal, MasterCard et/ou Visa. Si les visiteurs se connectent à l aide de leur nom d utilisateur, de leur mot de passe et/ou de leur numéro de carte de crédit, les fraudeurs ont accès à ces données. Le faux site Web peut généralement être identifié grâce à son adresse URL, qui diffère généralement d une lettre seulement par rapport à celle du site Web authentique. L ordinateur du détenteur de carte peut également être infecté par un virus, le client accède alors au faux site Web sans s en rendre compte, même s il a saisi l adresse URL correcte. Corruption des données Les criminels obtiennent des (quantités importantes de) données via le piratage ou l installation de logiciels malveillants et de virus et peuvent se livrer à des activités frauduleuses. Les commerçants en ligne ne sont pas les seules victimes potentielles, la connexion des caisses d un magasin physique peut également être exposée à ce type d attaques. Contestation de transaction non légitime Si vous vendez un produit en ligne et que le client paie par carte de crédit, il a la possibilité de demander le remboursement du montant par la banque (contestation de la transaction) jusqu à 120 jours après la date de traitement de la transaction (et parfois plus longtemps). Si le client n a pas reçu ou a renvoyé le produit, par exemple. Il est question de fraude lorsqu une personne conteste une transaction de manière non légitime. Elle prétend ne pas avoir reçu ou avoir renvoyé le produit alors que ce n est pas le cas. Usurpation d identité L usurpation d identité permet à une personne d obtenir de manière non légitime des données personnelles, qu elle enrichit avec d autres données. Le fraudeur emprunte ainsi l identité de la victime. La falsification d un passeport peut lui permettre d effectuer des achats ou de retirer de l argent via une fausse carte de crédit ou de débit obtenu sous un faux prétexte. Les magasins physiques et les boutiques en ligne sont victimes de tentatives d utilisation de fausses cartes de crédit. Les données des cartes de crédit sont généralement trafiquées via le skimming ou l hameçonnage. 5

La sécurité en pratique Mesures de prévention de la fraude Les criminels optent quasiment toujours pour la facilité. Ils sont souvent à la recherche d opportunités résultant d une omission, d un manque de vigilance ou d une négligence. En pratique, cela signifie que vous pouvez faire beaucoup pour lutter contre la fraude avec des cartes de crédit et de débit. Vous pouvez vous prémunir contre la plupart des types de fraude. Les organismes émetteurs de cartes de crédit et votre prestataire de services de paiement vous y aident et vous fournissent volontiers des instruments pratiques. Vos clients peuvent ainsi vous régler en toute sécurité avec leur carte de crédit ou de débit. 1. Protection dans un magasin physique (point de vente) EMV La technologie EMV constitue la protection principale lors des paiements où le détenteur de la carte et la carte de crédit ou de débit sont présents. Europay, MasterCard et Visa (EMV) ont développé une norme internationale pour les paiements avec des cartes de crédit et de débit. La bande magnétique et la signature sont ainsi remplacées par une puce et un code PIN. Le niveau de sécurité de la puce EMV est bien plus élevé que celui de la bande magnétique. La puce dispose de caractéristiques uniques et est donc plus difficile à copier. Associée au code PIN, elle offre un niveau élevé de sécurité. Le skimming et la falsification d une carte avec une puce EMV sur un terminal de paiement certifié EMV est quasiment impossible, ce qui réduit de manière importante le risque de fraude. En Europe, tous les terminaux de paiement disposent de la certification EMV. Contrôlez les transactions lors de l acceptation de cartes de crédit avec une bande magnétique Vérifiez que la marque figurant sur le ticket de transaction correspond au logo de la carte de paiement (MasterCard ou Visa, par exemple). Vérifiez également que les quatre derniers chiffres du numéro de la carte correspondent à ceux figurant sur le ticket de transaction. Vérifiez la signature du client et, si nécessaire, demandez à voir une pièce d identité. Conservez toujours le ticket de transaction d origine. Pendant quinze mois pour les clients de PaySquare. Remettez la copie à votre client. Surveillez le comportement de vos clients La plupart des fraudeurs ne portent pas de masque, ni de fausse barbe. Il est cependant souvent facile de les reconnaître, dans un magasin physique surtout. En raison de leur nervosité ou de la hâte avec laquelle ils effectuent leurs achats, par exemple. Que faire si vous remarquez qu une personne présente dans votre magasin affiche un comportement inhabituel? Appel Code 10 Vous pensez que la carte de crédit avec laquelle le client souhaite payer est volée ou fausse? Contactez votre acquéreur pour lui signaler un code 10. Un collaborateur vous apportera alors une aide compétente, en prenant en compte votre situation. Il vous indiquera la marche à suivre, calmement et clairement. S il s agit bien d une carte frauduleuse, votre acquéreur prendra les mesures qui s imposent. La police sera éventuellement contactée. 6

Messages «Récupérez la carte» et «Contactez l organisation» Si le message «Récupérez la carte» ou «Contactez l organisation» s affiche sur l écran de votre terminal de paiement, cela signifie que la carte avec laquelle le client souhaite payer est bloquée. Vous devez toujours contacter votre acquéreur par téléphone. Si nécessaire, il procédera à un contrôle de sécurité supplémentaire. Votre vigilance récompensée PaySquare sait à quel point votre aide est indispensable pour lutter contre la fraude. Pour toute fausse carte de crédit ou de débit volée que vous récupérez et acceptez via PaySquare, nous vous offrons une récompense comprise 50 et 300 euros. Une autorisation ne constitue pas une garantie Le fait qu une transaction par carte de crédit soit acceptée ne garantit pas que la transaction ne soit pas frauduleuse. Lors de la procédure d autorisation, l organisme contrôle notamment que la carte n est pas volée ou perdue et que la limite de dépenses n est pas dépassée. Cela ne garantit donc pas que le client soit le propriétaire légitime de la carte de crédit. Priorité à la sécurité Lors de paiements suspects dans votre magasin, il est important de penser avant tout à votre sécurité et à celle de vos collaborateurs. Psychologie Les fraudeurs ne sont pas toujours des inconnus. Il est donc important de garder un œil critique sur ses collaborateurs. Si un installateur de votre fournisseur de terminal de paiement ou de votre fournisseur de services téléphoniques vous rend visite, vérifiez toujours auprès de votre fournisseur de terminal de paiement/fournisseur de services téléphoniques. Et demandez à l installateur de vous présenter une pièce d identité. Procédez toujours à un contrôle supplémentaire en cas de doutes De nombreux commerçants victimes de fraude indiquent après coup que la transaction ne leur inspirait pas confiance dès le départ. Procédez alors toujours à un contrôle supplémentaire. Demandez une pièce d identité et/ou contactez votre acquéreur pour lui signaler un code 10. On n est jamais trop prudent. Protégez votre équipement Les terminaux, les systèmes de caisse ou les terminaux de paiement sans surveillance sont autant d opportunités pour les personnes mal intentionnées. Vous devez veiller à toujours surveiller votre équipement. S il vous est impossible de rester en permanence à proximité de votre équipement, installez une caméra de surveillance ou rangez le terminal de paiement dans un lieu sûr. Si votre caisse et votre terminal de paiement sont connectés l un à l autre, la ligne de communication et/ou le logiciel de paiement peuvent être piratés. Il est alors possible d obtenir des données relatives à des cartes via votre système. Des logiciels malveillants peuvent être installés au niveau du système. La ligne de communication peut être piratée même si vous utilisez un équipement associant le terminal de paiement et la caisse. Ces équipements étant essentiellement présents chez les commerçants possédant plusieurs établissements, le piratage des connexions entre les filiales et le siège est possible. Procédez au blocage à temps Si vous remarquez que des données sont volées dans votre magasin, informez la société avec laquelle vous collaborez pour l acceptation de cartes de paiement (l acquéreur, PaySquare, par exemple) et suivez ses instructions de manière à limiter les dommages. Restez informé Vous trouverez régulièrement des informations à jour concernant les types de fraude et les mesures de prévention sur le site Web de PaySquare. Vous pouvez également rester informé des développements en matière de sécurité des paiements via d autres supports. Un homme averti en vaut deux. 7

La sécurité en pratique Mesures de prévention de la fraude 2. Protection lors du paiement à distance (commerce électronique et Mail Order/ Telephone Order (MO/TO)) 3-D Secure La technologie 3-D Secure constitue la principale protection lors des paiements Internet. La technologie 3-D Secure permet de vérifier, avant la transaction, l identité de la personne qui commande un produit par carte de crédit ou de débit dans votre magasin en ligne. Ce, via un code personnel composé de chiffres et/ou de lettres. Le détenteur de la carte a lui-même défini le code ou l obtient lors de la transaction via la procédure de sa banque. La technologie 3-D Secure est synonyme d une plus grande sécurité des paiements, pour vous mais également pour vos clients. Elle garantit un seuil d achat bas et un chiffre d affaires plus élevé. Les sociétés de cartes MasterCard, Maestro, Visa, V PAY, Discover, Diners Club et JCB ont basé leurs derniers programmes de protection sur la technologie 3-D Secure : MasterCard SecureCode, Verified by Visa, Diners Club ProtectBuy SM (pour les cartes Discover, Diners Club et autres au sein du réseau Discover Global Network), J/Secure TM. Si vous utilisez la technologie 3-D Secure lors de vos transactions Internet, vous n êtes généralement pas responsable en cas de fraude. Lors de l acceptation de cartes de paiement par la poste, par téléphone ou par fax, vous ne pouvez pas utiliser la technologie 3-D Secure Cela peut comporter des risques. Notre brochure MOTO contient de plus amples informations concernant la prévention de la fraude pour cette forme d acceptation. Sécurité des fichiers de données Lorsque vous permettez à vos clients de régler leurs achats avec des moyens de paiement électroniques, vous disposez de donnes précieuses. Vous avez pour obligation légale de traiter ces données de manière sûre et scrupuleuse. Vous devez également respecter les directives des organismes émetteurs de cartes. L obligation légale de protection des données vaut pour toutes les opérations de votre boutique en ligne. Donc également pour les données envoyées par courrier électronique et via des formulaires. Vous devez, dans l intérêt de vos clients et de votre entreprise, veiller à la protection des données relatives aux clients dans votre boutique en ligne. Votre prestataire de services de paiement peut vous conseiller à ce sujet. 8

PCI DSS Les organismes émetteurs de cartes ont développé une norme de sécurité pour protéger les données relatives aux cartes de vos clients. Il s agit de la norme PCI DSS (Payment Card Industry Data Security Standard, norme de sécurité des données de l industrie des cartes de paiement). Les directives PCI DSS permettent d éviter l accès non autorisé aux données relatives aux cartes de paiement de vos clients. Si vous acceptez les cartes MasterCard, Visa, Discover, Diners Club, JCB, UnionPay, Maestro et/ou V PAY dans votre boutique en ligne, la protection de votre site Web doit correspondre aux directives de la norme PCI DSS. Attention : si vous faites appel à des tiers qui ont accès/peuvent avoir accès aux données relatives aux cartes, vous avez pour obligation de veiller à ce qu ils respectent la norme PCI DSS. Demandez à votre prestataire de services de paiement ou acquéreur de vous indiquer comment vous pouvez apporter la preuve de votre conformité à la norme PCI DSS. Pour une acceptation sûre, vous devez organiser les éléments suivants conformément aux directives de la norme PCI DSS : Vous disposez d un réseau informatique sécurisé avec un pare-feu, un logiciel antivirus et des applications et systèmes sécurisés. Vous assurez leur actualisation via des mises à jour et des correctifs. Vous n utilisez pas des paramètres de sécurité et des mots de passe évidents. Vous protégez les données relatives à vos clients et les codez pour les réseaux publics. Seules les personnes de votre entreprise ayant besoin des données de vos clients pour l exécution de leur travail ont accès à ces données. Chaque collaborateur a accès avec un identifiant unique à l ordinateur avec les données de vos clients. L accès physique aux données de vos clients est limité. Vous contrôlez et testez régulièrement tous les accès aux sources réseau et données des détenteurs de cartes et tous les processus et systèmes de protection. Vous disposez d une politique de protection des informations pour les salariés et les sous-traitants et appliquez cette politique en pratique. Suivez vos commandes Si vous travaillez sur Internet, il est plus difficile de voir à qui vous avez à faire. Avec une boutique en ligne, vous pouvez cependant souvent vous fier à votre instinct et faire preuve de bon sens. Il vaut ainsi toujours mieux suivre le déroulement des commandes, pas sur une courte période, sur un laps de temps plus long. Vous pourrez ainsi détecter plus rapidement les transactions anormales. Quelques exemples : Les commandes au volume inhabituel Les commandes passées depuis une adresse électronique pour plusieurs adresses de livraison Une même personne qui utilise une carte différente à la fois ou différentes personnes qui commandent avec la même carte Les commandes passées depuis plusieurs adresses électroniques pour une adresse de livraison Une commande passée depuis une adresse électronique qui ne semble pas correspondre à l adresse de livraison Votre prestataire de services de paiement peut également vous aider de différentes manières dans la prévention de la fraude. Certains prestataires de services de paiement proposent ainsi des modules de prévention de la fraude. Ces modules mettent en évidence les transactions inhabituelles et présentant un risque accru. 9

Code de vérification Les cartes de crédit disposent d un code de vérification (CVC2/CVV2) au verso. Ce numéro est en principe uniquement connu du détenteur de la carte. Les trois derniers chiffres au niveau ou à côté de la bande de signature constituent le code de vérification. Demandez toujours à vos clients de mentionner ce code. Il s agit d un outil de contrôle supplémentaire, tout comme la date d expiration de la carte. Pour éviter toute utilisation abusive, l enregistrement des données CVV2/CVC2 des clients est strictement interdit, conformément aux règles des organismes émetteurs de cartes. Psychologie Les fraudeurs ne sont pas toujours des inconnus. Il est donc important de garder un œil critique sur ses collaborateurs. Si vous faites appel à des experts externes pour la maintenance de votre site Web, nous vous conseillons également de ne pas faire preuve de trop de confiance à leur égard. Restez informé Les fraudeurs apprennent rapidement. Ils élaborent constamment de nouveaux stratagèmes de fraude, vous devez donc être en mesure de pouvoir réagir. Il est ainsi important de rester informé. Vous trouverez de nombreuses informations à jour concernant la fraude et des mesures de prévention sur le site Web de PaySquare. Nous vous proposons également une liste de sites Web avec des informations utiles pour la protection de vos paiements entrants à la fin du présent document. Procédez toujours à un contrôle supplémentaire en cas de doutes De nombreux entrepreneurs victimes de fraude indiquent après coup que la commande ne leur inspirait pas confiance dès le départ. Procédez alors toujours à un contrôle supplémentaire. Exemple : Demandez une confirmation de la commande par téléphone. Une conversation téléphonique vous permettra de vous faire une meilleure idée de votre client. Vous pourrez ainsi également vérifier que le numéro de téléphone est correct. Demandez une signature lors de la livraison. Déposez la commande à l adresse indiquée, pas chez les voisins. Ne déposez pas la commande dans une boîte postale. Le risque de contestation de la transaction est beaucoup plus élevé dans le cas d une boîte postale. Procédez au blocage à temps Si vous remarquez que des données sont volées dans votre magasin, informez la société avec laquelle vous collaborez pour l acceptation de cartes de paiement (l acquéreur, PaySquare, par exemple) et suivez ses instructions de manière à limiter les dommages. 10

Responsabilité La sécurité de vos clients est également votre affaire L utilisation abusive et la fraude avec des cartes de paiement peuvent être synonymes de dommages pour votre entreprise mais également pour l acquéreur (PaySquare, par exemple) et les card schemes (MasterCard et Visa, par exemple). S il s avère que votre entreprise n a pas respecté ses obligations en matière de protection des paiements, les dommages et les amendes peuvent être élevés. Votre responsabilité en ce qui concerne la protection des données relatives aux cartes porte sur les aspects suivants du paiement : les appareils que vous utilisez pour lire les cartes de crédit et autres cartes de paiement de vos clients, les terminaux de paiement que vous utilisez dans votre ou vos magasins (systèmes pour point de vente), les réseaux et le matériel qui jouent un rôle dans vos paiements (serveurs, routeurs sans fil, modems, etc.), le stockage, le traitement et l envoi des données relatives aux cartes de paiement, la protection du matériel et des logiciels de toutes les parties associées au paiement, l accès physique aux principaux composants informatiques et aux données relatives aux détenteurs de cartes. Vous êtes responsable en cas de pertes résultant directement de l utilisation de fausses cartes de paiement et/ou de données de cartes volées. Mais également des frais juridiques, des frais de remplacement des cartes de paiement, des frais d enquête, des frais liés à l atteinte à la réputation, etc. Il est également possible que l organisme de cartes vous facture une amende et ne vous autorise plus à accepter les cartes de paiement. Pour plus d informations concernant votre responsable, reportez-vous à nos conditions générales pour l acceptation de cartes. 11

Fraude et transactions contestées Seuil d achat moins élevé Si le client paie par carte de crédit, il a la possibilité d obtenir le remboursement du paiement jusqu à 120 jours après la transaction (parfois plus longtemps). Certains détenteurs de cartes abusent malheureusement de cette possibilité. Satisfait ou remboursé Si vous disposez d un magasin traditionnel (physique), votre client a la possibilité, s il n est pas satisfait, de ramener les marchandises achetées en magasin. Vous pouvez alors le rembourser directement. Il existe des clients qui cherchent à abuser des possibilités offertes, aussi bien dans les magasins physiques que sur Internet. Dans un magasin traditionnel, vous pouvez avoir à faire à des clients qui ramènent des produits déjà utilisés ou qu ils ont eux-mêmes endommagés. Lors d achats sur Internet, un client peut contester une transaction et ne pas renvoyer le produit ou prétendre à tort ne pas l avoir reçu. Les clients frauduleux sont fort heureusement une exception, que ce soit dans magasins physiques ou dans les boutiques en ligne. La contestation d une transaction n est bien évidemment définitive que s il s avère que la réclamation du détenteur de la carte est fondée. Vous pouvez donc émettre des réserves. PaySquare vous aide volontiers dans ce cadre et mettra tout en œuvre pour défendre vos intérêts. Une raison de plus pour organiser vos paiements de manière à toujours pouvoir apporter la preuve que la transaction a bien eu lieu ou que la contestation émise n est pas légitime. Seuil d achat moins élevé Les détenteurs de cartes bénéficient de davantage de protection avec une carte de crédit qu avec d autres moyens de paiement. Cette protection supplémentaire abaisse le seuil d achat. En tant qu entrepreneur, vous devez prendre en compte que le détenteur de carte peut demander le remboursement du montant. Cette sécurité supplémentaire pour les détenteurs de cartes est un avantage important qui entraîne une augmentation du chiffre d affaires, dans les boutiques en ligne notamment. 12

Pour plus d informations Pour plus d informations, consultez le site www.paysquare.eu et les guides d informations de PaySquare. Nos guide d informations et autres brochures et documents sont disponibles dans la rubrique Téléchargements. Vous pouvez également consulter les sites Web suivants pour obtenir des informations et des conseils au sujet de la lutte contre la fraude. www.visa.fr www.mastercard.fr www.pcisecuritystandards.org Coordonnées Vous avez d autres questions? N hésitez pas à contacter notre service clientèle. Depuis la Belgique : T 02 700 68 48 E service@be.paysquare.eu www.paysquare.be/fr Depuis le Luxembourg : T 24 871 877 E service@lu.paysquare.eu www.paysquare.lu Le contenu du présent document n accorde aucun droit. Les présentes informations sont disponibles auprès de sources accessibles au grand public. Sous réserve de fautes typographiques et d erreurs d impression. En tant que partenaire de paiement professionnel, nous vous informons volontiers au sujet des paiements, de manière proactive et objective, par le biais de nos documents. Nous proposons des solutions pour les thèmes les plus variés, en relation avec les besoins concrets du marché. Nos documents de présentation technique sont disponibles dans la rubrique Téléchargements de notre site Web. 13

10.07 BLF 07.15 PaySquare SE Eendrachtlaan 315 3526 LB Utrecht Boîte Postale 30600 3503 AJ Utrecht Pays-Bas PaySquare SE, CCI 30196418 Depuis la Belgique: T 02 700 68 48 E service@be.paysquare.eu W www.paysquare.be/fr Depuis le Luxembourg: T 24 871 877 E service@lu.paysquare.eu W www.paysquare.lu