Quand nous avons publié la première version de cet article en 2012, la question était de savoir s’il fallait généraliser 3D Secure, ce code reçu par SMS pour valider un achat en ligne. Seuls 13 % des commerçants français l’utilisaient alors. Depuis, la question est réglée : la validation renforcée est devenue obligatoire dans toute l’Europe. Mais les escrocs ont adapté leurs méthodes, et c’est désormais la victime elle-même qu’ils poussent à valider le paiement.
Comment fonctionne 3D Secure aujourd’hui
3D Secure est le protocole qui permet à votre banque de vérifier que c’est bien vous qui payez. Visa l’appelle « Visa Secure », Mastercard « Mastercard Identity Check ». Depuis la directive européenne sur les services de paiement (DSP2), entrée pleinement en application en France en 2021, la plupart des paiements en ligne doivent passer par une authentification forte. Il faut en combiner deux éléments parmi trois :
- quelque chose que vous possédez (votre téléphone, sur lequel est installée l’application bancaire) ;
- quelque chose que vous savez (un code secret) ;
- quelque chose que vous êtes (empreinte digitale, reconnaissance du visage).
En pratique, le code reçu par SMS a été largement remplacé par une notification dans l’application de votre banque. Vous l’ouvrez, vous vérifiez le montant et le nom du commerçant, puis vous validez avec votre code ou votre empreinte.
Certains paiements en sont dispensés : les petits montants (moins de 30 € environ, dans une certaine limite cumulée), les abonnements après le premier paiement, ou les commerçants que vous avez enregistrés comme « de confiance ». C’est pourquoi un achat peut parfois passer sans validation.
Pourquoi cela a fonctionné
Avec un simple numéro de carte volé, un escroc ne peut plus faire grand-chose sur un site européen : il lui manque votre téléphone. La fraude « classique » sur internet, celle qui utilisait des numéros de carte piratés en masse, a nettement baissé avec l’authentification forte. Les escrocs se sont tournés vers des sites hors d’Europe, où ces règles ne s’appliquent pas, et surtout vers une autre méthode.
Le contournement : vous faire valider à leur place
Puisque la validation vient de votre téléphone, l’escroc doit obtenir que vous la donniez vous-même. C’est tout le principe de l’arnaque au faux conseiller bancaire, la plus répandue aujourd’hui :
- Un premier message (faux colis, faux remboursement, fausse amende) récupère votre numéro de carte.
- Peu après, vous recevez un appel de votre « banque ». Le numéro affiché peut être celui de votre agence, car il est falsifié. L’interlocuteur connaît votre nom et parfois vos dernières opérations.
- Il vous annonce un paiement suspect en cours et vous demande de valider une notification « pour l’annuler » ou « pour sécuriser votre compte ».
- En réalité, vous validez le paiement de l’escroc.
Une variante consiste à vous faire ajouter votre carte dans un portefeuille de paiement (Apple Pay, Google Pay) sur le téléphone de l’escroc, sous prétexte d’une « carte de remplacement ».
Les réflexes à garder
- Lisez toujours la notification. Elle indique le montant et le commerçant. Si ce n’est pas l’achat que vous êtes en train de faire, refusez.
- Une validation ne sert jamais à annuler un paiement. Aucune banque ne vous demande de valider une opération pour la bloquer.
- Ne communiquez aucun code reçu par SMS, même à quelqu’un qui se présente comme votre conseiller, la police ou le service des fraudes.
- En cas d’appel suspect, raccrochez et rappelez votre banque vous-même, avec le numéro inscrit au dos de votre carte ou dans l’application.
Si vous avez validé un paiement frauduleux
Faites opposition immédiatement, puis contestez l’opération par écrit auprès de votre banque. Elle invoquera peut-être votre « négligence grave », puisque vous avez validé. Ce n’est pas automatique : la loi impose à la banque de prouver cette négligence, et le seul fait que l’opération ait été authentifiée ne suffit pas. Notre article sur le remboursement d’un paiement non autorisé détaille vos droits et les recours possibles, jusqu’au médiateur.