Après le transfert EMV, les cartes de crédit ne sont toujours pas aussi sûres que possible

Cela fait plus de six mois que les règles relatives à la fraude par carte de crédit ont changé, entraînant le passage des anciennes cartes de crédit à bande magnétique aux cartes dotées de puces EMV. Selon le Mercator Advisory Group, seuls 20% des terminaux de cartes de crédit aux États-Unis avaient déjà été activés pour l’utilisation de la puce. Et seulement 60% de toutes les cartes de crédit avaient été mis à jour avec des puces.

Néanmoins, vous avez peut-être suivi le nouveau processus consistant à coller votre carte à puce dans un lecteur, à attendre que la transaction soit vérifiée et à vous faire bip-bip si vous laissez votre carte trop longtemps.

Le processus a été largement encouragé comme une meilleure gestion de vos données. Mais ce n’est probablement pas aussi sécurisé qu’une transaction EMV. Et il y a une barre assez basse pour la sécurité tout La transaction EMV peut être. C’est en partie à cause des limites de la technologie et en partie des réalités du comportement humain.

Le comportement du consommateur comme point de friction

Certains problèmes de la transition EMV ont été largement constatés. D'une part, les transactions peuvent être lentes. D'autre part, vous vérifiez toujours votre identité à l'ancienne, en signant votre nom - et pour les petites transactions, vous n'avez même pas à le faire.

«Les transactions prendront beaucoup plus de temps aux caisses des magasins qui nécessitent l’introduction des cartes à puce dans leurs lecteurs, du moins à court terme, car les commerçants apprennent à accélérer le processus», explique Brian Krebs, journaliste et responsable de la sécurité. expert chez Krebs on Security. «De plus, probablement, de plus en plus de personnes laisseront leurs cartes dans les machines et augmenteront les pertes [de cartes] perdues et volées pour les banques, du moins à court terme, jusqu'à ce que les consommateurs s'habituent aux appareils.»

En Europe, les consommateurs utilisent des cartes de crédit avec puce depuis des années, voire des décennies, dans certains cas. Mais pour plus de sécurité, les cartes exigent que les détenteurs de carte entrent un code PIN pour vérifier leur identité lors d'une transaction. Alors, pourquoi les États-Unis n’ont-ils pas adopté de système à puce et à NIP au lieu de puce à signature? Un facteur important a été la reconnaissance par les émetteurs de la difficulté à imposer un changement de comportement des consommateurs.

"NOUS. les consommateurs ne sont pas habitués à saisir un code PIN pour effectuer des transactions par carte de crédit », explique Julie Conroy, directrice de la recherche chez Aite Group dans le Massachusetts. «Un grand nombre des émetteurs avec lesquels j'ai parlé ont choisi la puce et la signature, car aucun émetteur ne voulait émettre de cartes dont l'expérience utilisateur la désavantageait. Selon un émetteur, apprendre aux consommateurs à utiliser le trempage au lieu du balayage constituait un changement suffisant; ils ne voulaient pas risquer de devoir apprendre aux consommateurs à changer deux comportements en même temps."

Une tentative pour arrêter la fraude

Pourquoi faire en sorte que les consommateurs américains changent quelque chose? La principale raison était la fraude.

En 2014, la fraude mondiale sur les cartes de crédit a perdu plus de 16 milliards de dollars, selon le rapport Nilson, qui couvre le secteur des paiements. Parmi les pertes, 48% ont eu lieu aux États-Unis. Les cartes à bande magnétique traditionnelles sont plus faciles à pirater, car les informations stockées sur la bande sont statiques ou immuables. Copiez-le une fois et vous pourrez créer une carte en double. Toutefois, les puces EMV génèrent un code unique pour chaque transaction. Les informations copiées d’une transaction ne peuvent donc pas être utilisées dans une autre.

"NOUS. Les consommateurs sont en grande partie à l'abri de la fraude [au coût direct de la carte de crédit], grâce à l'environnement réglementaire américain et à la garantie de responsabilité zéro fournie par les réseaux de paiement », a déclaré Conroy. Le passage à la norme EMV concerne donc davantage la protection des émetteurs de cartes de crédit contre la fraude que la protection des consommateurs.

En octobre 2015, de nouvelles règles sur la responsabilité en matière de fraude par carte de crédit ont été introduites. En cas de fraude, la partie qui n’utilisait pas la technologie EMV est responsable des pertes. Si la carte en question n’est pas munie d’une puce EMV, la responsabilité en incombe à l’émetteur. Si le commerçant n’avait pas de lecteur de puce EMV, il en assumerait la responsabilité. La responsabilité pourrait également être partagée.

Le code PIN n'offre qu'une protection limitée

La question de savoir si la carte à puce repose sur un code PIN ou une signature pour la vérification n’est pas prise en compte dans l’équation de la responsabilité. Et la vérité est que la plupart des fraudes de cartes de crédit ne pourraient même pas être évitées avec la puce et le code PIN.

"Les cartes à puce et NIP protègent contre les fraudes perdues et volées. En d'autres termes, si quelqu'un vole votre portefeuille, il ne peut pas facilement vous prendre vos cartes lors d'une virée shopping", déclare Conroy. Ce type de fraude est minuscule comparé à la fraude générale par carte de crédit, explique Conroy.

En outre, les voleurs trouveront toujours un moyen de contourner la sécurité. «Nous avons constaté, à l’instar d’autres pays, que les criminels maîtrisaient assez bien la saisie du code PIN, que ce soit par le biais d’attaques en ligne, de sur-épaules ou de caméras compactes», explique Conroy. Comme le code PIN ne change pas à chaque achat, M. Conroy a déclaré «qu’il a des limites en ce qui concerne sa capacité à lutter efficacement contre la fraude. Lorsque le Royaume-Uni a opté pour la puce et le code PIN, la fraude entre objets perdus et volés a brièvement baissé, mais quelques années plus tard, elle était revenue au niveau qui prévalait avant le code PIN. ”

Les puces EMV ne jouent également aucun rôle dans les transactions en ligne. Les cartes à puce y sont donc aussi vulnérables que les cartes à bande magnétique.

Y a-t-il un moyen plus sûr?

Conroy dit que la puce et le code PIN sont au mieux une solution à court terme."Idéalement, j'aimerais que l'industrie saute le code PIN et passe à d'autres formes de vérification, telles que la biométrie, la vérification mobile, etc.", dit-elle. "Dans le même temps, nous devrions également supprimer la signature - coûteuse à stocker pour les marchands et inutile en tant que méthode d’authentification du client telle qu’elle est actuellement mise en œuvre."

Krebs suggère d'utiliser des «jetons» pour lutter contre la fraude. Avec la tokenisation, les ordinateurs des commerçants ne stockent pas les données de carte de crédit. Au lieu de cela, ils stockent un numéro d'espace réservé, ou jeton, qui peut être utilisé pour extraire des données de l'émetteur.

"La tokénisation peut aider les marchands à éviter de stocker les données de cartes pour une longue période et, ce faisant, à réduire la probabilité que les cybercriminels les ciblent pour obtenir des données de cartes", a-t-il déclaré. La tokenisation réduirait le risque de violation de données, raison pour laquelle la plupart des consommateurs sont victimes de fraude par carte de crédit.

Les solutions mobiles ont leurs propres limites

Les paiements mobiles et les portefeuilles numériques tels que Apple Pay peuvent constituer une alternative. Mais Conroy a déclaré: «Tandis que certaines implémentations de paiements mobiles spécifiques aux commerçants connaissent un grand succès, Starbucks, l’adoption des paiements mobiles en boucle ouverte - Apple Pay, Android Pay - avance beaucoup plus lentement."

Krebs voit également un risque de sécurité pour les paiements mobiles. «Apple Pay utilise une forme de jeton, mais les problèmes rencontrés dans le passé avec Apple Pay provenaient de procédures d'inscription laxistes dans les banques et d'un recours à des éléments de données statiques [tels que des numéros de sécurité sociale ou des dates de naissance] pour l'authentification lorsque ces éléments de données sont largement utilisés. compromis et à vendre à peu près tous les Américains."

La seule chose qui restera mobile sera probablement la carte dans votre portefeuille. «Les consommateurs sont très à l'aise avec les cartes, dit Conroy, et il est difficile de faire évoluer les comportements des consommateurs. Les cartes resteront donc pendant un certain temps.

Ellen Cannon est rédactrice à Investmentmatome, un site Web sur les finances personnelles. Courriel: [email protected]. Twitter: @ellencannon.