Paiement sans contact : votre carte bancaire risque-t-elle de se faire pirater ?

Près de la moitié des cartes bancaires sont désormais équipées de la technologie de paiement sans contact. Un développement à marche forcée qui alimente les craintes de fraude chez les consommateurs.

Une envolée… en toute discrétion. En un an, le nombre de cartes de paiement sans contact en circulation en France a bondi de 50%, pout atteindre 30,3 millions en octobre 2014, selon les derniers chiffres de l'Observatoire du NFC et du sans contact. Elles représentent désormais 47,4% de l'ensemble des cartes bancaires, contre 31% douze mois plus tôt.

Pour savoir si votre carte est dotée de cette technologie, c'est très simple : elle comporte alors un petit logo représentant des ondes se propageant. Si vous ne le saviez pas, rien d'étonnant : les banques ont en effet assez peu communiqué sur le sujet, équipant le plus souvent leurs clients lors d'un renouvellement de carte sans forcément les en informer.

La généralisation de ce nouvel outil de paiement est-elle pour autant synonyme de risque pour consommateurs ? Plusieurs experts en sécurité informatique ont déjà pointé du doigt les potentielles failles de ce système. "Les informations contenues sur cette carte ne sont pas cryptées et peuvent être récupérées très facilement grâce à un smartphone", prévient Thomas Livet, de la société Sifaris.

Nous l'avons testé, le procédé est en effet d'une simplicité enfantine : il suffit de télécharger l'une des multiples applications dédiées disponibles sur la plate-forme d'Android avec un smartphone compatible avec la technologie "NFC", puis de diriger ce téléphone vers une carte bancaire pour obtenir en quelques secondes les 16 numéros inscrits au recto, la date d'expiration et le nom de la banque (voir la capture plus bas). Inquiétant.

lecteur carte bancaire



Reste que certaines données essentielles ne peuvent pas être aspirées : en particulier le cryptogramme, c'est-à-dire les 3 chiffres inscrits au dos de la carte faisant office de code de sécurité lors d'un paiement en ligne, ainsi que le nom de l'utilisateur. Ce qui complique de fait la tâche des escrocs, puisque la plupart des grands sites de e-commerce français et étrangers demandent ces informations pour valider un paiement. "Evidemment on pourrait concevoir un logiciel pour générer les 999 combinaisons possibles de cryptogramme, mais cela paraît bien compliqué pour ce genre de petites escroqueries", relativise Maxime Chipoy, de l'association de défense des consommateurs, UFC Que Choisir.

Même si la possibilité de se faire escroquer par ce biais n'est pas nulle, le risque de fraude paraît donc limité. Aucune arnaque liée au système de paiement sans contact n'est d'ailleurs pour le moment remontée aux oreilles de l'UFC. Même son de cloche chez CLCV : "Nous avons eu des plaintes relatives au paiement sans contact, mais uniquement concernant le manque de communication des banques sur le sujet, et non en raison d'escroqueries", explique Olivier Gayraud, de l'association.

Certes, la technologie sans contact facilite aussi la tâche des fraudeurs qui arrivent à subtiliser une de ces cartes : ils peuvent en effet l'utiliser sans avoir à taper le code pin, dans n'importe quel magasin équipé de la technologie sans contact. Mais le montant de chaque transaction est limité à 20 euros, et vous devez retaper le code pin une fois dépassé un certain plafond, défini généralement entre 80 et 100 euros selon les banques.

Si vous craignez tout de même de vous faire hacker votre carte, vous avez le droit de demander à votre banque la désactivation de la fonctionnalité de paiement sans contact, voire une nouvelle carte bancaire non équipée de cette technologie. Même si les établissements sont parfois réticents à le faire, n'hésitez pas à insister : "Si votre conseiller s'y oppose, exigez un refus par écrit. Cela devrait suffire à débloquer la situation", conseille Olivier Gayraud. Certaines banques peuvent aussi fournir gratuitement des étuis de protection, faisant office de "cage de Faraday", permettant d'isoler complètement la carte bancaire des ondes extérieures. Il est aussi possible d'acheter ces étuis dans le commerce pour quelques euros, voire des portefeuilles "anti-NFC" moyennant entre 10 et 30 euros.

Thomas Le Bars

Lire aussi :  "Voyageur", la nouvelle carte bancaire à emporter dans ses valises
© Capital.fr

Lancée fin 2014 par la jeune start-up Paytop, la carte « Voyageur » est une carte multidevises qui permet de payer, sans frais, en dollars, en euros ou en livres sterling. De quoi, dans certains cas, réaliser de grosses économies lors de vos vacances ou de vos déplacements professionnels, par rapport à la carte de votre banque.

Avec les banques, voyager reste toujours un luxe. Car elles ne se privent pas de facturer lourdement la moindre opération réalisée hors zone euro (celles exécutées dans la zone euro étant obligatoirement gratuites). Chaque retrait à un distributeur automatique de billets (DAB) génère ainsi de 2,7 à 3% de commission sur la somme demandée, assortis le plus souvent de frais fixes de 2 à 3 euros. Côté paiement chez les commerçants, il n’y a en général qu’une commission à prévoir, proportionnelle et comprise entre 2,5 et 3% de l’achat.

Jusqu’ici, pour réduire la facture, les solutions n’étaient pas nombreuses. Le plus souvent, il fallait se résoudre à souscrire une carte haut de prestige (de type Visa Infinite ou Mastercard World Elite), qui octroie un rabais de facturation ou, dans certains cas, la gratuité. Autre astuce : devenir client d’un des rares établissements permettant de retirer gratuitement aux DAB de banques partenaires (c’est le cas, chez BNP Paribas, avec les automates de Bank of the West aux Etats-Unis, ou de Barclays au Royaume-Uni). Bien sûr, une fois sur place, on pouvait aussi adapter son comportement, notamment en faisant de gros retraits, pour réduire le poids des commissions fixes. Ce qui impliquait, alors, de se promener avec des liasses de billets…

Depuis fin 2014, une autre option est disponible : la carte « Voyageur », lancée par Paytop, un nouvel acteur des services de paiement, et pour l’heure adoptée par quelques centaines d’utilisateurs. Payante (il faut compter 29,9 euros de cotisation annuelle), cette carte rechargeable via Internet permet de retirer de l’argent et de régler ses achats via le réseau Mastercard dans 210 pays. Le tout, sans aucun frais si ces opérations se font dans une des trois monnaies de référence de la carte, l’euro, le dollar américain ou la livre sterling. C’est alors une très bonne affaire : pour peu que vous dépensiez, au global, au moins 800 à 900 euros par an dans des pays où l’une de ces devises est acceptée, la cotisation annuelle est alors largement rentabilisée.

Regardez notre tableau : alors qu’une dépense de 1.750 euros engendre jusqu’à 69,75 euros de frais chez BNP Paribas (et 63,3 euros en moyenne), Paytop ne prélève rien, hors cotisation annuelle. Pour ces destinations, la carte Voyageur bat même celles, gratuites, des banques en ligne. Toujours pour 1.750 euros de dépenses, les clients de Boursorama et Fortuneo doivent respectivement payer 34,83 et 35 euros de commission. Idéal donc pour un gros voyage, d’une dizaine de jours par exemple. « Recourir à notre carte permet aussi de mieux évaluer son budget vacances », assurent David Boucher et Philippe Coup-Jambet, respectivement président et directeur général de Paytop. Avec les banques traditionnelles, en effet, ce n’est qu’après coup, sur son relevé de compte, qu’on découvre le taux de change appliqué lors de la transaction. Certains petits malins utilisent même ce nouveau moyen de paiement pour acheter leur matériel high tech directement sur le site américain d’Apple, par exemple, et à des tarifs… américains. « Notre carte est reconnue comme une carte locale, ce qui évite d’être redirigé vers le site européen de la marque », expliquent les fondateurs.



(1) Pour des opérations réalisées avec une carte Visa Premier ou Gold Mastercard, en plus du taux de change en vigueur. (2) Hors distributeurs automatiques de banques partenaires de BNP Paribas (3) Hors option Jazz international (4) Au-delà de 10 retraits par mois ou de 20 retraits par an, chaque retrait est facturé 2 euros

Bien sûr, cette carte a aussi ses limites. C’est ainsi qu’un usage intensif en renchérit le coût : au bout de 10 retraits dans le mois ou de 20 retraits dans l’année, tout nouveau retrait coûte ensuite 2 euros. Et, si vous l’utilisez pour des opérations dans une autre devise que les trois pour l’heure admises, des frais proportionnels de 3,5% s’appliquent alors. Comme le montre encore notre tableau, sauf à avoir déjà amorti sa cotisation annuelle lors d’un précédent voyage, la carte Voyageur reste alors moins intéressante que celles offertes par les banques en ligne. Mais cela pourrait rapidement changer : Paytop envisage le lancement d’une quinzaine de devises sur la même carte, dont le yen et le dollar canadien.

Julien Bouyssou