Protéger ses paiements au quotidien. 6 chapitres et un QCM final.

Chapitre 1. La fraude aux paiements en France : panorama.

Chaque année, l'Observatoire de la sécurité des moyens de paiement (OSMP), adossé à la Banque de France, publie la radiographie officielle de la fraude. Le constat est double. Les paiements n'ont jamais été aussi sûrs techniquement (puce EMV, authentification forte, tokenisation), et pourtant la fraude reste massive, parce qu'elle a changé de cible. Les escrocs n'attaquent plus la carte, ils attaquent la personne qui la tient. Cette manœuvre porte un nom, l'ingénierie sociale, qui consiste à vous faire faire vous-même, sous pression ou par ruse, ce qu'aucun pirate ne pourrait faire à votre place.

Le paiement chez le commerçant avec la puce et le code est devenu quasi inviolable. La fraude s'est déplacée vers le paiement à distance et surtout vers la manipulation de la victime (faux conseillers, faux sites, faux RIB). Le chèque, en voie de disparition, reste paradoxalement le moyen de paiement le plus fraudé rapporté aux montants échangés. Voici la carte d'état-major des menaces que nous allons désamorcer une par une.

Chapitre 2. Phishing et faux conseiller bancaire : l'arnaque du siècle.

Trois mots pour une même logique : le phishing (hameçonnage par e-mail), le smishing (par SMS) et le vishing (par téléphone, voice phishing). L'appât imite un expéditeur légitime, transporteur, impôts, Assurance maladie ou banque. Il vous pousse vers un faux site où vous saisissez vous-même vos données de carte ou vos identifiants. Ces données alimentent la seconde phase, bien plus redoutable, l'appel du faux conseiller bancaire.

CHRONOPOST : votre colis N.FR2941X est en instance.
Frais de douane requis (1,45 EUR) sous 24h :
https://chronopost-suivi-colis-fr.info

INFO AMELI : votre nouvelle carte Vitale est disponible.
Mettez a jour vos informations :
https://ameli-secu-renouvellement.com

=> Indices : domaine fantaisiste, micro-montant credible,
   compte a rebours, fautes discretes. Un vrai organisme
   n'envoie JAMAIS de lien de paiement par SMS.

Quelques heures ou quelques jours après avoir saisi vos données sur le faux site, votre téléphone sonne. À l'écran s'affiche le vrai numéro de votre banque, par un procédé appelé spoofing (usurpation de numéro), qui repose sur un logiciel affichant le numéro de son choix. Le « conseiller » est calme, professionnel, connaît votre nom, parfois vos dernières opérations (récoltées via le phishing). Il annonce des paiements suspects « en cours » et propose de vous aider à les bloquer. Le piège se referme.

La riposte s'organise aussi côté réglementation, et depuis le 1er octobre 2024 les opérateurs télécoms français doivent couper les appels qui usurpent un numéro fixe ou mobile français. Le dispositif, issu de la loi Naegelen de 2020, repose sur le mécanisme d'authentification des numéros (MAN). Le spoofing recule, mais les fraudeurs contournent déjà via des numéros étrangers ou des messageries. Côté justice, la Cour de cassation a tranché le 23 octobre 2024 (Cass. com., n° 23-16.267). La victime d'un faux conseiller appelant depuis le numéro affiché de sa banque n'a pas commis de négligence grave, parce que cette mise en scène « diminue la vigilance » de l'utilisateur, et la banque doit donc rembourser.

• Raccrochez dès qu'un « conseiller » évoque une fraude en cours et vous demande d'agir : le vrai service anti-fraude bloque d'abord, explique ensuite.
• Rappelez vous-même le numéro officiel figurant au dos de votre carte ou sur votre relevé, jamais un numéro donné par l'interlocuteur.
• Ne validez jamais une notification que vous n'avez pas provoquée par un achat que vous êtes en train de faire.
• Ne communiquez jamais un code reçu par SMS, même à quelqu'un qui prétend travailler pour votre banque.
• Transférez les SMS frauduleux au 33700, la plateforme nationale de signalement, puis supprimez-les.
• Lisez le texte des notifications avant de valider : le montant, le commerçant et parfois l'appareil y figurent noir sur blanc.

Chapitre 3. Skimming, vol et fraude en proximité.

La fraude « physique » n'a pas disparu, elle s'est raréfiée et professionnalisée. Le skimming consiste à trafiquer un distributeur automatique (DAB) ou un terminal de paiement pour copier la piste magnétique de la carte. Une micro-caméra ou un faux clavier capture le code au même moment. Les données copiées servent à fabriquer des clones utilisés dans les pays où la piste magnétique fonctionne encore. En France, la puce EMV rend le clone inutilisable en proximité, alors que votre code, lui, reste précieux pour les voleurs.

Le sans-contact, justement, affiche l'un des taux de fraude les plus bas de tous les moyens de paiement, environ 0,01 % des montants selon l'OSMP, soit cinq fois moins que la moyenne carte. Le plafond de 50 € par opération (en vigueur depuis le 11 mai 2020) et le déclenchement régulier d'une demande de code rendent l'exploitation d'une carte volée peu rentable. L'opposition, elle, se fait maintenant en deux gestes depuis l'application.

• Avant d'insérer votre carte, tirez légèrement sur le lecteur du DAB : un skimmer mal fixé se détache.
• Cachez votre code de la main libre, systématiquement, même seul.
• Refusez toute aide d'un inconnu au distributeur ; en cas de carte avalée, restez devant l'appareil et appelez immédiatement votre banque.
• Au restaurant ou en boutique, ne perdez jamais votre carte de vue : le terminal vient à vous, pas l'inverse.
• Activez les notifications instantanées de votre application : un débit inconnu se repère à la seconde, pas à la fin du mois.

Chapitre 4. Configurer sa carte : plafonds, cartes virtuelles et 3-D Secure.

La meilleure protection ne coûte rien et se trouve dans les réglages de votre application bancaire. Une carte bien configurée limite mécaniquement les dégâts d'une fraude. Un plafond bas, un sans-contact maîtrisé et une carte virtuelle pour les sites inconnus transforment un sinistre potentiel de plusieurs milliers d'euros en incident de quelques dizaines d'euros.

3-D Secure : le garde du corps de vos achats en ligne

Depuis la 2e directive sur les services de paiement (DSP2), la plupart des paiements en ligne exigent une authentification forte (SCA). Le porteur prouve son identité par deux facteurs parmi ce que je sais (code), ce que je possède (téléphone enrôlé) et ce que je suis (biométrie). Concrètement, vous validez dans votre application bancaire ou par biométrie au moment de payer, selon un protocole appelé 3-D Secure (version 2). Voici ce qui se passe dans les coulisses.

Certains paiements passent sans validation, parce que la DSP2 prévoit des exemptions : montants inférieurs à 30 € (dans certaines limites de cumul), transactions jugées à faible risque par l'analyse de la banque (Transaction Risk Analysis). S'y ajoutent les marchands mis en liste de confiance et les abonnements récurrents dont seule la première échéance est authentifiée. Une absence de 3DS n'est donc pas anormale, mais un paiement authentifié par vos soins est beaucoup plus difficile à contester. Ne validez jamais à l'aveugle.

Wallets mobiles : payer sans jamais montrer sa carte

Apple Pay, Google Pay et les wallets bancaires reposent sur la tokenisation. Votre vrai numéro de carte n'est jamais transmis au commerçant ; un jeton (token) propre à l'appareil le remplace. Chaque paiement exige votre biométrie, et en cas de fuite de données chez un marchand, votre carte réelle reste inconnue. Pour la sécurité pure, payer avec son téléphone est aujourd'hui plus sûr que tendre sa carte physique.

Chapitre 5. Débit inconnu ou fraude au virement : la procédure pas à pas.

Un débit que vous ne reconnaissez pas apparaît sur votre compte. Pas de panique. Le droit européen et le Code monétaire et financier organisent une procédure précise et très protectrice pour le consommateur, à condition d'agir dans l'ordre et dans les délais. Avant de contester, écartez d'abord le libellé commerçant obscur, car le nom juridique diffère souvent de l'enseigne. Un abonnement oublié ou l'achat d'un proche autorisé à utiliser la carte expliquent aussi bien des débits qu'on ne reconnaît pas.

Côté carte, une fois le remboursement obtenu, c'est votre banque qui se retourne contre la banque du commerçant, via la procédure de chargeback (rétrofacturation) des réseaux Visa, Mastercard ou CB. La perte est réimputée en cascade, généralement au commerçant qui a accepté le paiement frauduleux. Vous n'avez pas à attendre l'issue de cette bataille interbancaire pour être remboursé.

Objet : Contestation d'operation(s) non autorisee(s) -
       demande de remboursement (art. L. 133-18 CMF)

Madame, Monsieur,

Je constate sur mon compte n° [...] la ou les operations
suivantes, que je n'ai ni initiees ni autorisees :

- [date] - [libelle] - [montant] EUR

Conformement aux articles L. 133-18 et L. 133-24 du Code
monetaire et financier, je vous demande le remboursement
immediat de ces sommes, au plus tard a la fin du premier
jour ouvrable suivant ce signalement, ainsi que la
remise en etat de mon compte (frais et agios induits).

J'ai fait opposition le [date] a [heure]
(reference : [...]).

Veuillez agreer, Madame, Monsieur, mes salutations
distinguees.

[Nom, prenom, adresse, date, signature]

Chapitre 6. Protéger ses proches : parents, ados, et soi-même.

Les fraudeurs ciblent en priorité les personnes moins à l'aise avec le numérique ou plus sensibles à l'autorité. Nos parents et grands-parents pour le faux conseiller bancaire, nos adolescents pour les arnaques aux petites annonces et aux jeux. Protéger ses proches, c'est combiner des outils (les bons réglages sur les bons produits) et un script familial répété à l'avance. Sous stress, on ne réfléchit pas, on récite.

• 33700 : transférer les SMS et signaler les appels frauduleux (gratuit).
• Info Escroqueries : 0 805 805 817 (numéro vert de la police nationale, du lundi au vendredi).
• cybermalveillance.gouv.fr : diagnostic et assistance en cas de piratage ou d'hameçonnage.
• Perceval (service-public.fr) : signalement en ligne d'une fraude à la carte quand vous êtes toujours en possession de celle-ci.
• THESEE : plainte en ligne pour les escroqueries sur internet (faux vendeurs, chantage, faux supports techniques).

Un dernier conseil. Parlez des fraudes autour de vous, sans tabou. La honte est la meilleure alliée des escrocs, parce que beaucoup de victimes n'osent rien dire et se privent de recours pourtant efficaces. Raconter une tentative de fraude à ses proches, c'est vacciner toute la famille, et la prochaine fois que le « conseiller » appellera, quelqu'un reconnaîtra le scénario dès la deuxième phrase.