Fraude au paiement et 3-D Secure

La fraude au paiement dans une boutique en ligne est une tentative d'obtenir des marchandises ou de l'argent en utilisant les données de carte d'autrui, en trompant le client, ou par un litige de paiement malhonnête. 3-D Secure (3DS) est un protocole par lequel la banque émettrice vérifie en plus que la carte est utilisée par son titulaire.

En clair

Une carte en ligne fonctionne sans présence physique : la boutique ne voit ni la carte ni le visage. Les parties échangent donc des données, et la banque évalue le risque. EMVCo, l'organisation qui maintient la norme, le décrit ainsi : le commerçant transmet à la banque des données sur la transaction, le paiement et l'appareil ; la banque évalue le risque et soit approuve l'achat, soit demande une confirmation. Pour de nombreux achats, tout se passe sans étape supplémentaire (« j'ai cliqué sur Acheter et le paiement est passé »), tandis que les achats plus risqués exigent une confirmation : un code à usage unique, une question ou la biométrie (EMVCo).

C'est ainsi que fonctionne EMV 3DS. La version 2.1 prend en charge les exigences de l'UE en matière d'authentification forte du client (DSP2), mais EMVCo recommande d'envisager la version 2.2 et les suivantes pour des capacités optimales (même source).

Principaux types de fraude pour une boutique

• Paiement avec une carte volée. Le titulaire voit le débit, le conteste, et l'argent lui est rendu : la boutique perd la marchandise et paie pour le litige.
• Test de cartes (carding). Des bots passent des données sur la page de paiement pour vérifier quelles cartes fonctionnent. Protection : limites de tentatives, contrôles anti-bots, voir bots et scraping.
• Prise de contrôle de compte. Deviner les mots de passe d'autres personnes pour acheter avec une carte enregistrée ou des points de fidélité.
• Fraude « amicale ». Un vrai client conteste un paiement alors qu'il a lui-même fait l'achat. Il n'existe pas de chiffres primaires ouverts qui puissent être vérifiés.
• Fraude au paiement à la livraison. Une commande à l'adresse ou au numéro de téléphone d'une autre personne, avec refus de retirer le colis. Ce n'est pas une fraude à la carte, mais c'est aussi une perte ; voir paiement à la livraison.

Ce que 3-D Secure fait et ne fait pas

3DS déporte une partie de la vérification vers la banque, qui connaît son client. L'avantage selon EMVCo : une meilleure prévention de la fraude, moins de refus à tort et un paiement plus fluide (EMVCo). Une approche fondée sur le risque signifie que certains clients passent sans aucune étape supplémentaire.

Ce qu'il ne fait pas : il ne protège pas lorsque le client a été amené à communiquer lui-même un code, et il ne dispense pas la boutique de surveiller les commandes suspectes. Les conditions du transfert de responsabilité en cas de litige dépendent des règles du système de paiement et du contrat avec la banque ; renseignez-vous auprès de votre acquéreur.

Le minimum pratique

1. Une page de paiement d'un prestataire avec 3DS activé (en général, c'est un réglage du contrat et de l'espace du prestataire).
2. Ne pas stocker les données de carte ; voir PCI DSS.
3. Des règles de vérification des commandes : montants très élevés, nouveaux clients avec un gros panier, adresses de facturation et de livraison différentes, nombreuses tentatives de paiement échouées d'affilée. Confirmer les commandes suspectes par téléphone.
4. Des limites de tentatives de paiement et une protection contre les bots.
5. Une description claire du produit, les conditions de retour, et le nom de la boutique sur le relevé : certains litiges naissent parce que le client ne reconnaît pas le débit.
6. Conserver les preuves de livraison (la lettre de transport du transporteur, la confirmation de réception) pour répondre à un litige.
7. Une connexion en deux étapes pour les comptes clients, ou des notifications de connexion depuis un nouvel appareil.

Erreurs fréquentes

• Désactiver 3DS pour « ne pas perdre de conversion ». Le 3DS fondé sur le risque laisse passer certains clients sans étape, alors que le désactiver vous laisse le risque. Étudiez cela avec votre prestataire sur vos propres données.
• Tout bloquer par des règles. Des filtres trop stricts écartent des clients honnêtes.
• Demander à un client d'envoyer une photo de la carte ou un code par messagerie.
• Ne pas regarder ses propres données : vous devez calculer vous-même votre part de litiges et de refus.

FAQ

Qu'est-ce que 3-D Secure ? Une vérification supplémentaire d'un achat par la banque émettrice : en cas de risque, le client confirme le paiement avec un code, dans l'application de la banque ou par biométrie (EMVCo).

Le client voit-il toujours la fenêtre 3-D Secure ? Non. Pour de nombreuses transactions, la vérification se fait de façon invisible, et une demande n'apparaît que lorsque le risque est plus élevé (EMVCo).

Comment réduire la fraude dans une boutique sans perdre de conversion ? Utilisez le 3DS fondé sur le risque, des limites de tentatives, et des règles de vérification uniquement pour les commandes risquées, pas pour toutes.

Termes associés

• PCI DSS en termes simples
• Tunnel de commande (checkout)
• Bots et scraping de prix dans une boutique en ligne

Sources

• EMVCo, EMV 3-D Secure — emvco.com/emv-technologies/3-d-secure