Au moment de régler un achat en ligne, la page du commerçant marque souvent une pause pendant qu’une notification s’affiche sur le téléphone. L’application bancaire prend le relais et demande de confirmer l’opération, par biométrie ou par code personnel ; la confirmation donnée, la commande suit son cours. Ce détour par l’application est devenu si familier que peu d’acheteurs se demandent ce qui se produit pendant ces quelques secondes.
Cette pause correspond à l’exécution d’un protocole nommé 3-D Secure, aujourd’hui spécifié par EMVCo — l’organisme qui maintient les spécifications techniques des paiements par carte. Il permet à la banque émettrice de vérifier que la personne en train de payer à distance est bien le porteur de la carte, alors que la transaction s’effectue sans terminal ni code PIN.
Un protocole né des « trois domaines » du paiement
Le sigle décrit l’architecture du système. Une transaction par carte fait intervenir trois « domaines » : celui de l’acquéreur, où se trouvent le commerçant et sa banque ; celui de l’émetteur, la banque du porteur ; et le domaine d’interopérabilité, opéré par les réseaux de cartes qui relient les deux premiers. 3-D Secure organise la circulation des messages d’authentification entre ces trois espaces.
La première génération du protocole, déployée au début des années 2000, reposait sur une redirection du navigateur vers une page de la banque, où le client saisissait un mot de passe puis, plus tard, un code reçu par SMS. Les spécifications actuelles, connues sous le nom d’EMV 3-D Secure, ont été pensées pour les parcours mobiles : elles transmettent à la banque émettrice un ensemble beaucoup plus riche de données sur la transaction et sur l’appareil utilisé, ce qui lui permet d’évaluer le risque avant même de solliciter le client.
Le déroulement d’un paiement authentifié
Lorsque l’acheteur valide son panier, le prestataire de paiement du commerçant transmet les caractéristiques de la transaction au serveur d’annuaire du réseau de cartes, qui les achemine vers le serveur de contrôle d’accès de la banque émettrice. Celle-ci dispose alors d’éléments de contexte : montant, identité du commerçant, appareil de l’acheteur, habitudes du porteur.
Si l’analyse conclut à une opération vraisemblable, la banque peut authentifier la transaction sans rien demander au porteur, et le paiement aboutit sans friction visible. Dans le cas contraire, elle déclenche un défi d’authentification : c’est la notification qui s’affiche dans l’application bancaire, où la validation s’appuie le plus souvent sur le déverrouillage de l’appareil enrôlé — les mécanismes biométriques mobilisés à cette occasion, Touch ID et Face ID en tête, ayant leurs propres limites. Pour les clients qui n’utilisent pas l’application, des parcours de repli subsistent, généralement un code transmis par SMS complété d’un code confidentiel ; ce canal reste exposé au détournement de ligne mobile, et les approches d’authentification résistante au phishing visent précisément à s’en affranchir.
La DSP2 et l’authentification forte du client
En Europe, la généralisation de ces contrôles tient d’abord à une obligation réglementaire. La deuxième directive sur les services de paiement (DSP2) impose l’authentification forte du client — la SCA, pour strong customer authentication — pour les paiements électroniques, dont les achats en ligne par carte. L’authentification est dite forte lorsqu’elle combine au moins deux facteurs indépendants relevant de catégories différentes : la connaissance (un code, un mot de passe), la possession (un appareil enrôlé) ou l’inhérence (une caractéristique biométrique du client). Les textes ne citent pas 3-D Secure ; le protocole constitue en pratique le principal véhicule de la SCA pour la carte sur internet.
Les normes techniques de réglementation élaborées par l’Autorité bancaire européenne précisent la mise en œuvre de cette obligation et ouvrent des exemptions, que les prestataires appliquent sous leur responsabilité. Certaines opérations de faible montant peuvent être dispensées de défi ; il en va de même des transactions que l’analyse de risque du prestataire classe comme peu risquées, à condition que ses taux de fraude demeurent contenus, ou encore des paiements vers des bénéficiaires que le client a lui-même désignés comme étant de confiance. Une transaction exemptée reste soumise à l’appréciation de la banque émettrice, qui conserve la faculté d’exiger un défi. En France, le respect de ces obligations par les prestataires de services de paiement s’inscrit dans le champ de supervision de l’Autorité de contrôle prudentiel et de résolution.
Efficacité et limites face à la fraude par carte
Contre l’usage de numéros de carte volés, le dispositif oppose un obstacle sérieux : dès lors qu’une authentification est demandée, les données figurant sur la carte ne suffisent plus, puisqu’il faut aussi répondre au défi envoyé sur l’appareil du porteur légitime.
Le dispositif a en revanche déplacé une partie des attaques vers le porteur lui-même. Un escroc qui a récupéré des données de carte par hameçonnage peut rappeler sa victime en se présentant comme le service anti-fraude de sa banque et lui demander de valider dans l’application une opération décrite comme un test ou une annulation : c’est la mécanique du faux conseiller bancaire. Le client authentifie alors, en toute bonne foi, le paiement du fraudeur : aux yeux du protocole, l’opération est parfaitement régulière. Ces scénarios exploitent les ressorts de l’ingénierie sociale ; les réflexes publiés par cybermalveillance.gouv.fr face à l’hameçonnage s’appliquent aux messages qui amorcent la manœuvre, qu’ils arrivent par courriel ou par SMS frauduleux.
L’enrôlement constitue l’autre point sensible. La solidité du défi tient au lien entre la carte, l’application bancaire et un appareil de confiance. Un attaquant qui parvient à activer l’application sur son propre téléphone — en franchissant les vérifications d’identité à distance, que l’usurpation faciale dans les parcours KYC cherche justement à tromper, ou en interceptant les codes d’activation — reçoit ensuite les défis à la place du client, et chaque paiement frauduleux paraît dûment authentifié.
Un suivi public de la fraude aux moyens de paiement
Placé auprès de la Banque de France, l’Observatoire de la sécurité des moyens de paiement réunit émetteurs, commerçants, associations de consommateurs et autorités publiques. Son rapport annuel mesure la fraude pour chaque moyen de paiement et documente les effets du déploiement de l’authentification forte ; l’Observatoire y adresse également ses recommandations aux acteurs de la chaîne des paiements. Ses travaux offrent une base publique pour documenter le déplacement des techniques de fraude, de la compromission de données de carte vers la manipulation des payeurs.
Hors du champ : la fraude aux virements
Les virements n’empruntent pas ce protocole, réservé aux paiements par carte. Lorsqu’une entreprise exécute un ordre vers l’IBAN d’un escroc à la suite d’une fraude au président, ou qu’un particulier règle de sa propre initiative un faux créancier, le virement est authentifié par le payeur légitime : la SCA valide l’opération sans rien détecter d’anormal, avant que les fonds ne se dispersent sur des comptes de « money mules », ces intermédiaires qui font transiter les sommes détournées. Ces fraudes aux paiements autorisés appellent des contrôles d’une autre nature, à commencer par les dispositifs de vérification du bénéficiaire qui se déploient en Europe pour confronter le nom saisi par le payeur à celui du titulaire réel du compte.
