Brevet FR3043871A1 — publié le 20170519

PROCEDE DE SECURISATION PAR CARTE BANCAIRE, DES TRANSACTIONS EN LIGNE PAR TELEPHONE OU FAX. DESCRIPTIF Domaine d'application de l'invention La présente invention concerne un procédé de sécurisation par carte bancaire, des transactions en ligne par téléphone ou fax. Elle concerne le domaine de la sécurisation des transactions par internet, téléphone ou fax à partir d'une carte bancaire de crédit ou de débit, assuciée à un compte bancaire. L'invention a pour but de sécuriser le code de sécurité généralement inscrit sur la face arrière de la carte, souvent appelé cryptogramme. Etat de l'art antérieur Le commerce en ligne (internet, téléphone ou fax), utilisant les cartes bancaires, s'est considérablement développé. Malheureusement, en même temps les fraudes par piratage des données sécurisées du propriétaire de la carte se sont également généralisées. On estime actuellement que plus de 60% des fraudes à la carte bancaire, viennent du piratage en ligne des données personnelles du propriétaire de la carte. Ces données personnelles comprennent généralement, un numéro de carte, le nom et prénom du propriétaire, la date d'expiration de la carte qui sont souvent « embossées » sur la face avant de la carte. Sur la face arrière, se trouve inscrit un code, à trois ou quatre chiffres, le cryptogramme. Le 3043871 2 piratage de ces données en ligne, permet au pirate de commander en ligne des objets, qu'il se fera livrer à une adresse nomade ou éphémère. De nombreux dispositifs ont été développés pour 5 tenter de mieux sécuriser les données des cartes bancaires, notamment le cryptogramme. Le brevet US2013061057, propose l'utilisation d'un téléphone cellulaire, associé à la carte, qui par les codes de sécurité du téléphone, améliore celle 10 de la carte. Le brevet US2012280048 propose l'insertion d'une antenne RFID dans la carte, qui par sa liaison à un serveur local, sécurise la transaction. Le brevet US2010299267, décrit un cryptage du 15 cryptogramme, par l'intermédiaire d'un processeur, lié à une carte à puce, ou à un ordinateur. Le brevet US2011272472 propose un émulateur magnétique qui à partir de la piste magnétique de la carte, permet de changer périodiquement le 20 cryptogramme. Les brevets US2012325905, US2010127083, EP2568448, proposent l'insertion dans la carte bancaire d'un écran affichant le cryptogramme, qui peut être modifié séquentiellement par une électronique 25 insérée dans la carte, en coordination avec la banque, sans liaison directe. Si ces inventions sont intéressantes à certains égards, elles sont complexes, font appel à de l'électronique extérieure, et s'agissant de 30 dispositif encastrés dans la carte, avec des écrans affichant les cryptogrammes, sont très chères, et peuvent présenter des problèmes de fiabilité. Par 3043871 3 ailleurs, la périodicité des changements de cryptogrammes, permet durant la validité du cryptogramme d'effectuer des transactions frauduleuses. Exposé de l'invention La présente invention a pour but de remédier aux inconvénients de l'art antérieur, pour sécuriser les transaction utilisant une carte bancaire, lorsque 10 cette transaction nécessite la divulgation des données sécuritaires, comme le numéro de carte, le nom, et prénom du propriétaire, la date d'expiration de la carte, et le cryptogramme, divulgation qui peut se faire notamment par internet, téléphone ou fax, ou 15 tout autre moyen. L'invention concerne plus particulièrement la sécurisation du cryptogramme. L'invention propose l'inscription par la banque de plusieurs cryptogrammes différents sur la carte, chaque cryptogramme étant reconnu par celle-ci. Pour 20 effectuer une transaction, le propriétaire de la carte divulgue en ligne ou par téléphone, ou faxe, ou tout autre moyen, son numéro de carte, son nom, son prénom, la date d'expiration de la carte, et un des cryptogrammes inscrits sur la carte. La sécurisation 25 des transactions, s'effectue par le refus de la banque d'une seconde transaction consécutive à la première transaction, utilisant le même cryptogramme. Une nouvelle transaction consécutive à la première, doit utiliser un ou plusieurs des autres 30 cryptogrammes inscrits sur la carte bancaire, avant de pouvoir réutiliser le cryptogramme de la précédente transaction. 3043871 4 De façon plus précise, l'invention a pour objet un procédé de sécurisation des transactions par carte bancaire, associée à un compte bancaire, en ligne par téléphone ou fax, ou tout autre moyen 5 nécessitant la divulgation des données sécuritaires, comportant le numéro de la carte bancaire, le nom et le prénom du propriétaire, la date d'expiration de la carte. Plusieurs cryptogrammes, différents sont inscrits sur la carte, et reconnus par la banque. 10 Après une transaction utilisant un de ces cryptogrammes, divulgué par le propriétaire pour effectuer sa transaction, la banque n'accepte plus l'utilisation de ce même cryptogramme pour la transaction suivante. Ce même cryptogramme ne pouvant 15 être accepté par la banque qu'après que le propriétaire ait effectué au moins une autre transaction utilisant au moins un autre cryptogramme inscrit sur la carte. Les transactions selon l'invention, peuvent 20 s'effectuer par internet, par téléphone ou faxe, ou tout autre moyen nécessitant la divulgation des informations sécuritaires, notamment du cryptogramme. Lors d'une transaction (Ti), visant par exemple l'achat en ligne d'un objet, le propriétaire 25 de la carte bancaire, divulgue par internet au site du vendeur, les informations contenues sur sa carte, soit son numéro de carte, son nom, son prénom, la date d'expiration, et un des cryptogrammes (C1) inscrits sur sa carte. Ces données étant reconnues 30 par la banque, celle-ci autorise la transaction (Tl). Au cours ou à la suite de cette transaction (Ti) si un piratage des données intervenait, le pirate 3043871 5 utilise les mêmes données pour faire par exemple, un achat frauduleux. La banque interdit alors immédiatement cette transaction frauduleuse, car le même cryptogramme (Cl) aura été utilisé deux fois de 5 suite pour deux transactions consécutives. Le propriétaire de la carte peut effectuer une autre transaction (T2) en utilisant un autre cryptogramme (C2) inscrit sur sa carte. Cette seconde transaction est acceptée par la banque. S'il devait 10 faire une troisième transaction (T3) il pourrait réutiliser le premier cryptogramme (Cl), selon un premier mode de l'invention. Selon un second mode de l'invention, plusieurs transactions avec des cryptogrammes différents, sont 15 nécessaire pour pouvoir réutiliser le même cryptogramme. Ce nombre de transaction est défini par la banque. Selon un troisième mode de l'invention, l'utilisation des cryptogrammes se fait dans un ordre 20 déterminé prédéfini par la banque. Selon un quatrième mode de l'invention, un ou plusieurs des cryptogrammes inscrit sur la carte, est interdit à l'utilisation. Ces cryptogrammes sont choisis par la banque qui en informe le propriétaire 25 de la carte. Les modes trois et quatre selon l'invention, peuvent être utilisés séparément ou en combinaison entre eux. 30 Si le propriétaire de la carte engage par erreur une seconde transaction selon le premier mode de l'invention par exemple, (suite à une première 3043871 6 transaction), avec le même cryptogramme, la transaction est bloquée par la banque. Le propriétaire détecte vite son erreur car il est informé que sa transaction a été bloquée. Il peut 5 alors déclarer son erreur à sa banque, par un contact téléphonique ou un SMS. La banque qui est à l'origine du blocage, peut à l'inverse, si elle n'a pas reçu d'information du propriétaire, contacter le propriétaire, pour vérifier s'il s'agit d'une erreur 10 de sa part ou non. S'il ne s'agit pas d'une erreur du propriétaire, la banque sait immédiatement qu'elle a affaire à une tentative de piratage. Elle peut donc engager sans attendre une 15 recherche, afin de reconstituer la traçabilité de cette tentative de piratage, car l'ayant immédiatement détectée, elle peut remonter à sa source, plus facilement, alors que selon l'art antérieur, avec un seul cryptogramme, c'est souvent 20 le propriétaire qui détecte la fraude, en consultant ses relevés bancaires, parmi un ensemble de transactions non frauduleuses qu'il a accomplies, c'est-à-dire bien après que la fraude se soit produite. Il arrive même qu'il ne s'en aperçoive 25 pas, si le montant de la fraude n'est pas très élevé. Cette instantanéité de détection des tentatives de piratage, est un avantage important du procédé selon l'invention, car non seulement il évite la 30 fraude, mais en plus il contribue à son éradication par la recherche immédiate de l'auteur de la tentative de fraude. 3043871 7 Présentation des figures D'autres données, caractéristiques et avantages de la présente invention apparaîtront à la 5 lecture de la description détaillée non limitative qui suit, en référence aux figures annexées qui représentent, respectivement : - la figure 1, un exemple de l'art antérieur 10 - la figure 2, la vue arrière d'une carte de paiement selon l'invention. Description détaillée La figure 1 représente la face arrière d'une 15 carte de bancaire 1 selon l'art antérieur. La piste magnétique 2 se trouve généralement au bord supérieur de la face arrière de la carte bancaire. Un code 3 plus ou moins masqué par des impressions colorées, superposées au code, n'est pas utilisé pour les 20 transactions en ligne, seul le code 4 généralement composé de 3 chiffres, que l'on nomme souvent cryptogramme, est utilisé, en complément du numéro de carte, du nom et prénom du propriétaire, ainsi que la date d'expiration de la carte qui se trouvent sur la 25 face avant de la carte. Ces informations sont divulguées en ligne ou par téléphone au vendeur. La figure 2 montre la face arrière 1 d'une carte bancaire selon l'invention. La piste magnétique 2, et le code 3 sont déjà décrrit 30 à la figure 1. La carte comporte selon l'exemple de la figure 2, trois cryptogrammes 5, 6, et 7. Chaque cryptogramme a un code différent. Le propriétaire de 3043871 8 la carte, peut divulguer en ligne, (en complément du numéro de carte, de son nom, de son prénom, et de la date d'expiration de sa carte), un de ces trois cryptogrammes pour effectuer un achat en ligne par 5 exemple le cryptogramme 5. Pour une transaction suivante, il peut utiliser soit le cryptogramme 6 ou le cryptogramme 7. Selon le premier mode de l'invention, pour une troisième transaction, il peut de nouveau utiliser le cryptogramme 5. 10 Selon le second mode de l'invention, il ne peut utiliser le cryptogramme 5 qu'après avoir utilisé les cryptogrammes 6 et 7. Selon le troisième mode de l'invention, le propriétaire doit utiliser dans l'ordre les 15 cryptogrammes 5, puis 6, puis 7 pour effectuer trois transactions, puis la même séquence se renouvelle pour les transactions suivantes. Le nombre de cryptogrammes selon l'invention, n'est pas limité, seule la taille de l'impression 20 des cryptogrammes, par rapport à la surface disponible en face arrière, limite le nombre de cryptogrammes. D'une façon pratique, le nombre de cryptogrammes peut être par exemple compris entre trois et dix. 25 Parmi ces cryptogrammes il est proposé selon l'invention, d'avoir un ou plusieurs cryptogrammes interdits imprimés sur la carte, et connus de la banque, et indiqués au propriétaire lors du courrier joint à l'envoi de la carte au propriétaire par sa 30 banque. Ce ou ces cryptogrammes interdits, ont pour but de renforcer la sécurisation des transactions, en cas de vol de la carte. Si la carte était volée, 3043871 9' le voleur ne connaissant pas ces cryptogrammes interdits, pourrait en utiliser un, et être repéré par la banque. 5 10 15 20 25 30 REVENDICATIONS1) Procédé de sécurisation des transactions par carte bancaire, associée à un compte bancaire, en ligne par téléphone ou fax, ou tout autre moyen nécessitant la divulgation des données sécuritaires, comportant le numéro de la carte bancaire, le nom et le prénom du propriétaire, la date d'expiration de la carte, caractérisé en ce qu'il comporte plusieurs cryptogrammes différents qui sont inscrits sur la carte bancaire, et reconnus par la banque, et en ce qu'après une transaction utilisant un de ces cryptogrammes, divulgué par le propriétaire pour effectuer sa transaction, la banque n'accepte plus l'utilisation de ce même cryptogramme pour la transaction suivante, ce même cryptogramme ne pouvant être accepté par la banque qu'après que le propriétaire ait effectué au moins une autre transaction utilisant au moins un autre cryptogramme inscrit sur la carte. 2) Procédé de sécurisation des transactions par carte bancaire, en ligne par téléphone ou fax ou tout autre moyen nécessitant la divulgation des données sécuritaires, selon la revendication 1, caractérisé en ce que plusieurs transactions dont le nombre est défini par la banque, avec des cryptogrammes différents, sont nécessaire pour pouvoir réutiliser le même cryptogramme. 3) Procédé de sécurisation des transactions par carte bancaire, en ligne par téléphone ou fax, ou tout autre moyen nécessitant la divulgation des données sécuritaires, selon la revendication 1, 3043871 11 caractérisé en ce que l'utilisation des cryptogrammes se fait dans un ordre prédéfini par la banque. 4) Procédé de sécurisation des transactions par 5 carte bancaire, en ligne par téléphone ou fax, ou tout autre moyen nécessitant la divulgation des données sécuritaires, selon la revendication 1, caractérisé en ce que un ou plusieurs des cryptogrammes inscrits sur la carte sont interdits à 10 l'utilisation, ces cryptogrammes sont choisis par la banque qui en informe le propriétaire de la carte. 5) Procédé de sécurisation des transactions par carte bancaire, en ligne par téléphone ou fax, ou tout autre moyen nécessitant la divulgation des 15 données sécuritaires, selon les revendications 3 et 4, caractérisé en ce que les modes 3 et quatre selon l'invention peuvent être utilisés séparément ou en combinaison entre eux. 6) Procédé de sécurisation des transactions 20 par carte bancaire, en ligne par téléphone ou fax, ou tout autre moyen nécessitant la divulgation des données sécuritaires, selon les revendications 1 à 5 caractérisé en ce que la banque contacte par téléphone ou SMS le propriétaire de la carte bancaire 25 pour s'assurer qu'il n'a pas commis d'erreur en cas d'utilisation du même cryptogramme pour deux transactions successives, et si le propriétaire de la carte confirme qu'il n'a pas commis cette erreur, la banque conclut qu'elle est en présence d'une 30 tentative de fraude, ce qui lui permet de lancer des investigations pour rechercher l'auteur de la tentative de fraude. 3043871 12 7) Procédé de sécurisation des transactions par carte bancaire, en ligne par téléphone ou fax, ou tout autre moyen nécessitant la divulgation des données sécuritaires, selon la revendication 4 5 caractérisé en ce que la banque contacte par téléphone ou SMS le propriétaire de la carte bancaire pour s'assurer qu'il n'a pas commis d'erreur en cas d'utilisation d'un des cryptogrammes interdits, et si le propriétaire de la carte confirme qu'il n'a pas 10 commis cette erreur, la banque conclut qu'elle est en présence d'une tentative de fraude, ce qui lui permet de lancer des investigations pour rechercher l'auteur de la tentative de fraude. 15 20 25 30