FR 2866457 A1 20050819 FR 0450268 A 20040213 PROCEDE PERMETTANT À UN CLIENT DISPOSANT D'UN TELEPHONE MOBILE ET D'UNE CARTE BANCAIRE EMISE PAR UNE BANQUE D'ACQUI'raX À DISTANCE LE PAIEMENT DE BIENS ET/OU DE SERVICES PROPOSES EN VENTE PAR UN ACCEPTEUR L'invention concerne un procédé permettant à un client disposant d'un téléphone mobile et d'une carte bancaire émise par une banque d'acquitter à distance le paiement de biens et/ou de services proposés en vente par un accepteur. Le procédé comprend, lors d'une phase d'inscription, les étapes suivantes: - l'étape, pour le client des biens et/ou services, de transmettre à une plate-forme distante un identifiant de la carte bancaire, notamment constitué du numéro, de la date d'expiration, du cryptogramme visuel de la carte bancaire, - l'étape, pour la plate-forme distante, d'attribuer un mot de passe au client, - l'étape, pour la plate-forme distante d'associer le mot de passe à l'identifiant de la carte bancaire et au numéro 15 d'appel du téléphone mobile, - l'étape de contrôler l'identifiant, notamment en procédant à une demande d'autorisation bancaire pour un euro symbolique, - l'étape de communiquer le mot de passe au client des biens et/ou services. Le procédé comprend, lors d'une phase de paiement, les étapes suivantes: l'étape, pour le client des biens et/ou services, de transmettre le mot de passe à la plate-forme distante, au moyen du téléphone mobile, à titre de confirmation du paiement des biens et/ou services, - l'étape, pour la plate-forme distante, d'authentifier le client en comparant le mot de passe ainsi transmis par le client (au moyen de son téléphone mobile, à l'étape précédente, lors de la phase de paiement) avec le mot de passe associé au numéro de téléphone mobile (attribué au client par la plate-forme distante lors de la phase d'inscription). Le procédé comprend en outre: - l'étape, pour la plate-forme distante, de transmettre à l'accepteur: É une confirmation d'authentification du client des biens et/ou services, É l'identifiant de la carte bancaire du client, - l'étape pour l'accepteur de générer une transaction de paiement par carte, notamment via un service de Terminal de Paiement Virtuel ou TPV. Ainsi, les biens et/ou services sont acquittés à distance par le client, de manière rapide et simple grâce à la communication du seul mot de passe à la plate-forme distante lors de la phase de paiement. Selon une première variante de réalisation de l'invention, le procédé est tel que l'étape de communiquer le mot de passe au client des biens et/ou services comprend l'étape, pour la plate-forme distante de commander à la banque, l'émission par courrier du mot de passe au client desdits biens et/ou services. Selon une seconde variante de réalisation de 35 l'invention, le procédé est tel que l'étape de communiquer le mot de passe au client des biens et/ou services met en oeuvre un terminal de type DAB-GAB connecté à la plate-forme distante et comprend les étapes suivantes: - l'étape, pour le terminal de type DAB-GAB de procéder à une authentification forte de la carte bancaire, - l'étape, pour le client des biens et/ou services, de communiquer au terminal de type DAB-GAB le numéro d'appel du téléphone mobile, - l'étape, pour la plate-forme distante, de vérifier 10 que le numéro d'appel du téléphone mobile correspond à la carte bancaire ainsi authentifiée, - l'étape pour la plate-forme distante, de transmettre le mot de passe: É sous la forme d'un SMS envoyé vers le téléphone 15 mobile du client des biens et/ou services, et/ou É en commandant audit DAB GAB l'impression d'un ticket comprenant le mot de passe. 1) Le mobile-paiement ou m-paiement vu par un client De façon à permettre l'accès au service de tout client utilisateur d'un mobile et porteur d'une carte bancaire ou CB, nous faisons l'hypothèse que les accepteurs sont accessibles via des Serveurs Vocaux Interactifs ou SVI. Le client compose donc le numéro de téléphone d'un tel SVI où il sélectionne le ou les produits ou services qu'il compte acheter. L'accepteur annonce alors le montant à payer et demande comment le client souhaite payer. Nous ne développons ci-après que le cas d'un m-paiement auquel le client se sera préalablement inscrit. Nous verrons dans le chapitre suivant comment se déroule l'inscription au m-paiement. Pour l'instant, nous retenons simplement que, suite à une telle inscription, on lui aura communiqué un mot de passe et on aura notamment mémorisé les informations suivantes: - le numéro du téléphone mobile du client, - le mot de passe, - le numéro de sa carte bancaire (avec la date d'expiration et peut-être même le cryptogramme visuel). Le client choisit de payer par m-paiement . Sa session téléphonique est alors reroutée vers une Plate-Forme de M-Paiement ou PFMP par l'accepteur qui renseigne le montant à encaisser. Nous supposons qu'un tel reroutage avec passation de paramètres est techniquement possible, aussi bien à l'aller qu'au retour, et que l'opérateur de téléphonie mobile gérant la session téléphonique pourra renseigner le numéro du mobile appelant. Cette PFMP est au coeur du système de m-paiement que nous décrivons ici. Nous définirons plus loin le rôle complet de cette PFMP. Pour l'instant, il suffit de préciser que cette PFMP va authentifier le client au moyen du numéro mobile appelant, des informations qui ont été mémorisées lors de l'inscription du client au m-paiement et du mot de passe demandé au client en ligne. Autrement dit, le client entendra la PFMP s'identifier vocalement et lui demander de confirmer le m-paiement de tel montant en saisissant son mot de passe sur le clavier du mobile. La PFMP reroute ensuite la session téléphonique à l'accepteur avec passation des paramètres suivants: - une confirmation d'authentification (ou non), - en cas d'authentification effective, le numéro de carte du client (avec date d'expiration et éventuellement cryptogramme visuel), une signature électronique engageant la responsabilité de la PFMP. L'accepteur reprend alors la session téléphonique et crée une transaction de paiement par carte via un service de Terminal de Paiement Virtuel ou TPV. Le TPV effectue une demande d'autorisation carte via l'acquéreur de l'accepteur. En cas de réponse positive, la transaction carte fera en principe l'objet d'une remise en banque automatique pour le lendemain matin au plus tard. Toujours en cas de réponse positive, l'accepteur annonce au client que sa commande est acceptée et qu'il sera livré. Les opérateurs pourront idéalement proposer le rechargement des mobiles prépayés de cette façon. En fait, le SVI fait immédiatement débloquer le crédit temps correspondant à la recharge achetée et le client pourra en être prévenu par réception d'un SMS. Finalement pour les clients, le m-paiement se révèle tout à fait rapide et simple d'utilisation avec une seule information à fournir pour confirmer une transaction: le mot de passe. 2) L'inscription au m-paiement Le présent système de m-paiement n'impliquant pas nécessairement directement la banque de chaque client, il s'en suit qu'il faudra s'appuyer sur la relation contractuelle entre le client et son opérateur mobile. C'est ainsi que le client est invité à s'inscrire au m-paiement auprès de son opérateur mobile en appelant un numéro de téléphone que celui-ci lui aura communiqué. Le SVI qui répond s'identifie vis-à-vis de l'appelant et lui demande s'il souhaite s'inscrire au m-paiement. Le client devra alors saisir: - le numéro de la carte qui servira de support au m-paiement, - la date d'expiration, - le cryptogramme visuel. Le SVI effectue une demande d'autorisation pour 1 symbolique pour vérifier l'intégrité des informations fournies par le client. Si c'est le cas, le SVI explique alors comment sera communiqué au client le mot de passe permettant ensuite 35 d'effectuer des m-paiements. 25 30 En fait, on peut envisager deux procédés différents selon que la carte du client est émise ou non par une banque partenaire du système de mpaiement. Si c'est le cas, ce sera cette banque qui adressera sous pli sécurisé le mot de passe au domicile du client. Ce procédé garantit raisonnablement que le titulaire de la carte prendra seul connaissance de ce mot de passe. Sinon, c'est-à-dire sans qu'on fasse intervenir la banque ayant émis la carte du client, l'idée est d'inviter le client à effectuer un rechargement avec activation sur un DAB d'une banque partenaire du système de m-paiement. Détaillons un peu ce procédé. Lorsque le client choisit d'effectuer un rechargement avec activation de m-paiement, ce sera une manifestation explicite de sa volonté de relier sa carte au mobile rechargé dont il saisit sur le DAB le numéro d'appel et donc d'activer le m-paiement. Le DAB authentifie de façon forte la carte bancaire physique et son porteur. L'erreur de saisie n'est pas possible car on vérifie qu'une inscription préalable a bien été effectuée sur la combinaison carte - mobile en question. Dans ces conditions, le service de rechargement par DAB pourra communiquer par SMS le mot de passe au client. Ce second procédé garantit également de façon raisonnable que le titulaire de la carte prendra seul connaissance du mot de passe. Ce procédé peut être mis en oeuvre même lorsque le mobile fonctionne dans le cadre d'un abonnement. C'est peut-être un peu artificiel, mais dans un tel cas, l'opérateur peut très bien rembourser le montant du rechargement avec activation suite à une première utilisation du m-paiement par le client. Bien évidemment, quel que soit le procédé mis en oeuvre, l'opérateur mobile devra avoir communiqué à la Plate-Forme de M-Paiement les informations d'inscription: - le numéro de mobile - le numéro de carte (avec la date d'expiration et éventuellement le cryptogramme visuel). C'est ensuite la PFMP qui attribue le mot de passe, mémorise les informations d'authentification et communique tout ou partie de ces informations: - à la banque émetteur de la carte si celle-ci est partenaire, - sinon aux banques partenaires offrant le service de rechargement avec activation. A noter que l'inscription est contractuellement acquise lorsque le client aura utilisé une première fois le mot de passe qui lui a été donné. 3) Faisabilité technique La solution repose sur le reroutage avec passation de paramètres, à l'aller et au retour, et avec renseignement du numéro du mobile appelant. Les opérateurs de téléphonie mobile sont les mieux placés pour y répondre. Une alternative serait de couper la session téléphonique initiale lors de l'authentification. Pour procéder à cette authentification, la PFMP devra alors appeler le client sur son mobile. Cette alternative est légèrement moins satisfaisante car elle introduit une rupture vis-à-vis du client. On a représenté sur la figure 1 le système de m- paiement (ou paiement par téléphone mobile) mis en place selon l'invention. Les références numériques portées sur la figure 1 correspondent aux éléments suivants: 1: client disposant d'un téléphone mobile 2: accepteur m-paiement (opérateur de téléphonie 30 mobile dans le cas de la recharge GSM) 3: service d'inscription (Serveur Vocal Interactif ou SVI opérateur) 4: terminal de paiement virtuel (ou TPE virtuel opérateur) 5: plate-forme distante de m-paiement 6: banque acquéreur de l'opérateur 7:plate-forme de rechargement des téléphones mobiles GSM sur DAB (distributeur automatique de billets) 8: banque du client, vérification du numéro de carte 5 bancaire, RIB 9: DAB (distributeur automatique de billets) 10: base de données de la plate-forme distante de m-paiement 11:communication du mot de passe (courrier sécurisé 10 au domicile du client) 12:contrôle de la carte bancaire (rechargement GSM) 13:communication du mot de passe par SMS 14:authentification (avec mot de passe) 15:m-paiement 16:authentification après reconnaissance de l'appelant 17: création de la transaction carte bancaire 18: vérification du cryptogramme visuel de la carte bancaire 19: transmission de la demande d'inscription à la plate-forme de m- paiement (numéro de téléphone mobile, numéro de carte bancaire) 20: autorisation carte bancaire / remise en banque 21: autorisation carte bancaire / remise en banque 22: routage vers la banque (routage BIN: Bank Identfication Number) 2866457 9 REVENDICATIONS 1. Procédé permettant à un client disposant d'un téléphone mobile et d'une carte bancaire émise par une banque d'acquitter à distance le paiement de biens et/ou de services proposés en vente par un accepteur; ledit procédé comprenant, lors d'une phase d'inscription, les étapes suivantes: l'étape, pour ledit client desdits biens et/ou services, de transmettre à une plate-forme distante un identifiant de ladite carte bancaire, notamment constitué du numéro, de la date d'expiration, du cryptogramme visuel de ladite carte bancaire, - l'étape, pour ladite plate-forme distante, d'attribuer un mot de passe audit client, - l'étape, pour ladite plate-forme distante d'associer 15 ledit mot de passe audit identifiant de ladite carte bancaire et au numéro d'appel dudit téléphone mobile, l'étape de contrôler ledit identifiant, notamment en procédant à une demande d'autorisation bancaire pour un euro symbolique, - l'étape de communiquer ledit mot de passe audit client desdits biens et/ou services; ledit procédé comprenant, lors d'une phase de paiement, les étapes suivantes: - l'étape, pour ledit client desdits biens et/ou services, de transmettre ledit mot de passe à ladite plate-forme distante, au moyen dudit téléphone mobile, à titre de confirmation dudit paiement desdits biens et/ou services, - l'étape, pour ladite plate-forme distante, d'authentifier ledit client en comparant ledit mot de passe ainsi transmis par ledit client avec ledit mot de passe associé au numéro de téléphone mobile - l'étape, pour ladite plate-forme distante, de transmettre audit accepteur É une confirmation d'authentification dudit client desdits biens et/ou services, É ledit identifiant de ladite carte bancaire dudit client, - l'étape pour ledit accepteur de générer une transaction de paiement par carte, notamment via un service de Terminal de Paiement Virtuel ou TPV; de sorte que lesdits biens et/ou services sont acquittés à distance par le client, de manière rapide et simple grâce à la communication du seul mot de passe à la plate-forme distante lors de la phase de paiement. 2. Procédé selon la revendication 1; ledit procédé étant tel que l'étape de communiquer ledit mot de passe audit client desdits biens et/ou services comprend les étapes suivantes: - l'étape, pour ladite plate-forme distante de commander à ladite banque, l'émission par courrier dudit mot de passe audit client desdits biens et/ou services 3. Procédé selon la revendication 1; ledit procédé étant tel que l'étape de communiquer ledit mot de passe audit client desdits biens et/ou services met en uvre un terminal de type DAB-GAB connecté à ladite plate-forme distante et comprend les étapes suivantes: - l'étape, pour ledit terminal de type DAB-GAB de procéder à une authentification forte de ladite carte bancaire, - l'étape, pour ledit client desdits biens et/ou services, de communiquer audit terminal de type DAB-GAB ledit numéro d'appel dudit téléphone mobile, - l'étape, pour ladite plate-forme distante, de vérifier que ledit numéro d'appel dudit téléphone mobile correspond à ladite carte bancaire ainsi authentifiée, - l'étape pour ladite plate-forme distante, de transmettre ledit mot de passe: É sous la forme d'un SMS envoyé vers ledit téléphone 35 mobile dudit client desdits biens et/ou services, et/ou É en commandant audit DAB GAB l'impression d'un ticket comprenant ledit mot de passe.