Source: http://docplayer.fr/19163180-Rapport-annuel-de-l-observatoire-de-la-securite-des-cartes-de-paiement.html
Timestamp: 2018-08-17 11:47:56+00:00
Document Index: 261227203

Matched Legal Cases: ['arte 23', 'arte 71', 'arte 78', 'arte 1', "l'article 46", "l'article 46"]

RAPPORT ANNUEL DE L OBSERVATOIRE DE LA SÉCURITÉ DES CARTES DE PAIEMENT - PDF
Download "RAPPORT ANNUEL DE L OBSERVATOIRE DE LA SÉCURITÉ DES CARTES DE PAIEMENT"
1 2010 RAPPORT ANNUEL DE L OBSERVATOIRE DE LA SÉCURITÉ DES CARTES DE PAIEMENT bservatoire de la sécurité des cartes de paiement
2 31, rue Croix-des-Petits-Champs Paris Cedex 01 Code Courrier :
3 Rapport annuel 2010 de l Observatoire de la sécurité des cartes de paiement adressé à Monsieur le Ministre de l Économie, des Finances et de l Industrie Monsieur le Président du Sénat Monsieur le Président de l Assemblée nationale par Monsieur Christian Noyer, Gouverneur de la Banque de France, Président de l Observatoire de la sécurité des cartes de paiement
5 SOMMAIRE AVANT-PROPOS 7 SYNTHÈSE 9 1 LES COÛTS DE MIGRATION AUX STANDARDS EMV 11 La migration aux standards EMV 11 Les aspects financiers 13 Les effets constatés et attendus de la migration 15 Conclusion 17 2 STATISTIQUES DE FRAUDE POUR Vue d ensemble 22 Répartition de la fraude par type de carte 23 Répartition de la fraude par zone géographique 24 Répartition de la fraude par type de transaction 25 Répartition de la fraude selon son origine 29 3 ÉTAT DES LIEUX DE LA SÉCURISATION DES PAIEMENTS PAR CARTE SUR INTERNET 33 État des lieux de la sécurisation des paiements par carte sur Internet 33 L expérience des cyberacheteurs français au regard des dispositifs d authentification non rejouable 35 Des dispositifs qui renforcent la sécurité et qui ne pénaliseraient pas les ventes en ligne 38 Conclusion 39 4 VEILLE TECHNOLOGIQUE 41 Standardisation européenne et sécurité dans le domaine des cartes de paiement 41 La sécurité des modes de paiement par carte prépayée 52 État d avancement de la migration EMV 66 5 LES ENJEUX SÉCURITAIRES LIÉS AUX ÉVOLUTIONS DES SYSTÈMES DE PAIEMENT PAR CARTE EN FRANCE ET EN EUROPE 71 Les enjeux sécuritaires européens dans le domaine de la carte 71 Les moyens permettant de répondre à ces enjeux 75 Les évolutions des systèmes de paiement par carte 78 Conclusion 80 Observatoire de la sécurité des cartes de paiement Rapport
6 PROTECTION DU TITULAIRE D UNE CARTE EN CAS DE PAIEMENT NON AUTORISÉ 81 MISSIONS ET ORGANISATION DE L OBSERVATOIRE 85 LISTE NOMINATIVE DES MEMBRES DE L OBSERVATOIRE 89 DOSSIER STATISTIQUE 91 DÉFINITION ET TYPOLOGIE DE LA FRAUDE RELATIVE AUX CARTES DE PAIEMENT 99 6 Rapport 2010 Observatoire de la sécurité des cartes de paiement
7 AVANT-PROPOS L Observatoire de la sécurité des cartes de paiement, mentionné au I de l article L du Code monétaire et financier, a été créé par la loi n du 15 novembre 2001 relative à la sécurité quotidienne. Ses missions en font une instance destinée à favoriser l échange d informations et la concertation entre toutes les parties concernées (consommateurs, commerçants, émetteurs et autorités publiques) par le bon fonctionnement et la sécurité des systèmes de paiement par carte 1. Conformément à l alinéa 6 de cet article, le présent rapport constitue le rapport d activité de l Observatoire qui est remis au Ministre chargé de l économie, des finances et de l industrie et transmis au Parlement. Il comprend cette année : une étude sur les coûts de migration aux standards EMV (1 ère partie) ; une présentation des statistiques de fraude pour 2010 (2 ème partie) ; un état des lieux de la sécurisation des paiements par carte sur Internet (3 ème partie) ; une synthèse des travaux conduits en matière de veille technologique (4 ème partie), avec deux sujets traités : la sécurité des cartes prépayées et les avancées récentes en matière de standardisation européenne ; une étude portant sur les enjeux sécuritaires liés aux évolutions des systèmes de paiement par carte en France et en Europe (5 ème partie) ; enfin, en annexe et suite à la transposition en novembre 2009 de la directive européenne sur les services de paiement, un rappel des nouvelles règles de protection du titulaire d une carte de paiement en cas de paiement non autorisé. 1 Pour ses travaux, l Observatoire distingue les systèmes de paiement par carte de type «interbancaire» et ceux de type «privatif». Les premiers correspondent à ceux dans lesquels il existe un nombre élevé de prestataires de services de paiement émetteurs et acquéreurs. Les seconds correspondent à ceux dans lesquels il existe un nombre réduit de prestataires de services de paiement émetteurs et acquéreurs. Observatoire de la sécurité des cartes de paiement Rapport
9 SYNTHÈSE Le huitième rapport annuel d activité de l Observatoire de la sécurité des cartes de paiement, relatif à l exercice 2010, comprend cette année cinq parties dont les principales conclusions sont reprises ci-après. 1 ère partie : étude sur les coûts de migration aux standards EMV L Observatoire a souhaité cette année intégrer à son rapport un volet relatif aux différents coûts de la sécurité. Sa première étude dans ce domaine porte sur les coûts de migration aux standards EMV. Les coûts liés à cette migration, qui s est déroulée entre 2001 et 2008, sont estimés par les acteurs interrogés à un total de 394 millions d euros pour les banques et de 340 millions d euros pour les commerçants. En plus de ces coûts d investissement, les dépenses récurrentes annuelles, variables selon les établissements, sont évaluées en moyenne à 41 millions d euros pour les banques et 12 millions d euros pour les commerçants. Achevée en France, cette migration se poursuit au niveau international et fait l objet d un suivi régulier par l Observatoire au plan européen. Les nombreuses mesures mises en place pour accroître la sécurité ont dans leur ensemble permis une baisse importante des taux de fraude constatés. Les standards EMV seront par ailleurs amenés à évoluer, afin de prendre en compte de nouvelles menaces ou de s adapter à de nouvelles cinématiques de paiement, tel le paiement sans contact, ou de nouvelles habitudes de consommation, comme l usage de cartes multi-applicatives. 2 ème partie : statistiques de fraude pour l année 2010 Le taux de fraude s établit pour l année 2010 à 0,074 %, correspondant à un montant de 368,9 millions d euros (contre 0,072 % et 342,4 millions d euros en 2009), ce qui recouvre des évolutions divergentes : la fraude sur les paiements nationaux réalisés aux points de vente et sur automates continue de décroître et se situe à un niveau très faible (0,012 %, pour un montant de 36,2 millions d euros) ; en contrepartie, la fraude en valeur nominale continue d augmenter sur les paiements à distance (par Internet, téléphone ou courrier) : pour les paiements nationaux effectués à distance, le taux de fraude est de 0,262 % et le montant de la fraude de 101,1 millions d euros (contre 0,263 % et 82,2 millions d euros en 2009) dans un contexte de croissance soutenue des paiements à distance (+ 23,8 % en 2010). Ces derniers, qui représentent 8,6 % de la valeur des transactions nationales, comptent désormais pour 62 % du montant de la fraude ; la fraude sur les paiements à distance enregistrée pour des cartes françaises chez des commerçants étrangers est en recul mais demeure élevée avec un taux de fraude de 1,018 %, pour un montant de 54,0 millions d euros. Par ailleurs et pour la première fois cette année, l Observatoire est en mesure de distinguer les taux de fraude des transactions internationales réalisées en Europe (zone SEPA) de celles réalisées hors Europe (hors zone SEPA). Les résultats constatés (des taux de fraude hors Europe près de deux fois supérieurs aux taux relevés en Europe pour des cartes émises en France, et des cartes étrangères émises hors Europe fraudées près de quatre fois plus que celles émises en Europe) démontrent le bénéfice des efforts importants entrepris en Europe ces Observatoire de la sécurité des cartes de paiement Rapport
10 dernières années pour lutter contre la fraude, notamment en généralisant l usage des cartes à puce au standard EMV aux points de vente et de retrait. 3 ème partie : sécurisation des paiements par carte sur internet Le déploiement par les banques de solutions de sécurisation auprès de leurs porteurs est aujourd hui généralisé, conformément aux recommandations de la Banque de France. L Observatoire se félicite de la migration de plusieurs grands e-commerçants comme Air France, Orange Boutique et Voyages-SNCF vers des dispositifs d authentification non rejouable des paiements par carte. Il salue la création, sous l égide de la Banque Centrale Européenne, du forum européen sur la sécurité des moyens de paiement, qui devra notamment permettre d assurer la sécurisation des paiements par carte sur Internet à l échelle européenne. Enfin, l Observatoire a conduit une étude dont il ressort que l expérience des cyberacheteurs au regard des dispositifs de sécurisation est globalement positive, 96 % d entre eux estimant que les dispositifs d authentification non rejouable présentés renforcent la sécurité des paiements par carte sur Internet. Un accompagnement des utilisateurs pour l appropriation de ces nouveaux dispositifs par tous reste néanmoins nécessaire. 4 ème partie : travaux de veille technologique autour de la sécurité des cartes prépayées et de la standardisation européenne dans le domaine de la carte L Observatoire a étudié le marché des cartes prépayées rechargeables dont la valeur est stockée sur les serveurs de l émetteur. Encore anecdotique en France, la distribution de ces cartes est en pleine croissance et pourrait être amplifiée par la mise en œuvre au niveau européen du nouveau statut d émetteur de monnaie électronique introduit par la Directive 2009/110/CE. Ces cartes pouvant être acquises et utilisées de façon anonyme, elles sont vulnérables à la contrefaçon et doivent donc prévoir des dispositifs de sécurité adéquats (présence d une puce notamment). L Observatoire estime en outre que l utilisation potentielle de ces cartes à des fins de transferts de fonds entre particuliers nécessite la mise en place de dispositifs de surveillance adaptés, éventuellement précisés dans des dispositions légales à définir. Par ailleurs, l Observatoire a dressé cette année un panorama de la standardisation dans le domaine de la carte en Europe, en notant des avancées significatives sur les efforts d harmonisation entrepris depuis plusieurs années sur les aspects techniques. 5 ème partie : enjeux sécuritaires en France et en Europe La lutte contre le «skimming» (vol de données aux distributeurs et terminaux de paiement) et la protection des transactions à distance par carte représentent des enjeux particulièrement importants, au regard de leur impact en termes de fraude. Alors que plusieurs initiatives visant à créer un nouveau système de paiement par carte européen ont été annoncées, il convient de s assurer que ces enjeux sont bien pris en compte par l ensemble des acteurs, et les mesures adéquates adoptées de manière coordonnée. 10 Rapport 2010 Observatoire de la sécurité des cartes de paiement
11 1 LES COÛTS DE MIGRATION AUX STANDARDS EMV Au titre de sa mission de suivi des politiques de sécurité mises en œuvre par les émetteurs, les acquéreurs et les accepteurs, l Observatoire a souhaité, dans le cadre de son rapport 2010, étudier les modalités de migration aux standards EMV («Europay Mastercard Visa»), laquelle a débuté dès 2002 en France et fait l objet chaque année d un suivi spécifique (voir p. 66 du présent rapport). Il s agit ici de revenir sur les dispositions prises par chacun des acteurs, individuellement ou de façon concertée, visant à migrer les cartes et matériels au format EMV, ainsi que de mesurer l impact de cette migration, tant en termes organisationnels que techniques et financiers. L Observatoire a conduit son étude sur la base d informations recueillies auprès de représentants des établissements émetteurs, des commerçants ainsi que des systèmes de paiement par carte ayant été impliqués dans la migration aux standards EMV La migration aux standards EMV Les raisons de la migration aux standards EMV Dès 1992, en France, l ensemble des cartes en circulation bénéficiait de la présence d une puce, le format appliqué répondant au nom de B0. Ce type de carte a permis d éradiquer un premier type de fraude, basé sur la lecture, la copie puis la reproduction des données présentes sur la piste. Ces cartes à puce de première génération sont toutefois apparues potentiellement vulnérables à des attaques visant à compromettre les clés cryptographiques protégeant les communications entre la carte et le terminal. Un nouveau type de fraude est en outre apparu à la fin de cette décennie, consistant à falsifier des cartes utilisables pour réaliser des transactions en mode déconnecté («off-line»), quel que soit le code PIN entré. Ces cartes sont couramment appelées des «YesCards». La communauté bancaire française a donc décidé de migrer progressivement l ensemble des cartes et terminaux de paiement au format EMV 3 dès l année 2001, la migration devant initialement s étendre jusqu en Dans les faits, il aura fallu attendre 2004 pour voir la plupart des matériels compatibles avec les nouvelles spécifications, et 2008 afin d obtenir des taux de migration proches de 100 %. La migration aux standards EMV s est en fait déroulée en deux phases : dans un premier temps ( ), les cartes et matériels d acceptation ont migré au format EMV SDA (Static Data Authentication), renforçant les procédés cryptographiques par rapport à B0 ; dans un second temps ( ), ces matériels ont progressivement intégré le format EMV DDA (Dynamic Data Authentication). L ensemble des cartes actives sur le territoire français intègre désormais 2 BNP Paribas, BPCE, Crédit Agricole SA, Crédit Mutuel-CIC, Société Générale, La Banque Postale, LCL, GIE Cartes Bancaires, Mastercard, American Express, Mercatel. 3 Les standards EMV font l objet d une description en annexe de cette fiche. Observatoire de la sécurité des cartes de paiement Rapport
12 cette fonctionnalité, permettant une authentification dynamique de la carte en mode déconnecté. Il n est donc théoriquement plus possible de fabriquer une «YesCard», la carte disposant de son propre système cryptographique afin de chiffrer ses données d identification. Les modalités de migration aux standards EMV La migration aux standards EMV a nécessité la mise en œuvre de processus tant organisationnels que techniques de la part des trois catégories d acteurs impliqués : les systèmes de paiement par carte, les banques, agissant en tant qu émetteur ou acquéreur, et les commerçants. Les aspects organisationnels Selon les acteurs interrogés, les processus mis en œuvre afin de permettre la migration aux standards EMV ont été le plus souvent internalisés. Ils ont conduit à la constitution d équipes dédiées aux différentes étapes de la chaîne de traitement. Les systèmes de paiement par carte et les banques ont tout d abord été conduits à mettre en place des «équipes projet» chargées de la migration. Ces équipes ont été constituées en amont de la période effective de mise en œuvre technique (voir ci-dessous), ont participé aux différentes phases du cycle de vie du projet (tests, pilotes, déploiement) et sont généralement restées en place après la date de migration effective afin d assurer un support technique et un accompagnement au changement de l ensemble des équipes internes : les équipes techniques ont en effet dû intégrer les spécificités des standards EMV, en matière cryptographique et de gestion des autorisations sur les serveurs de l émetteur notamment. La gestion des incidents a également été considérée par les acteurs interrogés comme un élément impactant, en termes humain et financier, durant la phase de déploiement ; les équipes formant les «back-offices» en charge des traitements des transactions de carte ont également dû être formées. Les banques interrogées ont enfin mis en place des plans de communication à destination des porteurs et commerçants, visant à justifier les motivations ayant conduit au remplacement accéléré du parc de terminaux, de DAB et de cartes, afin de maintenir un niveau de confiance élevé sur l ensemble de la filière. De leur côté, les commerçants, notamment les grands groupes disposant de leur propre système monétique, ont eux aussi structuré leur approche organisationnelle en constituant des équipes projet à même d examiner l ensemble des impacts de la migration aux standards EMV sur leur chaîne de paiement aux points de vente. Les aspects techniques Au-delà des aspects organisationnels internes, la migration aux standards EMV a nécessité entre 2002 et 2004 de nombreux investissements liés à la mise à niveau d une part des matériels et logiciels intervenant dans la filière d acquisition, d autre part des cartes en ce qui concerne la filière d émission. Les terminaux de paiement et DAB ont en effet vu leurs caractéristiques profondément évoluer afin d intégrer les cinématiques de communication propres aux cartes EMV. Dans le but de 12 Rapport 2010 Observatoire de la sécurité des cartes de paiement
13 tester ces matériels et de procéder aux évaluations de conformité requises, les systèmes de paiement par carte ont donc dans un premier temps mis à niveau leurs outils matériels et logiciels. Les banques, qui restent dans la majorité des cas propriétaires des équipements mis à la disposition des commerçants et qui sont donc chargées de leur mise à jour, ont ensuite fait évoluer leurs équipements. La migration aux standards EMV a ainsi conduit à un renouvellement accéléré du parc de terminaux de paiement et de DAB sur le territoire. Les commerçants disposant de leurs propres matériels ont adopté la même démarche, avec un renouvellement des terminaux, des concentrateurs monétiques 4 et une mise à jour des serveurs centraux reliés aux serveurs d acquisition de leurs établissements bancaires acquéreurs. En ce qui concerne la filière d émission, les banques interrogées ont indiqué que les dépenses d investissements liées aux cartes étaient dues non seulement au renouvellement du parc, de façon similaire à celui des terminaux de paiement, mais également à l intégration d un surcoût lié directement à leur évolution technologique. Ainsi, l évolution des puces conformes aux standards EMV et les mises à niveau des logiciels utilisés dans le processus de personnalisation ont naturellement conduit à une anticipation et à une augmentation des dépenses programmées liées au cycle de vie normal des cartes. De nouveaux équipements ont également dû être déployés en interne ou par les prestataires en charge de la personnalisation, tels les HSM 5, en raison des nouvelles fonctionnalités cryptographiques intégrées aux cartes. Enfin, les banques ont adapté leurs systèmes afin d y intégrer les données propres au format EMV. Ceci concerne tant les serveurs d autorisation que d acquisition, tous deux reliés aux réseaux d échanges interbancaires, que les systèmes internes utilisés à des fins de suivi et d analyse des transactions. 1 2 Les aspects financiers Les investissements initiaux Les acteurs interrogés ont tout d abord souligné l importance des coûts précédemment engagés afin de migrer leurs systèmes et matériels au format B0, qui requérait l usage d une puce sur la carte de paiement. La migration aux standards EMV a donc été ressentie en France de façon moins forte que dans les pays cumulant l adoption de la puce et de ces spécifications au sein d un même processus de migration. En outre, la migration s est inscrite dans le cadre d une réflexion plus globale de mise à niveau des systèmes d information afin d intégrer les problématiques liées au passage à l an 2000 et à l euro, qui ont mobilisé la quasi-totalité des équipes techniques. Les données rapportées par les acteurs interrogés peuvent ainsi inclure des investissements et dépenses récurrentes à caractère plus large que la seule migration aux standards EMV. 4 Voir rapport 2007, ch. 1, p Hardware Security Module : équipement cryptographique permettant de protéger les secrets les plus critiques (clés de chiffrement, d authentification) et de prendre en charge certains processus liés à la génération et la gestion de secrets. Observatoire de la sécurité des cartes de paiement Rapport
14 Les tendances suivantes ont toutefois pu être mises en évidence : le total des investissements déclarés par les banques interrogées, qui gèrent à elles seules 97 % du parc de matériel déployé sur le territoire s élève à 383 M. Par extrapolation au regard du parc de matériel concerné, les dépenses d investissement à l échelle nationale peuvent donc être estimées à 394 M ; les commerçants ont quant à eux estimé le coût total de leurs investissements, lesquels intègrent notamment les dépenses engagées par les grands commerçants comme vu précédemment (concentrateurs monétiques, terminaux intégrés, distributeurs automatiques de carburants ), à un montant global de 340 M, soit un niveau proche de celui des banques. Seul un système de paiement par carte ayant déclaré des données chiffrées lors de cette enquête, aucune estimation globale n est possible pour cette catégorie d acteur. Pour autant, il est admis que les dépenses engagées par les systèmes de paiement par carte restent négligeables comparées à celles des commerçants et des banques. Les coûts récurrents suite à la migration Au-delà des dépenses initiales liées au projet de migration, la mise en conformité aux standards EMV engendre également des coûts récurrents. La réorganisation interne des acteurs interrogés, comme vu précédemment, a eu un impact à plus long terme en raison du redimensionnement des équipes, de leur montée en compétence sur le sujet ou de la nécessaire mise en place d équipes de recherche et développement sur le domaine considéré. Ces dépenses, comme celles liées à la mise en place de plans de communication ou de programmes spécifiques d audit et d inspection, correspondent à une augmentation des sommes allouées, à caractère pérenne, sur des postes de dépenses préexistants. Les dépenses engagées visant au renouvellement des matériels dans le cadre de leur cycle de vie ont également augmenté mécaniquement en raison de leur évolution technologique. A titre d exemple, un surcoût affectant les dépenses de fabrication et de personnalisation des cartes est venu s ajouter et s élève à 1,5 % par an depuis Les composants électroniques y représentent une part non négligeable 6. En outre, de nouveaux types de dépenses sont apparus. On peut par exemple citer les dépenses liées au renouvellement des clés cryptographiques gérées au sein des HSM (voir ci-dessus). Selon les résultats de l enquête, les coûts récurrents peuvent ainsi être estimés entre 9 et 13 % des dépenses d investissement 7, soit une moyenne annuelle de 41 M à l échelle nationale. Les représentants des commerçants ont indiqué pour leur part des coûts annuels de l ordre de 12 M. 6 Source AFPC, 03/2011. Les composants électroniques contribuent à hauteur de 1/5 ème de l augmentation. 7 Fourchette constatée après élimination des extrêmes. 14 Rapport 2010 Observatoire de la sécurité des cartes de paiement
15 1 3 Les effets constatés et attendus de la migration L impact de la migration sur la fraude : un objectif atteint Les standards EMV ont été développés en France afin d apporter une réponse à l augmentation croissante de la fraude liée aux cartes contrefaites, en renforçant la sécurité du processus cryptographique jusqu en 2005, puis en intégrant des crypto-processeurs dans les cartes elles-mêmes à partir de cette date. Le tableau suivant montre l évolution de la fraude en contrefaçon et en perte/vol entre les années 2003 et 2010 (en montant et pourcentage du total de la fraude) Montant en M % fraude 80,0% 70,0% 60,0% 50,0% 40,0% 30,0% 20,0% 10,0% 0,0% Source : Observatoire de la sécurité des cartes de paiement Tableau 1 L évolution de la fraude en contrefaçon et en perte/vol On observe une diminution régulière du montant fraudé à partir de 2004, qui provient essentiellement de la seule fraude en contrefaçon comme le montre le tableau ci-dessous : Montant en M % fraude 30,0% 25,0% 20,0% 15,0% 10,0% 5,0% 0,0% Tableau 2 L évolution de la fraude en contrefaçon Source : Observatoire de la sécurité des cartes de paiement Observatoire de la sécurité des cartes de paiement Rapport
16 On observe ainsi une baisse du montant de la fraude de 20 M sur une base annuelle. Ce montant est toutefois sous-estimé si l on considère que la tendance haussière en montant observée entre 2003 et 2005 se serait probablement poursuivie sans l application des standards EMV. Il est toutefois difficile d en évaluer l ampleur. Ces données confirment les tendances communiquées par les acteurs interrogés, lesquels ont ressenti une forte baisse du taux de fraude lié à la contrefaçon des cartes dès La migration aux standards EMV a ainsi permis de lutter efficacement contre le type de fraude décrit en 1 1 («YesCards»), lequel a été éradiqué sur le territoire français. Les standards EMV permettent en outre d optimiser les processus de gestion du risque mis en œuvre par les émetteurs, en autorisant la délocalisation de certains contrôles au point de vente. Les spécifications EMV doivent toutefois être adoptées au niveau international pour être totalement efficaces. Les banques interrogées ont en effet constaté le report de la fraude en contrefaçon sur les transactions effectuées à l étranger, ce qui contribue au maintien d un niveau résiduel pour ce type de fraude. L Observatoire suit ainsi depuis plusieurs années l état d avancement de la migration en Europe, laquelle progresse régulièrement dans chacun des pays, bien que ceux-ci affichent encore des taux de migration très différents pour les cartes et terminaux. En outre, l Eurosystème a recommandé, à partir de 2012, l émission en Europe de cartes à puce ne comportant plus de piste, témoignant de l avancée de la migration au niveau international et donnant une nouvelle impulsion afin d achever cette migration au plus tôt. Le Conseil Européen des Paiements 8 a adopté une approche similaire. Plus globalement, la sécurisation des transactions de proximité atteinte grâce à l application des standards EMV a déplacé progressivement la fraude sur les paiement à distance, qui représentent désormais la majeure partie de la fraude globale, et qui font par ailleurs l objet de recommandations sécuritaires de l Observatoire depuis plusieurs années. Les autres bénéfices réalisés ou attendus Au-delà de l effet direct sur le taux de fraude constaté pour les transactions de proximité comme vu ci-dessus, l application des standards EMV a permis à l ensemble des acteurs concernés de bénéficier d autres avantages, non chiffrables. Les commerçants bénéficient, à leur niveau, du transfert de responsabilité sur la banque émettrice en cas de fraude. Ceci est directement lié à la matérialisation du consentement du porteur par la saisie de son code PIN lors d une transaction de proximité. L application de ces spécifications permet ensuite de standardiser l ensemble des processus mis en œuvre et ainsi de bénéficier d économies d échelle non négligeables. L «écosystème cartes» bénéficiait déjà d une telle uniformisation liée à l application du format B0 sur un plan national, mais les standards EMV ont permis d asseoir cet avantage et de l étendre au niveau international pour des acteurs eux-mêmes présents sur de nombreux marchés. Le niveau de confiance dans ce moyen de paiement s est également renforcé suite à l application de ces standards et aux actions de communication engagées par chacun des acteurs interrogés (voir ci-dessus). 8 European Payment Council (EPC), organisme représentatif de l industrie bancaire en Europe, chargé du développement du projet SEPA. 16 Rapport 2010 Observatoire de la sécurité des cartes de paiement
17 Enfin, certaines actions ont pu être menées par les systèmes de paiement par carte avec des représentants de secteurs particuliers (grands commerces, pétroliers ) afin de les inciter à migrer rapidement aux standards EMV, contribuant ainsi à élever le niveau de sécurité de l ensemble de la filière d acceptation. C est par exemple le cas concernant l acquisition de terminaux de paiement. Les évolutions prévues liées aux standards EMV Les acteurs interrogés ont recensé deux grandes catégories d évolutions liées à l application des standards EMV au cours des prochaines années : tout d abord, les standards EMV eux-mêmes continueront d évoluer afin de prendre en compte les technologies émergentes dans le domaine de la carte et d améliorer la sécurité des transactions. Les standards EMV intègrent ainsi désormais un recueil spécifique aux transactions sans contact 9, prévoyant une adaptation des standards EMV à ce type particulier de transactions lors d achats de proximité. Concernant la sécurité, la prochaine phase attendue est la migration au format CDA (Combined Data Authentication), qui permet de s assurer que la carte prenant part au processus d autorisation est bien celle ayant été authentifiée durant la phase d initiation de la transaction. La mise en œuvre des standards EMV CDA conduira à une nouvelle mise à niveau des cartes et terminaux de paiement, lesquels sont actuellement en majorité encore incompatibles avec ce format ; enfin, l application des standards permet de faire cohabiter sur une même puce plusieurs applications, en garantissant un niveau de sécurité élevé pour chacune d entre elles (et en premier lieu pour les applications de paiement). Si cette fonctionnalité n est pas ou peu exploitée aujourd hui, elle autorise à l avenir le développement de programmes de fidélité ou de garanties gérés à l aide d applications intégrées aux cartes de paiement des porteurs, réduisant les risques de perte liés à la détention d un grand nombre de cartes et facilitant les relations commerciales entre l émetteur, le partenaire (commerçant) et le porteur. 1 4 Conclusion La migration aux standards EMV a mobilisé, de façon coordonnée, l ensemble des acteurs interrogés sur une période de trois ans à partir de 2001, voire plus si l on tient compte de la migration résiduelle de matériels isolés jusqu en Elle a nécessité la mobilisation de moyens importants, tant humains que financiers, sur l ensemble de la chaîne de traitement. Ainsi, l Observatoire a pu estimer que les coûts liés à la migration aux standards EMV entre 2001 et 2008, sur la base des données transmises par les acteurs interrogés, ont été supportés quasiment à parts égales entre les banques (394 M ) et les commerçants (340 M ). Les dépenses relevant des systèmes de paiement par carte apparaissent négligeables, mais les réponses reçues ne permettent pas de se prononcer plus avant. Les dépenses récurrentes annuelles, variables selon les établissements, ont quant à elles été estimées à 41 M pour les banques et 12 M pour les commerçants. 9 EMV Contactless Specifications for Payment Systems. Observatoire de la sécurité des cartes de paiement Rapport
18 Il apparaît toutefois difficile de rapprocher les coûts des économies réalisées par les acteurs suite à la migration, pour trois raisons : tout d abord, ceux-ci englobent potentiellement des postes de dépenses liés à d autres projets majeurs concomitants, ayant mobilisé des moyens communs ; ensuite, si l application des standards EMV a eu indéniablement un impact fort sur le taux de fraude lié à la contrefaçon, représentant à ce jour une réelle avancée sécuritaire dans le domaine de la carte, il apparaît délicat de préjuger de l évolution de ce taux en l absence de migration ; enfin, les acteurs concernés ont bénéficié d autres avantages liés à l application des standards EMV, lesquels ne peuvent être chiffrés, tels le transfert de responsabilité pour les commerçants, la standardisation à une échelle internationale et le maintien d un niveau de confiance élevé dans la carte. Cette migration est aujourd hui achevée en France mais se poursuit au niveau international, ce qui fait l objet d un suivi régulier par l Observatoire au plan européen. Seule une telle généralisation est en effet de nature à faire bénéficier aux acteurs de l ensemble des effets attendus, la fraude s étant reportée sur les pays les moins avancés au fil des années. Les standards EMV seront par ailleurs amenés à évoluer, afin de prendre en compte de nouvelles menaces ou de s adapter à de nouvelles cinématiques de paiement, tel le paiement sans contact, ou de nouvelles habitudes de consommation, comme l usage de cartes multi-applicatives. Les coûts récurrents liés directement à l évolution de ces standards seront donc conjugués dans les prochaines années à de nouvelles dépenses d investissement visant à répondre à ces besoins. 18 Rapport 2010 Observatoire de la sécurité des cartes de paiement
19 Annexe Les standards EMV Les standards EMV sont développés par EMVCo, regroupant les réseaux VISA, MASTERCARD, JCB et AMERICAN EXPRESS. Ils permettent l interopérabilité internationale des transactions de paiement et de retrait par cartes de type «interbancaire» à puce dans un contexte multi-applicatif 10. Les standards EMV visent à la fois à permettre le développement de nouveaux services et à améliorer la sécurité des transactions. La dernière version des standards EMV (4.2), publiée en juin 2008, a été complétée de spécifications dites CPA («Common Payment Application») 11, CPS («Card Personalization Specification») 12 et Contactless 13, permettant de couvrir les différentes technologies applicables aux transactions de proximité. Les standards EMV s appuient sur des normes ISO ou interbancaires 14 afin de permettre une offre ouverte et concurrentielle de la part des fournisseurs de cartes et de terminaux. Ils définissent l ensemble des fonctionnalités et des procédures nécessaires au dialogue entre une carte et un terminal pour effectuer des transactions de paiement et de retrait. Ils précisent notamment les caractéristiques physiques, électriques et d étanchéité entre applications que doivent respecter la carte et le terminal, les traitements à effectuer de part et d autre, ainsi que les échanges de données entre la carte et le terminal pendant tout le déroulement de la transaction. Concernant la sécurité des transactions, les standards EMV apportent 4 types d améliorations : l apport sécuritaire majeur est le renforcement important de la protection contre la fraude par contrefaçon de la piste magnétique, grâce à l utilisation de la puce de la carte pour toutes les transactions de paiement et de retrait réalisées sur un terminal ou un automate conformes aux standards EMV ; le deuxième apport sécuritaire réside dans l amélioration de la protection contre l utilisation frauduleuse des cartes perdues ou volées, grâce à la généralisation (au niveau international) de l usage du code confidentiel pour authentifier le porteur sur les terminaux EMV, que la transaction se déroule avec ou sans demande d autorisation ; le troisième apport sécuritaire est l amélioration de la gestion du risque porteur par l émetteur (par exemple, pour déclencher une demande d autorisation en fonction non seulement des caractéristiques de la transaction en cours, mais également des transactions précédentes enregistrées sur la carte). L émetteur a en outre à sa disposition plusieurs méthodes d authentification du porteur ; il a la possibilité de définir un ordre de priorité dans l emploi de ces méthodes d authentification en fonction des possibilités offertes par le terminal et du montant de la transaction ; le dernier apport sécuritaire réside dans l enrichissement des services cryptographiques disponibles au niveau de la carte et du terminal pour valider la transaction, et dans le renforcement de la robustesse des mécanismes cryptographiques associés 15. En France, l une des différences majeures par rapport aux services cryptographiques disponibles sur les cartes de type B0 est la possibilité de réaliser une authentification dynamique «off-line» de la carte baptisée DDA («Dynamic Data Authentication»). Les standards EMV prévoient en outre un second mécanisme, baptisé CDA («Combined Data Authentication»), permettant une authentification «off-line» de la carte par le terminal à l initiation de la transaction et durant la phase d autorisation. 10 Plusieurs applications différentes (paiements domestiques, paiements internationaux, porte-monnaie électronique, programme de fidélisation, etc.) peuvent ainsi être présentes sur la même carte. 11 Description de spécifications fonctionnelles a minima devant être remplies par une application pour lui permettre d être conforme à la norme EMV. 12 Spécifications liées au processus de personnalisation des cartes. 13 Déclinaison des normes EMV aux modes de paiement sans contact. 14 Telle que la norme intersectorielle ISO 7816 relative aux cartes à microprocesseur. 15 Les services cryptographiques définis par les standards EMV couvrent l authentification «off-line» de la carte par le terminal, l authentification du porteur, l authentification «on-line» de la carte par l émetteur lors d une demande d autorisation, l authentification de l émetteur par la carte lors de la réponse à une demande d autorisation, la certification en intégrité et en authenticité de la transaction lors de sa finalisation et l envoi de scripts sécurisés en intégrité et/ou confidentialité à la carte par l émetteur en fin de transaction. Observatoire de la sécurité des cartes de paiement Rapport
21 2 STATISTIQUES DE FRAUDE POUR 2010 Depuis 2003, l Observatoire établit des statistiques de fraude sur les cartes de paiement de type «interbancaire» et de type «privatif», sur la base de données recueillies auprès des émetteurs et des accepteurs. Ce recensement statistique suit une définition et une typologie harmonisées, établies dès la première année de fonctionnement de l Observatoire et reprises en annexe E du présent rapport. Une synthèse des statistiques pour 2010 est présentée ci-après. Elle comporte une vue générale de l évolution de la fraude, selon le type de carte («interbancaire» ou «privatif»), le type de transaction effectué (transactions nationales ou internationales 16, transactions de proximité ou à distance, transactions de paiement ou retrait) et l origine de la fraude (carte perdue ou volée, carte non parvenue, carte altérée ou contrefaite, numéro de carte usurpé). En complément, une série d indicateurs détaillés est présentée dans l annexe D de ce rapport. Encadré 1 Statistiques de fraude : les contributeurs Afin d assurer la qualité et la représentativité des statistiques de fraude, l Observatoire recueille les données de l ensemble des émetteurs de cartes, de type «interbancaire» ou «privatif». Les statistiques calculées par l Observatoire portent ainsi sur : 453,4 milliards d euros de transactions réalisées en France et à l étranger au moyen de 64,1 millions de cartes de type «interbancaire» émises en France (dont 1,74 million de porte-monnaie électroniques) ; 19,1 milliards d euros de transactions réalisées (principalement en France) avec 24,4 millions de cartes de type «privatif» émises en France ; 25,7 milliards d euros de transactions réalisées en France avec des cartes de paiement de types «interbancaire» et «privatif» étrangères. Les données recueillies proviennent : de neuf émetteurs de cartes privatives : American Express, Banque Accord, BNP Paribas Personal Finance, Carrefour Banque, Crédit Agricole Consumer Finance (Finaref et Sofinco), Cofidis, Cofinoga, Diners Club et Franfinance ; des 130 membres du Groupement des Cartes Bancaires «CB». Les données ont été obtenues par l intermédiaire de ce dernier, ainsi que de MasterCard et de Visa Europe France ; des émetteurs du porte-monnaie électronique Moneo. 16 Pour la première fois cette année, l Observatoire est en mesure de distinguer parmi les transactions internationales celles qui sont réalisées au sein de la zone SEPA de celles qui le sont hors de la zone SEPA. Observatoire de la sécurité des cartes de paiement Rapport
22 2 1 Vue d ensemble Le taux de fraude sur les paiements et les retraits par carte enregistré en 2010 dans les systèmes français est de 0,074 %, en légère augmentation comparé aux années précédentes. Le montant moyen d une transaction frauduleuse est en baisse, à 122 euros contre 136 euros en Taux de fraude (tous types de cartes) 0,100% 0,090% 0,082% 0,086% 0,080% 0,070% 0,070% 0,064% 0,064% 0,062% 0,069% 0,072% 0,074% 0,060% 0,050% 0,040% 0,030% 0,020% 0,010% 0,000% Source : Observatoire de la sécurité des cartes de paiement Tableau 3 Évolution du taux de fraude pour tous types de cartes Montant des transactions (en milliards d'euros) + 8% + 3% + 9 % + 7 % + 7 % + 8 % + 6 % + 4% ,0 318,3 345,1 368,5 395,1 430,7 464,0 477,3 498, Source : Observatoire de la sécurité des cartes de paiement Tableau 4 Évolution du montant des transactions 22 Rapport 2010 Observatoire de la sécurité des cartes de paiement
23 Montant de la fraude (en millions d'euros) % + 7% + 8% % - 12 % -2 % + 7 % + 6 % ,2 273,7 241,6 2 35,9 252,6 26 8,5 320,2 342,4 368, Tableau 5 Évolution du montant de la fraude Source : Observatoire de la sécurité des cartes de paiement On observe une baisse du taux de la fraude émetteur, c'est-à-dire de l ensemble des paiements et retraits frauduleux réalisés en France et à l étranger avec des cartes émises en France. Il s établit en 2010 à 0,057 %, pour un montant de fraude de 269,3 millions d euros (contre 0,059 % et 265,6 millions d euros en 2009). Le taux de la fraude acquéreur, c'est-à-dire de l ensemble des paiements et retraits frauduleux réalisés en France quelle que soit l origine géographique de la carte, est en augmentation sensible. Il s établit en 2010 à 0,055 %, pour un montant de fraude de 263 millions d euros (contre 0,048 % en 2009, pour un montant de fraude de 220,8 millions d euros). L annexe D du présent rapport regroupe des tableaux détaillés des volumes et valeurs de transaction et des volumes et valeurs de fraude, par type de carte, zone géographique, type de transaction et origine de fraude. 2 2 Répartition de la fraude par type de carte Taux de fraude (Montant de la fraude en millions d euros) Cartes de type «interbancaire» 0,065 % (237,0) 0,063 % (253,6) 0,070 % (304,3) 0,072 % (324,3) 0,074 % (351,5) Cartes de type «privatif» 0,052 % (15,6) 0,052 % (15,0) 0,054 % (16,0) 0,068 % (18,2) 0,080 % (17,4) Total 0,064 % (252,6) 0,062 % (268,5) 0,069 % (320,2) 0,072 % (342,4) 0,074 % (368,9) Tableau 6 Répartition de la fraude par type de carte Source : Observatoire de la sécurité des cartes de paiement Les taux de fraude sont en augmentation pour les deux types de cartes. Cette augmentation est plus forte pour les cartes de type «privatif» dont le taux de fraude dépasse celui des cartes de type «interbancaire» pour la première fois depuis Observatoire de la sécurité des cartes de paiement Rapport
24 Pour les cartes de type «interbancaire», les taux de fraude émetteur et acquéreur sont respectivement de 0,057 % et de 0,055 % (contre 0,059 % et 0,048 % en 2009). La valeur moyenne d une transaction frauduleuse est de 119 euros, contre 132 euros en Pour les cartes de type «privatif», les taux de fraude émetteur et acquéreur s établissent respectivement à 0,063 % et à 0,068 % (contre 0,053 % et 0,059 % en 2009). La valeur moyenne d une transaction frauduleuse s élève à 353 euros en 2010, contre 324 euros en Répartition de la fraude par zone géographique Taux de fraude (Montant de la fraude en millions d euros) Transactions nationales 0,031 % (109,6) 0,029 % (114,5) 0,031 % (130,9) 0,033 % (144,0) 0,036 % (163,8) Transactions internationales 0,362 % (143,0) 0,368 % (154,0) 0,427 % (189,4) 0,449 % (198,4) 0,423 % (205,0) Dont émetteur français et acquéreur étranger 17 0,453 % (76,4) 0,476 % (85,3) 0,594 % (118,3) 0,594 % (121,6) 0,728 % (54,9) Dont émetteur français et acquéreur SEPA ,331 % (50,6) Dont émetteur étranger 18 et acquéreur français 0,295 % (66,5) 0,288 % (68,7) 0,291 % (71,0) 0,324 % (76,8) 0,831 % (64,5) Dont émetteur SEPA et acquéreur français ,195 % (35,0) Total 0,064 % (252,6) 0,062 % (268,5) 0,069 % (320,2) 0,072 % (342,4) 0,074 % (368,9) Tableau 7 Répartition de la fraude par zone géographique Source : Observatoire de la sécurité des cartes de paiement La répartition de la fraude par zone géographique demeure marquée par un déséquilibre entre les transactions nationales et internationales : 56 % de la fraude portent sur les transactions internationales, alors que ce type de transaction compte à peine pour 10 % de la valeur des transactions par carte enregistrées dans les systèmes français. Dans un contexte de croissance du montant des transactions nationales (+ 3,8 %), le taux de fraude de celles-ci est en légère hausse, mais demeure à un niveau très faible, à 0,036 % en 2010, contre 0,033 % en Le montant de la fraude sur les transactions internationales augmente également en Mais, du fait d une augmentation plus importante du montant des transactions, le taux de fraude est en baisse et revient à un niveau équivalent à celui de Cette baisse marque un changement de tendance après plusieurs années de hausse régulière. Dans le détail, le taux de fraude liée aux transactions effectuées à l étranger avec des cartes émises en France est en baisse mais reste toujours très élevé à 0,462 % (contre 0,594 % en 2009), pour un montant de fraude de 105,5 millions d euros (contre 121,6 millions d euros en 2009). Le taux de fraude liée aux transactions effectuées en France avec des cartes émises à l étranger est par contre en 17 A partir de 2010 : acquéreur hors SEPA uniquement. 18 A partir de 2010 : émetteur hors SEPA uniquement. 24 Rapport 2010 Observatoire de la sécurité des cartes de paiement
25 hausse et s établit à 0,387 %, pour un montant de fraude de 99,5 millions d euros (contre 0,324 % en 2009, pour un montant de fraude de 76,8 millions d euros). Il est possible cette année, pour la première fois, de comparer le taux de fraude des transactions internationales réalisées au sein de la zone SEPA avec celui des transactions réalisées hors de la zone SEPA. On note ainsi que le taux de fraude sur les transactions effectuées hors zone SEPA, avec des cartes émises en France, est plus de deux fois supérieur à celui des transactions effectuées au sein de la zone SEPA (0,728 % contre 0,331 %) et que le taux de fraude sur les transactions effectuées en France avec des cartes étrangères émises hors de la zone SEPA, est plus de quatre fois supérieur à celui des transactions effectuées avec des cartes étrangères émises dans la zone SEPA (0,831 % contre 0,195 %). Ces bons résultats relatifs pour les transactions effectuées au sein de la zone SEPA sont certainement le bénéfice direct des efforts réalisés en Europe pour migrer les cartes et les terminaux de paiements vers le standard EMV (voir chapitre 4 3 État d avancement de la migration EMV). Encadré 2 Répartition du préjudice de la fraude Depuis 2007, l Observatoire fournissait, pour l'ensemble des systèmes de type «privatif» et de type «interbancaire», des indicateurs de la répartition du préjudice de la fraude entre le porteur, le commerçant et leurs banques. Cette année, les données fournies par les émetteurs et les accepteurs n étant plus suffisamment significatives d un point de vue statistique, l Observatoire n est pas en mesure de fournir ces indicateurs. 2 4 Répartition de la fraude par type de transaction La typologie de transaction de paiement par carte adoptée par l Observatoire distingue les paiements de proximité et sur automate (réalisés au point de vente ou sur distributeurs de carburant, de billets de transport ) des paiements à distance (réalisés sur Internet, par courrier, par téléphone / fax, etc.) et des retraits. Pour une meilleure lisibilité, les développements qui suivent distinguent les données nationales des données internationales. Transactions nationales Taux de fraude (Montant de la fraude en millions d euros) Transactions nationales Paiements 0,035 % (92,3) 0,032 % (95,6) 0,036 % (111,7) 0,038 % (123,2) 0,041 % (137,3) - dont paiements de proximité et sur automate 0,024 % (59,1) 0,017 % (45,4) 0,015 % (44,5) 0,014 % (41,0) 0,012 % (36,2) - dont paiements à distance 0,199 % (33,2) 0,236 % (50,1) 0,252 % (67,2) 0,263 % (82,2) 0,262 % (101,1) - dont par courrier / téléphone 0,194 % (19,8) 0,201 % (23,8) 0,280 % (28,5) 0,263 % (30,3) 0,231 % (27,3) - dont sur Internet 0,208 % (13,4) 0,281 % (26,4) 0,235 % (38,8) 0,263 % (51,9) 0,276% (73,9) Retraits 0,019 % (17,4) 0,020 % (19,0) 0,018 % (19,1) 0,019 % (20,8) 0,024 % (26,5) Total 0,031 % (109,6) 0,029 % (114,5) 0,031 % (130,9) 0,033 % (144,0) 0,036 % (163,8) Source : Observatoire de la sécurité des cartes de paiement Tableau 8 Répartition de la fraude nationale par type de transaction Observatoire de la sécurité des cartes de paiement Rapport
26 En ce qui concerne les transactions nationales, on observe que : le taux de fraude sur les paiements de proximité et sur automate continue de diminuer et s établit à 0,012 %. Les paiements de proximité et sur automate comptent pour 67 % du montant des transactions nationales, et pour seulement 22 % du montant de la fraude ; le taux de fraude sur les paiements à distance est stable en 2010 à 0,262 % mais il reflète deux tendances contraires : le taux de fraude sur les paiements par courrier et par téléphone est en baisse alors que le taux de fraude sur les paiements Internet continue d augmenter pour se rapprocher de son maximum historique 19 de Les paiements à distance, qui représentent 8,6 % de la valeur des transactions nationales, comptent ainsi désormais pour 62 % du montant de la fraude (contre 57 % en 2009), dans un contexte de croissance toujours soutenue du volume et de la valeur de ces paiements (+ 23,8 % entre 2009 et 2010 en valeur). Le niveau très élevé de la fraude sur ce canal de paiement conduit l Observatoire à renouveler son encouragement pour la mise en œuvre de mesures permettant de lutter contre cette tendance. Le rapport 2008 de l Observatoire avait souligné l importance de généraliser progressivement l authentification du porteur pour tout acte de paiement et de renforcer les méthodes d authentification utilisées. Des progrès ont été réalisés en ce sens (cf. chapitre 3), mais il apparaît crucial que les efforts engagés par l ensemble des acteurs se poursuivent afin d infléchir cette tendance ; le taux de fraude sur les retraits est en augmentation sensible mais reste inférieur à son maximum historique de 2004 (0,027 %). Les retraits représentent 25 % du montant des transactions nationales et comptent pour 16 % du montant de la fraude. 19 L Observatoire mesure le taux de fraude des paiements sur Internet depuis Rapport 2010 Observatoire de la sécurité des cartes de paiement
2012 RAPPORT ANNUEL DE L OBSERVATOIRE DE LA SÉCURITÉ DES CARTES DE PAIEMENT bservatoire de la sécurité des cartes de paiement www.observatoire-cartes.fr bservatoire de la sécurité des cartes de paiement
ASSEMBLÉE NATIONALE COMMISSION DES FINANCES, DE L ÉCONOMIE GÉNÉRALE ET DU PLAN. COMPTE RENDU N 48 (Application de l'article 46 du Règlement)
ASSEMBLÉE NATIONALE COMMISSION DES FINANCES, DE L ÉCONOMIE GÉNÉRALE ET DU PLAN COMPTE RENDU N 48 (Application de l'article 46 du Règlement) Mercredi 8 février 2006 (Séance de 10 heures) Présidence de M.
Table des matières. PARTIE 1 Panorama actuel et développements futurs: l Europe à la veille de la révolution «SEPA» Remerciements...
Remerciements... 7 PARTIE 1 Panorama actuel et développements futurs: l Europe à la veille de la révolution «SEPA» CHAPITRE 1 À l origine, il y avait le paiement... 11 SECTION 1 Qu est-ce que «payer»?...