Bonsoir,

.

.

---------------------------------------------------- Une carte de métro est mieux protégée !

.

Le nouveau dispositif permet de payer sans insérer sa carte bancaire dans le terminal du commerçant et sans taper son code. Or, il présente d’importantes failles sécuritaires. Pourtant, la plupart des banques cherchent à l’imposer à leurs clients !

Voir l'article de Que Choisir >>>> ICI .

bonjour,

J'ai fais pareil au changement de carte je leur ai que je n'en voulais pas ils n'ont pas insisté.

A+

Moi aussi, je refuse.

Bonjour,

Après examen il me semble que ma carte bleue fonctionne en wi-fi..

Personne ne m'a demandé mon avis..

, protection RFID....

Moins onéreux, mais aussi moins pratique, envelopper votre support RFID dans du papier aluminium ....

http://www.panoptinet.com/cybersecurite-decryptee/les-puces-rfid-ou-le-pickpocket-electronique/

rem: les passeports (biométrique) ont aussi une puce RFID ...

<-- image indiquant le RFID (en générale) http://www.globalsecuritymag.fr/Les-nouvelles-cartes-de-paiement,20121011,32948.html

Bonjour.

Pareil au renouvellement, j'ai dit pas de carte sans contact (aucune utilité à la campagne ou aucun commerce n'est équipé).

C'est vrai qu'il faut bien le préciser, sinon on vous demande pas votre avis.

Détruisez le système NEC à la réception de la carte

Kelko (), TLM,

Et l'on procède comment pour détruire cette puce ?

parce que moi non plus je n'en veux pas...

Mais quel "intérêt" ont les banques de faire le forcing sur ces cartes ?

J.Pierre

bonjour,

C'est un concurrent à Monéo, de plus en plus de commerçant ont cette facilité de paiement c'est plus rapide et il ne prend que jusqu'à une certaine somme.

A+

Bonjour,

je renouvelle mon scepticisme quant à la probable, voire même possible exploitation d'une quelconque faille, même encore non comblée actuellement.

Beorcs, tu es parfois un lanceur de fausses-alertes et un zéthète sélectif !
Ce n'est que le troisième topic (au moins) à ce sujet ...
(en résumé : actuellement cinq centimètres avec matos sophistiqué, nom/prénom/numéro comme chez n'importe commerçant/restaurateur mais sans code confidentiel et qui plus est sans code de sécurité)

De toute façon ce sera les téléphones ...
Je me sers déjà du mien au Leclercdrive.
Et là, il vous suffira de désactiver, ou ne pas activer, ou d'une touche avant/après opération.

ça peut être bien de l'utiliser de temps à autre.

Mais si on a peur de se la faire pirater par quelqu'un qui aurait le fameux appareil qui pourrait la lire derrière nous et copier toutes les informations qui sont dessus, faut se procurer aussi une CB prépayée genre Nickel pour utiliser celle-là si on se trouve dans un lieu où on se sent moins en confiance.

En attendant, je paie en liquide, c'est moins compliqué.

Et le lendemain , c'est reparti...

Il ne faudrait pour autant imaginer que le piratage pourrait favoriser une utilisation frauduleuse par contrefaçon ; alors qu'en fait le risque pourrait seulement résider dans d'éventuelles commandes, depuis certains pays où le code de sécurité n'est pas exigé pour les commandes par correspondance, avec livraison à une adresse bidon.
Dans tous les cas la banque couvre ; et rembourse les éventuels premiers prélèvements avant opposition.

De plus, pour le fameux piratage tant redouté des ondinistes, il faudrait un gros et coûteux matériel sophistiqué (i.e. en laboratoire), mais pouvoir approcher, inaperçu, à cinq centimètres.

Quant au vol pur et simple de la carte, eh bien on peut le rapprocher tout connement du vol de liquide ;
mais avec des sécurités que n'offre pas le liquide : la limitation journalière et par opération, et la possibilité de faire opposition. Alors ?

Et c'est moins compliqué que le liquide, Legba ; à moins que tu ne le fabriques* en claquant des doigts avec toujours l'appoint automatique.

Alerte ! Beorcs essaie encore de nous extorquer une adresse mail pour inscription, juste pour pouvoir suivre son sujet !

(mais les fameuses "failles", ça fait trois fois qu'on en parle et donc qu'on les démonte ...
Perso je fais les màj de Windows pour les siennes, par acquit de conscience ; mais bon, c'est un peu le même principe : l'Arlésienne, sauf pour les très grands nigauds de naissance ; et beaucoup de buzz.
Sauf qu'en plus il n'y a pas besoin d'improbable matériel à promener en magasin, pour pirater W ...)

* : sur la base de tes réserves en banque, quand même ; si c'est ex nihilo j'aimerais bien qu'on se rapproche, tous les deux ...

JPdu34 a écrit :

Kelko (), TLM,

Et l'on procède comment pour détruire cette puce ?

parce que moi non plus je n'en veux pas...

Mais quel "intérêt" ont les banques de faire le forcing sur ces cartes ?

J.Pierre

Comme ça : ici

Ou ici

Ou encore ici

Efficacité du procédé garanti, je ris encore de la tronche de mon pharmacien quand il a essayé, sous mon regard moqueur, de se "payer" sans frappe du code de ma part !

Disons qu'en cas de vol (par le pharmacien ? ) de ta carte avec puce, tu pourrais perdre vingt euros, disons cinq fois (un jour cinq fois, dit-on) avant opposition ; ce qui ferait cent.

Par contre il faut donner la carte au pharmacien (et autres) si cet abruti n'a pas l'appareil sur le comptoir, l'insérer dans une fente, et taper le code.
Ce qui implique déjà la sortir du larfeuille/portefafs/étui ...

N'oubliez pas, en tout cas (puce ou pas puce), de gratter les numéros au dos (code de sécurité) : la banque rembourserait certes, mais il risque d'y avoir beaucoup plus de volume en jeu.
Sans ce numéro, des manganons ordinaires sont beaucoup moins à même de commander par correspondance.

Simple Yves, pour gagner 20 euros, je travaille une journée, (régime particulier dû à ma profession), 100 euros représentent 5 jours de travail, pas envie que ma banque me dise que je ne peux pas prouver l'utilisation frauduleuse de ma cb, je me souviens du souc que j'ai mené, il y a quelques années, alors qu'on avait usurpé les données de mon fils et dépensé en son nom 15000 francs !

C'est pourquoi, je n'accorde aucune confiance à ces rapaces (banquiers), qu'il est hors de question qu'ils me suivent partout, grâce à mes paiements par carte, que la seule carte dont je dispose, possédant ce système mal protégé est une cb mutuelle permettant de payer les médicaments à la pharmacie

Certes, mais tu sors ta carte ! Ce n'est pas la puce NFC d'une carte bancaire qui ferait qu'on puisse t'extorquer 2000 € d'une part, et d'autre part elle pourrait au contraire permettre de laisser la carte à l'abri, y compris visuel sous un vêtement.

L'un et l'autre système, puce ou pas puce, ne préjugeant absolument pas d'un éventuel vol de liquide.

Chacun voit, pour ça ; entendu que les "failles de sécurité" subsistantes liées à la transmission d'onde, sont à prendre en compte surtout pour les radiesthésistes et électrosensibles.

Papy49

a écrit ...

" la queue est moins longue, les clientes attendent moins longtemps. Elles sont moins stressées et plus souriantes " ...

ah le coquin !!

Salut,

Mon buraliste n'a pas accepté que je règle 5,90 € avec ce moyen, il m'a dit que c'est minimum 10€, que c'est considéré comme une CB classique.

Entre 10 euros et 20 euros, je vois pas trop l'intérêt de cette carte.

C'est acheter des gants de boxe pour schtroumpfer une mouche.

Mon buraliste n'a pas accepté que je règle 5,90 € avec ce moyen.., que c'est considéré comme une CB classique.

encore un qui s'est équipé d' un " nouveau truc" sans se renseigner à quoi ça servait exactement

Entre 10 euros et 20 euros, je vois pas trop l'intérêt de cette carte.

C'est acheter des gants de boxe pour schtroumpfer une mouche....

Euh, que veux-tu dire ? (tuer une mouche peut effectivement se faire sans gants, et même sans les mains avec une bombe, c'est peut-être ce que tu voulais dire ;
peu à voir avec un autre type de sévice envers les diptères, même s'il est courant chez les gens qui manquent d'arguments sérieux )

A moins que tu ne croies ce que le buraliste dit ?
Sérieusement, c'est entre zéro ou trois copecs, et vingt euros actuellement.

Et là, je ne vois pas l'intérêt du liquide !

(le cash il faut de toute façon aller le chercher ; plus volumineux, plus lourd, risque de confusion ou d'erreur - tant mieux si c'est en ta faveur - pas toujours l'appoint ... que du bonheur.
Quand les bornes ne font pas NFC, je préfère insérer ma carte et saisir mon code confidentiel ; quelle que soit la somme, plutôt que du liquide)

Des goûts et des couleurs !

Mieux vaut perdre 20 euros en liquide qui restent 20 euros qu'une carte avec le risque d'avoir le compte vidé.

Quand TOUT le monde acceptera cette carte, peut-être y songerai-je car, actuellement, il faut encore des billets dans la poche car ce n'est pas tous les commerçants qui acceptent cette carte.

Donc, actuellement, c'est la double peine : CARTE et BILLETS.

Ca fera comme Monéo.

Pschittt....

Monéo le paiement du futur qu'ils disaient

Pas vu un seul commerçant dans mon secteur qui acceptait ce moyen de paiement.

Avant qu'elle ne soit en service dans une majorité de commerces, le système sera déjà obsolète.

Et en plus pas envie d'être encore plus traqué et espionné par ce moyen de paiement qui permet de savoir quel jour, à quelle heure vous allez chez le boulanger, etc...

Il y a que les bons vieux biftons sortis de dessous le matelas qui laissent pas encore de trace.

Sam58 a écrit :

Il y a que les bons vieux biftons sortis de dessous le matelas qui laissent pas encore de trace.

Et qu'on peut palper et humer chaque soir les volets baissés et le chien en sentinelle devant la porte.

Haaaaa !!!!

Ca me rappelle deux faits dans ma vie de radin :

- au début de la carte bancaire, les djeunes collègues y adhéraient allègrement et se moquaient des antiques comme moi qui préféraient tout payer en liquide.

Jusqu'au jour où deux collègues (et plein de gens) ont vu leur compte vidé (En ce temps-là, le numéro complet de notre compte bancaire apparaissait sur les reçus qu'on jetait négligemment à la poubelle). Pain béni pour les escrocs.

- je n'ai jamais voulu jouer en bourse. Bien m'en a pris le jour de la bulle boursière. Tout le monde jouait en bourse le soir en rentrant du boulot et voyait leur compte fructifier, fructifier. On se moquait de moi qui refusais toujours de jouer. Jusqu'au jour où patatras ! Ils ont tous perdu et supportaient mal mon air narquois !

Mieux vaut perdre 20 euros en liquide qui restent 20 euros qu'une carte avec le risque d'avoir le compte vidé.

Effectivement la perte ou le vol d'une carte NFC impose de faire opposition fissa pour ne pas perdre jusqu'à 100 € ...

(c'est donc un inconvénient par rapport au vol d'une carte non-NFC, ou au NFC niqué ; en tout cas, NFC ou pas, grattez le numéro au dos ! après l'avoir noté )

Mais, encore une fois, on peut payer alors qu'elle reste planquée ; ce qui n'est pas le cas du liquide, qu'on sort et manipule, ainsi d'ailleurs que la carte classique, qui a donc davantage de "chances" de tomber.

Quant à préférer les billets, c'est nouveau : à l'invention des assignats, tout le monde préférait les bonnes vieilles pièces sonnantes et trébuchantes ...

Il y a que les bons vieux biftons sortis de dessous le matelas qui laissent pas encore de trace.

Pas de traces faciles à suivre ! Mais tous ont un numéro ; et si ceux du matelas proviennent de quelque casse sanglant, va pas falloir les écouler n'importe où ...
A l'inverse si c'est tout connement la paye du mois, pas question d'acheter drogue ou armes, avec ...

( perso moi non plus je n'ai pas envie que la NSA sache à quelle heure je suis allé à la boulangerie ou en autre endroit où j'ai à régler des petites sommes ;
mais j'ai bien peur que le boulanger lui-même, ou une cliente, ou un voisin qui m'aurait vu y entrer/en sortir soit lui-même surveillé, sinon complice ... ce serait foutu ! )

Bref ; carte et un peu, très peu de liquide, oui. Remarquez que pour ne pas être traqué pour les petites sommes, il suffit de payer en liquide, donc d'en détenir un peu plus, NFC ou pas NFC.
Pour les grosses, c'est le statu quo (sauf retour aux assignatschèques, quand ils sont acceptés).

yves.vaissiere a écrit :

Mieux vaut perdre 20 euros en liquide qui restent 20 euros qu'une carte avec le risque d'avoir le compte vidé.

(c'est donc un inconvénient par rapport au vol d'une carte non-NFC, ou au NFC niqué ; en tout cas, NFC ou pas, grattez le numéro au dos ! après l'avoir noté )

C'est le nombre à 3 chiffres à droite de la signature ?

Intéressant !

On a le droit ?

Oui, mais il ne faut pas l'oublier !

(dans la plupart des pays d'Europe, il le faut pour commander par correspondance ; pas dans tous, malheureusement.

Par l'hypothétique/zététique piratage ondiniste, qui n'a jamais marché que dans des conditions expérimentales en collant l'emplacement de la carte avec un matos gros comme une valise, on récupère à ce jour tes nom, prénom, et numéro à 16 chiffres ; tout comme si on avait la carte en main. Mais pas celui-là)

Merci.

Je le fais de ce pas.

Je viens de remarquer que ma carte peut payer aussi sans contact.

Filou de banquier qui n'a rien dit.

Il va faire la tête dès que je le quitterai pour Fortuneo (impossible pour le moment à cause d'un crédit qui se termine).

legba a écrit :

Merci.

Je le fais de ce pas.

Je viens de remarquer que ma carte peut payer aussi sans contact.

Filou de banquier qui n'a rien dit.

Il va faire la tête dès que je le quitterai pour Fortuneo (impossible pour le moment à cause d'un crédit qui se termine).

Bonsoir,

En principel elle n'est pas active par défaut.

Pour l'activer il faut demander à sa banque.

Pour ceux qui aurait leur compte sur un banque Internet,type Boursorama;il y aurait un moyen de l'activer en ligne..

bel et bien active ( à moins que ça ait changé depuis avril 2014 ? )

oui et non selon...

>> http://www.cbanque.com/actu/46823/comment-desactiver-la-fonction-nfc-de-votre-carte-bancaire

dont :

Désactivation à distance

Confiantes dans la sécurité du dispositif, les banques ont néanmoins toutes prévu de permettre à leurs clients les plus réticents de renoncer à cette fonction de paiement sans contact. La Banque Postale fait figure d’exemple en la matière : contrairement à la grande majorité des enseignes, elle n’équipe pas par défaut ses nouvelles cartes de puces NFC, mais propose le paiement sans contact comme une option gratuite.

D’autres enseignes proposent un désactivation à distance de la fonction : c’est le cas par exemple de la Société Générale et de sa filiale de banque en ligne, Boursorama Banque. Chez cette dernière, le paiement sans contact est présent sur les cartes qu’elles distribuent, mais il est désactivé par défaut. « [Les clients] peuvent activer le service ou le désactiver gratuitement en temps réel, en quelques clics, même depuis leur mobile » nous a expliqué son service de presse. Une fois la demande reçue par la banque, « la fonctionnalité est désactivée à distance, au moment où la carte fait un appel au serveur d’autorisation (retrait DAB notamment) », détaille de son côté la Société Générale.

et

Refabrication ou étui ?

Problème : cette méthode permet de suspendre le service « paiement sans contact », mais elle ne désactive pas physiquement la puce NFC présente dans la carte. Celle-ci continue donc potentiellement d’émettre des informations, qui peuvent toujours être interceptées par une personne mal intentionnée. Une autre solution, plus radicale, consiste donc à demander à sa banque la refabrication d’une carte sans puce NFC. C’est la solution adoptée par BNP Paribas - qui ne facture pas le service dans ce cas de figure -, le CIC, le Crédit Coopératif ou le Crédit Agricole (1).

Ça consiste donc (le DAB opérant sur la piste et sur la puce normale, pas sur la NFC) à se priver des f() bancaires (on retrouve donc une carte ordinaire, de ce point de vue-là) tout en ne modifiant rien au hard.

C'est-à-dire pour les hypocondriaques, aux "vulnérabilités".

Autrement dit ça écarte, sans intervention physique du style faire un trou dedans, les inconvénients de la perte/du vol du point de vue des 20€ x 5,
mais sans satisfaire Beorcsdu point de vue du "piratage" par les ondes.

(je resignale à tout hasard le grand sérieux d'articles commençant ainsi :

Vous le savez, la sécurité des cartes bancaires NFC est tout ce qu'il y a de plus faible. Les données sont en clair et n'importe qui s'approchant de votre carte avec le lecteur adéquat, pourras les récupérer.

Attention, "n'importe qui" s'approchant physiquement de liquide, de chèques ou de toute carte bancaire pourra, sans "s", les "récupérer" aussi !
Le fait que des données soient en clair n'entre en jeu qu'une fois "récupérées" : toute carte a des failles, déjà visuellement ; par NFC, moins ! (le fameux numéro au dos)
Le "n'importe qui" serait quand même technidé et ferait partie d'un réseau international, outre se coller au proprio de la carte avec dix kilos d'engins coûteux et sophistiqués ... pour lire des infos (et encore, pas toutes) qui de toute façon sont écrites en clair sur toutes les cartes, ondinantes ou pas.

Tiens, j'écris sur un papier un mot de passe très très faible. Vous pouvez le trouver ? Non ?
Pourtant il n'est pas crypté, donc on ne peut plus vulnérable etc. ... Mais bien sûr ! "N'importe qui" devrait pouvoir le récupérer, avec son mobile ou sa Gameboy.

De qui se moque-t-on ?

"Vous le savez" ... pétition de principe : puisqu'on le "savait" d'emblée, y avait plus qu'à.
Cette façon de flatter le lecteur avec du vernis scientifique, marche malheureusement bien ...)

Bonjour.

Il me semble que l'activation se fait lors d'un premier paiement sans contact, avec la demande de taper son code.

De même pour activer la puce d'une nouvelle carte bancaire, particulièrement pour la valider pour des paiements internet, il faut qu'elle soit déjà utilisée au moins une fois physiquement (par exemple en retirant 10€ au DAB).

Yves ,

Tas de bande de radins à toi tout seul : l'abonnement n'est pas si cher et il y a au moins une centaine de dossiers analogues à celui-ci dans l'année , et sans compter les comparatifs multiples et variés .

(c'est quand même aussi un acte de citoyenneté, et c'est quand même moins onéreux, que racheter le trésor de Racaille le Rouge non ? )

__ et au risque de me faire crucifier sur mon clavier par Que Choisir __, (bon, mais comme je compte leur rendre quelques services .....),

Voilà la suite de l'article .

( mais sache que perso, je ne suis pas contre vous, les bénis oui-oui , car il en faut.....

On devrait même vous puçer à la naissance , tout automatique après : de la grande surface au banquier )

__________________________________________________________________________________Joyeux lundi, tout le monde .

.

.

C’est en catimini, ou presque, que le paiement sans contact (ou NFC, pour Near Field Communication) est en train de débarquer sur nos cartes bancaires ! Ilpermet de payer immédiatement en approchant juste sa carte à 3 ou 4 cm d’un terminal. Et cela pour des sommes ne dépassant pas 20 €. L’objectif est finalement très voisin de celui de l’ancien porte-monnaie électronique Moneo que les banques n’étaient pas parvenues à imposer. Celui-ci permettait de régler par carte les petites dépenses de la vie courante, afin de remplacer la petite monnaie. Une différence : aujourd’hui, le « sans contact » permet, en ne tapant pas son code, de gagner un peu de temps. Un seul réseau bancaire (sur la dizaine que nous avons étudiée) sollicite l’accord de ses clients : La Banque postale. LCL (Crédit lyonnais) est, quant à lui, en position d’attente. Ses cartes bancaires ne sont pas dotées du système. Le réseau préfère observer prudemment l’accueil par le public de ce mode de paiement. Toutes les autres banques intègrent l’option par défaut, lors du renouvellement de la carte. Au consommateur de réclamer expressément une carte sans dispositif NFC s’il n’en veut pas ! Une demande qui relève parfois (notamment dans certaines Caisses d’épargne) du parcours du combattant… Le pompon est décroché par Axa Banque, qui oppose une fin de non-recevoir à toutes les demandes de carte sans NFC. Et pour cause : selon les conseillers en ligne, la banque ne fabriquerait plus que des cartes pouvues de ce dispositif.

Une carte de métro est mieux protégée !

L’empressement de certaines banques à équiper leurs clients semble d’autant plus excessif que les avantages du « sans contact » ne font pas rêver. Un sondage publié par Le Parisien (21 janvier 2015) montre que 57 % des Français estiment le paiement sans contact « pas utile ». Certes, la technique permet de gagner quelques dizaines de secondes au moment du paiement et d’alléger ses poches, mais au prix de moyens supplémentaires pour les escrocs d’utiliser frauduleusement nos données bancaires. Avec le dispositif sans contact, tel qu’il est développé aujourd’hui, le risque est double : d’une part, en cas de vol de la carte, il devient plus facile d’effectuer des paiements et retraits (le code n’est pas nécessaire) ; d’autre part, les pirates peuvent aspirer les données au moment où elles sont émises à distance par la carte. Ce second risque est peut-être le plus problématique. Pour pallier le premier, les établissements bancaires ont établi un plafonnement de dépenses sans contact : 20 € par transaction et de 80 à 100 € par mois ; au-delà, le code bancaire est à nouveau réclamé. Mais les plafonds ne changent rien au risque de se faire subtiliser à distance ses données… « Au contact d’un récepteur (terminal de paiement, téléphone, etc.), la puce numérique de la carte NFC se met à émettre des ondes qui diffusent les données. Un simple téléphone portable suffit aujourd’hui pour les aspirer. Or, ces données ne sont pas sécurisées par un chiffrement, contrairement, par exemple, aux cartes Navigo du métro parisien. C’est paradoxal : les cartes bancaires qui possèdent le dispositif NFC sont moins protégées qu’une carte permettant de prendre le métro », reproche Nicolas Kershenbaum, consultant sécurité au cabinet de conseils en cybersécurité Lexsi.

Le piratage devient un jeu d’enfant

Après nous être renseignés auprès d’un expert de la Gendarmerie nationale, nous avons tenté une opération de piratage. Il nous a suffi de deux secondes pour afficher sur l’écran de notre téléphone portable le numéro et la date de validité d’une carte bancaire NFC. Il a juste fallu installer auparavant sur le smartphone une application, très aisée à dénicher sur Internet. Certes, il faut placer le téléphone tout près de la carte… Mais cela n’a rien d’impossible, par exemple dans une file d’attente. Les pirates pourraient aussi améliorer le dispositif avec du matériel plus sophistiqué permettant d’amplifier le signal, notamment avec une antenne. « Pour le moment, nous n’avons pas constaté ce type de fraude. Pour intercepter les données NFC à une distance importante, il faudrait une antenne d’une très forte puissance et qu’il n’y ait rien entre la carte et l’antenne. Pour l’instant, ce n’est réalisable qu’en laboratoire », souligne le capitaine Thomas Souvignet, spécialiste en criminalistique numérique à la gendarmerie nationale.

Avec les cartes NFC les plus anciennes, dont certaines sont toujours en circulation, on peut, en plus du numéro de la carte (16 chiffres) et de la date de validité (4 chiffres) recueillir le nom et le prénom du client, ainsi que la liste des cinq dernières opérations bancaires réalisées. La Commission nationale de l’informatique et des libertés (Cnil), qui s’en est émue en 2012, oblige désormais les banques à ne plus rendre accessibles ces informations. Mais le numéro de carte et la date de validité sont suffisants pour payer sur des sites marchands qui ne réclament pas le cryptogramme à trois chiffres. Ce dernier numéro est situé au dos de la carte ; il n’est pas accessible aux pirates quelle que soit la génération de carte bancaire. En France, le cryptogramme est réclamé pour sécuriser tous les paiements à distance (Internet et téléphone) ; mais pas forcément dans tous les pays. En outre, selon plusieurs experts, le cryptogramme n’est de toute façon pas un obstacle insurmontable pour des pirates expérimentés : « Une combinaison à trois chiffres, cela représente 999 possibilités. Ce n’est pas colossal. Avec des logiciels de type “Force brute”, qui existent déjà, on peut en venir à bout. Une combinaison de 16 chiffres (correspondant au numéro de la carte bancaire), c’est autrement plus complexe ! », assure Thomas Livet, consultant chez Sifaris, société spécialisée dans l’analyse et la gestion des risques des nouvelles technologies de l’information. Selon lui, la solution doit passer par le chiffrement du numéro de la carte et de la date de validité. « C’est le seul moyen à ce jour de sécuriser le système. Cela compliquerait considérablement la tâche des pirates. Les technologies de chiffrement se sont beaucoup démocratisées depuis l’essor des sites Internet. Leur coût a baissé en conséquence. On pourrait, par exemple, utiliser des méthodes existantes, de type AES ou 3DES, pour les cartes bancaires. »

Pour les banques, sécuriser coûte trop cher

Pourquoi les banques n’ont-elles pas mis en place de protocole de communication chiffré, à l’instar de la RATP ? Un expert qui collabore sur le dossier avec plusieurs banques avance une explication : « Chiffrer entraîne des coûts supplémentaires importants. Il faut changer tout le stock de cartes. On peut compter 10 à 20 € par carte. Et il faut renouveler la totalité du parc de distributeurs automatiques de billets ; la facture représente des millions d’euros. »

Les établissements auraient ainsi pesé le pour et le contre et décidé d’assumer le risque. D’autant que le nouveau dispositif est plutôt porteur pour elles : chaque transaction par carte devrait générer à terme une commission bancaire, à la charge du commerçant. Le montant est, bien sûr, faible, s’agissant de petits paiements ; mais il porte sur un gigantesque potentiel de transactions. Les petits ruisseaux, c’est bien connu, font les grandes rivières… Intérêt financier ou pas, la majorité des établissements bancaires semblent en tout cas avoir fait le choix du « NFC pour tous ». « Il est possible de changer votre carte avec option sans contact contre une carte classique, mais la procédure sera un peu longue, car elle déroge à la norme. Aujourd’hui, toutes nos cartes sont fabriquées avec le mode NFC », nous explique ainsi un conseiller au guichet d’une agence parisienne de BNP-Paribas.

Crédit agricole, Caisses d’épargne, Banques populaires, BNP Paribas, CIC, Crédit mutuel, Boursorama banque, Axa banque : tous ces établissements intègrent d’office l’option NFC lors du renouvellement de la carte. Des explications, plus ou moins en évidence (par lettre préalable, plaquette publicitaire, note à la fin du relevé de compte mensuel…) informent le client du changement. Mais rien sur les risques, ni sur le fait que l’absence de contestation vaut accord pour modification de son contrat avec la banque. Consultez les conditions générales de votre convention de compte : un nouveau paragraphe s’y est glissé. Mais combien l’ont repéré ? Or, c’est ensuite que les choses peuvent devenir plus compliquées, comme le montrent de nombreux témoignages que nous avons recueillis. Ainsi, Frédéric G., client de la Caisse d’épargne Nord-Pas-de-Calais, obtient une réponse sans ambiguïté au guichet lorsqu’il demande à échanger la carte NFC qu’il vient de recevoir contre une carte classique : « Impossible ! » Le jeune homme insiste : « J’ai fini par menacer de quitter la banque… et là, le conseiller est revenu sur sa première affirmation. Il m’a proposé d’interroger la direction. » Une semaine plus tard, Frédéric recevait une nouvelle carte sans l’option NFC. Une habitante de Verneuil (Yvelines) a effectué la même visite auprès de son agence du Crédit agricole, après avoir reçu un courrier de renouvellement de sa carte annonçant l’intégration de l’option NFC. On lui rétorque d’abord qu’accéder à sa demande est« impossible », puis sa réclamation obtient finalement une réponse différente : le conseiller explique qu’il va se renseigner auprès du siège… Dans la journée, confirmation est donnée que le changement est possible ! Plus ennuyeux, M. et Mme F. ont constaté que l’agence de la Caisse d’épargne de Blagnac (37) leur avait facturé 18 € pour « re-fabrication de CBI » (carte bancaire internationale). Le couple exige le remboursement de cette somme car, explique-t-il, « la re-fabrication de la carte a été demandée car vous nous avez imposé une carte Bleue avec un paiement sans contact et sans possibilité de le désactiver ». Quant à Philippe N., Axa banque a sobrement répondu par courrier à la même demande :« Désormais, il (le paiement sans contact, ndlr) est mis en place automatiquement sur toutes les cartes bancaires. Il n’est pas possible de supprimer la fonction… Toutefois, nous pouvons vous proposer un étui de protection. » Le consommateur a aussitôt fermé ses comptes et trouvé une autre banque.

« En cas de fraude, on indemnise… »

Pour rassurer leurs clients, les établissements bancaires avancent des arguments, largement inspirés par le GIE carte bancaire, qui réunit l’ensemble des banques. Ces dernières rétorquent ainsi que les clients n’ont, quoi qu’il arrive, pas de souci à se faire : « En cas de paiement frauduleux, si le client est de bonne foi, l’agence recrédite immédiatement le compte », explique un responsable. « Les transactions effectuées avec la fonction sans contact, donc sans code confidentiel, ne supportent pas de franchise. Les sommes indûment débitées sont donc intégralement remboursées », tient à préciser le GIE carte bancaire. Le problème, c’est que certains cas récents montrent que le remboursement ne se révèle pas toujours aussi simple. La demande traîne parfois en longueur. Surtout, certains établissements ont récemment refusé de recréditer des débits liés, selon les clients, à des achats frauduleux effectués sur Internet. Les banques ont estimé que ces derniers n’avaient pas démontré leur bonne foi. La loi fait pourtant clairement peser la charge de cette preuve sur la banque. Le Crédit mutuel Nord de France, en particulier, s’illustre étrangement sur ce terrain.

En pratique : Comment se défendre ?

Vous n’avez pas encore de carte NFC

Votre carte bancaire actuelle n’est pas dotée de la technologie « sans contact », mais elle va être renouvelée dans quelques mois. Vous recevrez un courrier plusieurs semaines avant l’envoi de la nouvelle carte. Celui-ci devrait vous informer qu’elle comporte l’option NFC. Pour l’instant, seule La Banque postale réclame l’accord de ses clients avant de fabriquer une carte NFC. LCL (Crédit lyonnais), n’a pas encore décidé de commercialiser l’option. Si vous ne la souhaitez pas, manifestez votre désaccord par écrit (courrier ou mail) à votre conseiller bancaire. Recontactez-le quelques jours après l’envoi pour vous assurer qu’il a reçu le message… et l’a bien compris.

Vous venez de recevoir une carte NFC

Pour vous prémunir contre le piratage, mettez votre carte bancaire dans un étui conçu pour bloquer les signaux NFC.

Il existe trois solutions :„

la plus sûre, et inattaquable sur le plan juridique, consiste à renvoyer sa carte par recommandé avec accusé de réception et à réclamer une carte simple sans option ;

la seconde est de se munir d’un étui spécial. Il agit comme une cage de Faraday et bloque le passage des ondes. Efficace, sauf au moment de payer : il faut retirer l’étui. Un pirate installé près de la caisse pourrait siphonner les données à cet instant ;

la troisième solution a fait le tour d’Internet. Les experts nous ont confirmé son efficacité (mais pas sa légitimité juridique). Il faut repérer, à l’aide d’une lampe torche, la mini-antenne circulaire qui sort de la puce et longe le pourtour de la carte. Il suffit de l’endommager en la grattant avec un cutter sur un point éloigné de la puce. La carte ­n’émettra plus mais permettra toujours le paiement classique... Les banques, qui sont propriétaires des cartes, pourraient contester la détérioration en justice.

Votre carte a été piratée

Hélas, vous ne le saurez que si vos données ont été utilisées frauduleusement. Car, en soi, le piratage des données ne laisse pas de trace. Dès que vous découvrez des opérations douteuses (pour cela, il faut vérifier régulièrement ses comptes), contestez-les par écrit (mail ou lettre) auprès de votre conseiller bancaire. La banque doit alors vous recréditer les sommes immédiatement.

Le seul intérêt des banques est de vouloir toucher une commission, comme avec Monéo.

Et comme pour Monéo, les petits commerçants ne s'équiperont pas (cout du terminal + commissions).

Et comme Monéo, un gros flop à court terme.

L’objectif est finalement très voisin de celui de l’ancien porte-monnaie électronique Moneo que les banques n’étaient pas parvenues à imposer. Celui-ci permettait de régler par carte les petites dépenses de la vie courante, afin de remplacer la petite monnaie.

D’autant que le nouveau dispositif est plutôt porteur pour elles : chaque transaction par carte devrait générer à terme une commission bancaire, à la charge du commerçant. Le montant est, bien sûr, faible, s’agissant de petits paiements ; mais il porte sur un gigantesque potentiel de transactions. Les petits ruisseaux, c’est bien connu, font les grandes rivières… Intérêt financier ou pas, la majorité des établissements bancaires semblent en tout cas avoir fait le choix du « NFC pour tous ».

C'est pour ça que je dis que ce sera les téléphones.
Encore que tout le monde a une carte bancaire ; Moneo moi j'avais à peine entendu parler, et je ne suis pas sûr d'en avoir vu une, de ces cartes. (c'est bien une carte ?)

Encore mieux s'il faut payer pour suivre tes sujets, Beorcs ! Déjà fournir un mail c'est trop cher ...

Bon, y a de tout un peu dans ton article payant, certaines assertions manquent de sources, on trouve quand même "Certes, il faut placer le téléphone tout près de la carte…" sans dire à quelle distance ...
Le minimum aurait été de préciser si c'était dans le même ordre de grandeur que pour le paiement (donc 2 à 4 cm, pour eux) ou pas, qu'on puisse éventuellement se prémunir.

Je vais aussi traduire "Pour le moment, nous n’avons pas constaté ce type de fraude." : comment expliquer ça, alors donc que TOUTES les cartes NFC, dont la f() de paiement sans contact est activée OU PAS, seraient vulnérables à un smartphone avec une appli "très aisée à dénicher" sur le Net ?

En effet : quand bien même, après, qu'est-ce qu'on ferait de ces données incomplètes ? Faudrait des réseaux organisés à l'étranger, c'est pas à la portée du premier manganon ; et c'est toujours pareil !
(d'abord les tickets ; puis les malfrats qui rançonnent aux DAB ; ensuite les commandes par téléphone, puis Internet ; puis les faux-DAB ; maintenant le paiement sans contact ...
Merde, déchirez donc vos cartes ! )

"vous le savez, les USA financent Daesh, vous le savez, Poutine veut les Balkans, vous le savez, les juifs tiennent la presse" etc. etc. peut-être, mais c'est toujours les mêmes procédés ...

Et si on passait au troc, au sel !

Bonjour,

Je me demande si sur PCA,certains ne deviennent pas paranoïaques..?

Très amicalement.

Ce qui t'empêche de payer par contact (donc si tu la tombes ou si on te la tire c'est comme une carte non-NFC, ni plus ni moins),

mais pas la puce d'émettre.

(Doubleton disait que par défaut, le paiement sans contact de sa carte était désactivé)

yves.vaissiere a écrit :

Ce qui t'empêche de payer par contact (donc si tu la tombes ou si on te la tire c'est comme une carte non-NFC, ni plus ni moins),

mais pas la puce d'émettre.

(Doubleton disait que par défaut, le paiement sans contact de sa carte était désactivé)

Vi,Banque Populaire,j'ai vérifié.

Il y a peut-être les mutuelles, qui s'en mêlent ...
Je crois sinon que les banques n'ont pas que les commissions sur les transactions sans contact, pour subsister.

Efficace, sauf au moment de payer : il faut retirer l’étui. Un pirate installé près de la caisse pourrait siphonner les données à cet instant

Complètement siphonnées !