De petits montants étrangers sur votre extrait ? Voici pourquoi

En passant en revue vos dépenses, vous remarquez un paiement de 0,60 euro à une boutique en ligne dont vous n’avez jamais entendu parler. Bizarre ; mais vu que le montant est dérisoire, vous l’ignorez. Seulement, cette transaction mineure peut être un test effectué par un fraudeur qui essaye de vérifier si les données volées de votre carte fonctionnent. Le test a réussi ? Dans ce cas, les véritables débits suivront tôt ou tard.

Le « card testing » est l’une des formes les plus sous-estimées de fraude à la carte, précisément parce qu’elle commence si discrètement. Le principe est simple : les criminels qui ont obtenu des données de cartes bancaires ne savent pas quels numéros sont encore actifs et lesquels sont déjà bloqués, expirés ou erronés. Avant de débiter de gros montants ou de revendre les données, ils effectuent donc de petites transactions test, généralement inférieures à 5 euros et souvent même à 1 euro. Si le mini-paiement passe, c’est bon : la carte fonctionne et est prête à être utilisée à mauvais escient.

Les statistiques sont étourdissantes. Le gestionnaire de paiements Stripe bloque souvent des millions de tentatives de test de carte par jour (source). Et la forte croissance du phénomène se poursuit : des recherches réalisées sur la base d’un vaste réseau de boutiques en ligne montrent que cette année encore, il y a eu 175 % de cas en plus par rapport à l’année dernière (source). L’explication : avec l’IA et les bots automatisés, tester des milliers de numéros de carte en même temps est un jeu d’enfant.

D’où viennent ces données de carte volées ?

Des données de carte peuvent être volées de bien des manières. Piratages et fuites de données de boutiques web, phishing, fausses pages de paiement, logiciels malveillants qui enregistrent vos saisies pendant que vous effectuez un paiement en ligne… Après les avoir collectées, les criminels les vendent en vrac sur des places de marché.

En outre, il existe une deuxième méthode de force brute étonnante : l’attaque BIN. Les six à huit premiers chiffres de chaque numéro de carte renvoient à la banque émettrice. Les fraudeurs se basent ainsi sur une série connue, puis font générer par un logiciel toutes les combinaisons possibles des chiffres restants, des dates d’expiration et des codes CVC. Ensuite, des bots essaient ces milliers de numéros composés au hasard sur des pages de paiement, jusqu’à ce qu’il y en ait un qui fonctionne (source). C’est ainsi que vos données de carte peuvent être « volées » sans qu’il n’y ait jamais eu de fuite, simplement par le jeu de la puissance de calcul et de la malchance.

Pour effectuer leurs tests, les criminels choisissent délibérément des sites web où de petits montants passeront inaperçus : des pages de dons à des œuvres caritatives, des boutiques en ligne proposant des produits numériques bon marché, des services d’abonnement avec une formule d’essai, etc. Parfois, ils tentent même des transactions de 0 euro, à l’instar des vérifications de carte effectuées par certains services au moment où vous souscrivez.

De 1 euro à 1 000 euros

Une fois qu’un test a réussi, la suite répond à un schéma fixe. La carte validée est soit utilisée directement pour des achats importants (appareils électroniques, cartes-cadeaux et autres produits faciles à revendre), soit revendue avec une plus-value à d’autres criminels. En effet, sur le marché noir, un numéro de carte dont le fonctionnement est prouvé vaut bien plus cher qu’un numéro non testé.

Entre le test et le véritable vol, il peut donc s’écouler quelques minutes, mais aussi des jours ou des semaines. C’est justement pour cela que ce petit prélèvement est un signal si précieux : c’est souvent le seul moment où vous pouvez voir venir la fraude avant de subir des dégâts massifs.

En outre, une étude américaine montre à quel point le problème est tenace : parmi les consommateurs confrontés à la fraude à la carte, plus de la moitié en ont été victimes à plusieurs reprises (source). En effet, un numéro de carte qui se trouve dans une base de données compromise reste en circulation. Dans ce cas, il n’y a qu’une solution : changer de carte.

Pourquoi un fraudeur me prendrait-il pour cible ?

Justement, il ne vous vise pas. Le test de carte n’est pas une attaque ciblée, mais un processus industriel où des bots essayent des millions de numéros à l’aveuglette. Votre carte peut se retrouver dans le lot parce que vous avez payé dans une boutique en ligne qui a été piratée par après, parce que vos données ont été dérobées parphishing, ou simplement parce qu’un algorithme a accidentellement généré votre combinaison de chiffres.

Comment vous protéger ?

1. Vérifiez vos extraits, y compris les petits montants

La leçon la plus importante à retenir dans l’histoire : prenez au sérieux toute transaction inconnue, si petite soit-elle. Un prélèvement de 0,30 euro que vous ne reconnaissez pas mérite autant d’attention qu’un prélèvement inconnu de 300 euros.

2. Activez les notifications pour chaque transaction

Configurez votre app bancaire de manière à recevoir une notification à chaque paiement. Ainsi, un test suspect vous apparaîtra dans la seconde, plutôt que plusieurs semaines plus tard sur votre extrait.

3. Réagissez immédiatement en cas de débit suspect

Vous ne reconnaissez pas une transaction ? Contactez immédiatement votre banque et faites bloquer et remplacer la carte. Il ne suffit pas de faire opposition au paiement suspect : une fois que votre numéro a été validé par des fraudeurs, le véritable abus se produira tôt ou tard. Vous pouvez appeler Keytrade Bank au +32 2 679 90 00. Vous pouvez également faire bloquer vos cartes de paiement via Card Stop au 078 170 170.

4. Soyez chiche avec les données de votre carte

N’enregistrez pas votre numéro de carte dans des boutiques en ligne et ne l’introduisez jamais sur des pages auxquelles vous auriez accédé via un lien dans un e-mail ou sur une publicité. Moins il y a de boutiques en ligne qui conservent vos données, plus vous réduisez le risque de fuite.

5. Utilisez les options de sécurité de votre carte

Réduisez vos limites de dépenses au strict nécessaire. Lorsque vous ne les utilisez pas, désactivez des fonctionnalités telles que les paiements hors Europe. Ainsi, si votre numéro tombe malgré tout entre de mauvaises mains, vous limiterez les dégâts.

6. Ne contrôlez pas seulement votre carte

Un vol de données de cartes va souvent de pair avec un vol de mots de passe. Une transaction suspecte apparaît sur votre compte ? Modifiez aussi les mots de passe de vos principaux comptes, à commencer par votre adresse e-mail. Veillez à utiliser des mots de passe uniques partout en ayant recours à un gestionnaire de mots de passe.

CONSEIL Vous vous demandez si un message, un appel téléphonique ou un e-mail provient vraiment de Keytrade Bank ? Utilisez la fonction d’appel dans l’app Keytrade Bank pour nous téléphoner. Vous avez ainsi la certitude de parler à un collaborateur officiel.

Sécurité en ligne avec Keytrade Bank

Chez Keytrade Bank, la sécurité est une priorité absolue. Vous avez saisi vos coordonnées bancaires sur un site web suspect, transmis des données personnelles par téléphone à un inconnu ou remarqué un paiement que vous n’avez pas réalisé vous-même ?… Appelez-nous au + 32 2 679 90 00