Fraude à la carte bancaire : de nouvelles règles pour mieux vous rembourser

Un pas de plus vers l’éradication de la fraude. La mise en place “l’authentification forte” au printemps 2021 a déjà permis d’abaisser considérablement la fraude à la carte bancaire. Cette nouvelle réglementation contraint en effet les banques et établissements de paiement à valider une transaction avec non plus un, mais deux facteurs de nature distincte. Il peut s’agir d’une donnée connue (un code), détenue (une autorisation envoyée sur un mobile), ou constitutive du client (une empreinte digitale ou le visage par exemple). Et le succès est au rendez-vous. En stagnation entre 2018 et 2020, le taux de fraude est passé de 0,249% en 2020 à 0,196% en 2021. “Soit son plus bas niveau historique, alors que sur la même année, le montant des opérations de paiement par carte a crû de 21% pour atteindre 177,1 milliards d’euros”, se félicite l’Observatoire.

Le doute doit profiter au client

Mais paradoxalement, cette diminution a été compensée par une hausse “significative” des refus de remboursement des banques, jugent les associations. En particulier dans les cas où la transaction a fait l’objet d’une authentification forte. Faisant ainsi fi du développement des nouvelles techniques de fraude, à l’instar de l’usurpation d’identité (le “spoofing” en anglais).

Les autorités devaient donc agir. Les préconisations de la Banque de France reposent sur un principe fondamental : “le doute doit profiter au client”, résume Julien Lassalle. Aussi, en cas de doute, la banque doit rembourser son client dans la journée des sommes exigées si elle ne dispose pas de “bonnes raisons” de soupçonner une éventuelle négligence ou fraude de l’utilisateur. Ce qui ne l’empêche pas d’effectuer des recherches plus poussées dans un délai de 30 jours au maximum. Si bien que l’établissement peut, durant cette période, opérer une “reprise des fonds”, c'est-à-dire récupérer l’argent versé sur le compte du client. Si elle émet un refus, la banque devra cependant en donner le motif et communiquer les éventuelles preuves récoltées (mandat de prélèvement, éléments transmis par le commerçant ou preuve de négligence grave comme le partage ses codes confidentiels).

Une “zone grise” à combler

Reste cependant à déterminer la nature de ces “bonnes raisons”. L’authentification forte ne justifie pas à elle seule un non remboursement et nécessite d’analyser un ensemble plus large de critères pour statuer. La Banque de France a identifié trois axes pour combler “la zone grise” des paiements fortement authentifiés. D’une part, les paramètres techniques - origine de la transaction, terminal utilisé ou lieu du paiement - qui permettent de déterminer si le client est réellement à l’origine de l’opération. Les modalités de l’authentification forte - type d’identification, historique d’utilisation - servent à s’assurer du rôle “effectif” de l’utilisateur. Enfin, des éléments de contexte viendront nourrir la réflexion de la banque tels que les informations délivrées à l’utilisateur, et les éventuelles alertes fournies.

Mais dans deux cas, rappelle l'Observatoire, le remboursement de la banque doit être instantané. Si l'achat en ligne est effectué sans authentification forte - c’est le cas des paiements en dehors de l’Union européenne ou des transactions inférieures à 30 euros -, les banques sont tenues d’indemniser immédiatement le client, c'est-à-dire au plus tard le jour ouvrable qui suit sa demande. La même logique s’applique aux paiement générés via des portefeuilles numériques - Apple Pay, Samsung Pay - et pour lesquels l’enrôlement de la carte bancaire n’a été soumis à aucune authentification forte.

Le problème de la rétention d’information

Il n’empêche que pour évaluer au mieux la situation, les banques sont largement tributaires des informations fournies par la victime de la fraude. Or, particuliers et associations de consommateurs ont souvent le réflexe d’en dire le moins possible, de peur de voir la banque refuser leur demande de remboursement. Car rappelons-le, l'absence de preuve contraint l’établissement à indemniser son client. Raison pour laquelle la Banque de France recommande aux particuliers de faire preuve de “transparence”. Ces informations permettent notamment d’éclairer sur le contexte et la nature de l’opération - le niveau de connaissance de l’éventuel bénéficiaire de la fraude, les procédés techniques utilisés, les messages ou appels reçus avant la fraude.

La pression est également mise sur les banques afin d’améliorer les processus déjà en place. Elles ont ainsi pris l’engagement d’élargir le périmètre de l’authentification forte tel qu’il existe aujourd’hui. Dès qu’un client se connecte à son espace en ligne (par une application ou sur ordinateur) depuis un point d’accès inhabituel, les banques doivent maintenant imposer une authentification à deux facteurs. Elles sont également “invitées” à effectuer une véritable concordance entre l’identité et l’Iban (l’identité numérique du nouveau bénéficiaire). Ou à défaut, affirmer clairement au client qu’aucune vérification n’a été opérée avant validation de l’Iban.