SynthSe

Rapport annuel de l'Observatoire de la scurit des cartes de paiement | Exercice 2014

77Le douzime rapport annuel dactivit de lObservatoire de la scurit des cartes de paiement, relatif lexercice2014, comprend quatre parties dont les principales conclusions sont reprises ciaprs.1re partie: tat des lieux de la scurisation des paiements par carte sur internet

La poursuite de la baisse du taux de fraude sur les paiements par carte sur internet tmoigne des efforts raliss par les metteurs et les ecommerants pour mieux scuriser ces transactions.

Plus de 90% des porteurs de carte sont ainsi quips de dispositifs dauthentification renforce. Chez les ecommerants, le taux dquipement est proche de 60%, ce qui reprsente une hausse significative(43% lan pass), principalement due une adoption du mode de scurisation 3DSecure chez les petits ecommerants et la possibilit de dclencher une authentification sur la base dune analyse de risques.

Le taux dchec sur les transactions authentifies est rest un niveau quivalent celui du taux dchec des transactions non authentifies, confirmant ainsi labsence dobstacle ladoption de ce type de dispositif de scurisation pour les ecommerants.

Dans ce contexte, lObservatoire rappelle lensemble des acteurs concerns que la gnralisation des dispositifs dauthentification renforce est galement une priorit, tant de lEurosystme, que de lAutorit bancaire europenne, dont les recommandations relatives la scurit des moyens de paiement sur internet entrent envigueur au 1er aot2015.

2e partie: statistiques de fraude pour lanne2014

Le taux de fraude sur les paiements et les retraits sur les cartes mises enFrance est rest stable en2014 pour la deuximeanne conscutive, 0,069%. Enincluant les transactions des cartes mises dans dautres pays, le taux de fraude global reste stable galement, 0,080% pour la troisimeanne conscutive.

Cette stabilisation du taux de fraude global rsulte toutefois de tendances contraires:

Pour la premire fois depuis 2004, le montant de fraude sur les transactions nationalesdiminue 235millions deuros(239millions deuros en2013), alors mme que le montant detransactions continue de progresser. Le taux de fraude sur les transactions nationales est ainsiendiminution, 0,043%(contre 0,046% en2013), de mme que le taux de fraude sur lespaiements de proximit(0,010%, aprs 0,013% en2013).

Pour la troisime anne conscutive, le taux de fraude sur les paiements distance continue de se rduire, 0,248%(contre 0,269% en2013). Toutefois, dans un contexte de croissance soutenue du ecommerce, les montants de fraude sur les paiements distance continuent daugmenter. Les paiements distance reprsentent toujours la majeure partie de la fraude enmontant(66,5%) alors quils ne constituent que 11,6% du montant total des paiements.

Rapport annuel de l'Observatoire de la scurit des cartes de paiement | Exercice 2014

SynthSe

8

ce titre, certains secteurs dactivit, notamment celui de la tlphonie et des communications, prsentent des taux de fraude pour les transactions enligne nettement suprieurs lensemble des ecommerants, appelant une vigilance renforce des acteurs concerns.

linverse, le taux de fraude sur les retraits continue progresser(0,034%, aprs 0,033% en2013), dans un contexte o le piratage de distributeurs de billets et le vol de cartes avec code restent des malversations prises des rseaux de fraude organiss.

Par ailleurs, les premires donnes statistiques relatives aux paiements enmode sans contact font ressortir un taux de fraude limit sur les neuf derniers mois de2014, 0,015%, soit un niveau intermdiaire entre celui des paiements de proximit et celui des retraits aux distributeurs automatiques de billets. Cette fraude a presque exclusivement pour origine le vol ou la perte de la carte, confirmant ainsi lanalyse faite par lObservatoire quun risque de fraude lie la technologie sans contact demeure trs limit.

La fraude sur les transactions internationales continue daugmenter, 266 millionsdeuros (contre 231,3millions en2013), mais enraison dune croissance forte de lactivit, le taux de fraude sur les transactions internationales est orient la baisse, 0,456%, aprs 0,480% en2013. Il reste toujours plus de dix fois suprieur celui des transactions nationales. De ce fait, les transactions internationales reprsentent 41% du montant total de la fraude sur les cartes mises enFrance, alors quelles ne comptent que pour 6% de la valeur totale des transactions ralises.

En particulier, les taux de fraude sur les paiements distance de cartes franaises dans ou hors zone SEPA restent des niveaux levs (respectivement 0,910 % et 0,960 %), notamment sous leffet dune meilleure scurisation des transactions distance sur les sites franais et donc dun report des fraudeurs vers des sites situs ltranger. Lentre envigueur lt2015 des orientations de lAutorit bancaire europenne prvoyant la gnralisation du recours lauthentification renforce des payeurs devrait permettre de lutter plus efficacement contre la fraude sur les paiements distance dans la zone SEPA.

3e partie: travaux de veille technologique sur lusage de la biomtrie comme facteur dauthentification

Certains modes dauthentification reposant sur la biomtrie, djutilise quotidiennement par une part croissante du grand public, pourraient venir renforcer la scurisation doprations de paiement par carte, quelles soient distance ou de proximit, ou de retrait. De ce fait, lObservatoire asouhait faire un tat des lieux de ces techniques dauthentification et de leurs conditions de mise enuvre.

Lutilisation de techniques biomtriques tant strictement encadre enFrance par la loi Informatique et Liberts, lObservatoire rappelle que leur application au sein de solutions de paiement requiert le dpt dune demande dautorisation auprs de la CNIL.

Rapport annuel de l'Observatoire de la scurit des cartes de paiement | Exercice 2014

SynthSe

9

LObservatoire constate que les exprimentations menes enFrance visent enpriorit tester lergonomie des dispositifs biomtriques. Avant tout dploiement grande chelle, lObservatoire estime ncessaire quune analyse des risques lis lusage de lauthentification biomtrique soit conduite afin que le niveau de protection des solutions mises enuvre soit au moins quivalent celui offert par les techniques djenplace(code confidentiel et carte puce pour le paiement de proximit, code non rejouable pour le paiement distance).

Par ailleurs, soulignant le manque dlments dapprciation du niveau de scurit des dispositifs biomtriques par rapport aux technologies actuellement enuvre(carte puce, carte SIM des tlphones portables, etc.), lObservatoire appelle les acteurs dvelopper des rfrentiels de scurit permettant de qualifier les solutions proposes enprenant encompte lensemble de leurs composants et paramtres (matriels de capture de lempreinte biomtrique et de traitement, algorithmes, cas dusage).

LObservatoire appelle galement les acteurs tre vigilants durant les phases dexprimentation de solutions fondes sur la biomtrie, la compromission dempreintes biomtriques utilises par cellesci pouvant mettre encause le dploiement de solutions futures plus grande chelle.

Enfin, du fait des limitations inhrentes la biomtrie et du manque de maturit de lvaluation scuritaire de ces dispositifs, lObservatoire recommande de toujours conserver un moyen dauthentification alternatif capable de se substituer au dispositif biomtrique.

4e partie: synthse de la confrence Les nouveaux moyens depaiement: de nouveaux enjeux de scurit du 22 octobre2014

La Banque de France a organis le 22 octobre2014 Paris, encollaboration avec la Banque centrale europenne, une confrence internationale sur les nouveaux dfis enmatire de scurit des moyens de paiement. Cette journe a t loccasion de dvelopper un dialogue entre institutions europennes, autorits nationales et acteurs de march autour de ces sujets. Trois grands axes qui conditionneront lavenir des travaux sur la scurit des moyens de paiement se sont ainsi dgags des changes.

En premier lieu, la coopration la fois entre les diffrentes autorits concernes au niveau europen, au travers denceintes telles que le forum europenSecure Pay1, mais aussi entre ces autorits et les nombreuses parties prenantes du march des paiements(banques, entreprises, fournisseurs de solutions, consommateurs), est apparue comme une rponse efficace au besoin dun dveloppement cohrent des exigences scuritaires sur le march europen.

1 Le forum europen SecuRe Pay, coprsid par la BCE et lABE, runit les banques centrales et superviseurs bancaires nationaux sur les sujets relatifs la scurit des moyens de paiement scripturaux.

Rapport annuel de l'Observatoire de la scurit des cartes de paiement | Exercice 2014

SynthSe

10

Ensuite, la prise encompte enpermanence des volutions du march, dans un contexte o linnovation fait voluer rapidement les usages des consommateurs, doit faire partie intgrante du fonctionnement des autorits europennes. ce titre, les travaux conduits au niveau du forum SecuRe Pay et de lAutorit bancaire europenne concernant la scurit des paiements sur internet illustrent cette volont dinvestir les segments les plus innovants en matire de dveloppement de services de paiement srs et efficaces.

Enfin, dans un secteur enforte volution, la recherche dun quilibre entre innovation et scurit est galement un paramtre intgrer dans laction des autorits, qui doivent veiller ce que les exigences rglementaires ne constituent pas une barrire au dveloppement de nouveaux services. Les rflexions conduites dans le cadre de la rvision de la directive sur les services de paiement, concernant enparticulier lencadrement des activits des tiers de paiement et de leurs conditions de scurit, illustrent cette volont de permettre louverture du march des paiements linnovation tout enmatrisant les risques pour lensemble des acteurs et les consommateurs.