Acheter en ligne est devenu un geste presque banal. Quelques clics, un numéro de carte bancaire et la commande est passée. Pourtant, derrière une transaction qui semble parfaitement normale peut parfois se cacher une attaque informatique particulièrement difficile à détecter : le skimming en ligne, également appelé web skimming.
Cette technique permet à des cybercriminels de récupérer les données bancaires saisies lors d’un achat, parfois directement sur un site marchand parfaitement légitime.
Une attaque qui peut toucher un site de confiance
Contrairement à certaines arnaques où l’utilisateur est attiré vers une fausse boutique en ligne, le web skimming peut se produire sur un véritable site e-commerce.
Les cybercriminels cherchent à exploiter une faille de sécurité présente dans le site, dans un de ses composants ou dans un service tiers utilisé par celui-ci. Ils peuvent alors y introduire un petit morceau de code malveillant capable de récupérer les informations saisies par les clients.
Au moment du paiement, le fonctionnement du site reste généralement parfaitement normal. Le panier est validé, la commande est enregistrée et la page de confirmation s’affiche comme prévu.
La différence se joue ailleurs : pendant que l’acheteur pense simplement effectuer son paiement, ses données peuvent être copiées discrètement et transmises aux attaquants.
Numéro de carte, date d’expiration et cryptogramme peuvent ainsi se retrouver entre de mauvaises mains.
Un piège particulièrement difficile à repérer
C’est justement ce qui rend cette technique préoccupante pour les consommateurs.
Avec un faux site marchand, certains indices peuvent parfois mettre la puce à l’oreille : adresse Internet étrange, fautes d’orthographe, prix irréalistes ou coordonnées inexistantes.
Dans le cas du skimming, ces signaux peuvent tout simplement ne pas exister.
Le site que l’on utilise peut être connu, fonctionner normalement et afficher une adresse Internet parfaitement correcte. Il n’est donc pas forcément possible, pour un utilisateur, de savoir que ses informations bancaires viennent d’être copiées.
Le problème peut apparaître plusieurs jours, voire plusieurs semaines plus tard, lorsqu’une opération inhabituelle apparaît sur le compte ou sur le relevé de carte.
Quelques réflexes simples pour réduire les risques
Il n’existe malheureusement pas de méthode permettant de détecter soi-même tous les cas de skimming. En revanche, quelques habitudes permettent de limiter fortement les conséquences d’une éventuelle fuite de données.
Privilégier les moyens de paiement qui protègent les données
Lorsque c’est possible, privilégiez les solutions qui évitent de communiquer directement les données de votre carte au commerçant.
Les portefeuilles électroniques et certains intermédiaires de paiement permettent par exemple de réaliser une transaction sans saisir systématiquement son numéro de carte sur chaque boutique.
Certaines banques proposent également des cartes virtuelles ou des numéros de carte temporaires pour les achats en ligne. Selon l’établissement, ces numéros peuvent être limités à une transaction, à un montant ou à une durée déterminée.
C’est une protection particulièrement intéressante pour les achats effectués sur des sites que l’on connaît peu.
Activez les notifications de paiement
Votre banque vous permet probablement de recevoir une notification lorsqu’une transaction est effectuée avec votre carte.
Activez cette fonction si elle est disponible.
Une notification immédiate permet de repérer rapidement une opération que vous n’avez pas effectuée. Plus une fraude est détectée tôt, plus il est facile de réagir.
Consultez régulièrement vos transactions
Ne vous contentez pas de vérifier votre compte uniquement à la fin du mois.
Prenez régulièrement quelques secondes pour regarder les dernières opérations effectuées avec votre carte. Une petite transaction inconnue peut parfois être un premier signal d’alerte.
Les fraudeurs ne cherchent pas toujours à effectuer immédiatement un gros prélèvement. Une petite opération peut servir à vérifier qu’une carte fonctionne avant de tenter des transactions plus importantes.
Évitez d’enregistrer votre carte partout
Les boutiques en ligne proposent souvent de mémoriser les informations de paiement afin de faciliter les prochains achats.
C’est pratique, mais cela signifie également que vos données bancaires sont conservées dans davantage de services.
Lorsque cela n’est pas nécessaire, vous pouvez choisir de ne pas enregistrer votre carte et de saisir les informations au moment du paiement.
Maintenez vos appareils à jour
Le skimming concerne avant tout la sécurité du site marchand, mais la sécurité de votre propre appareil reste essentielle.
Ordinateur, smartphone, navigateur et applications doivent être régulièrement mis à jour. Ces mises à jour corrigent notamment des failles de sécurité qui pourraient être exploitées par des cybercriminels.
Un antivirus à jour et un navigateur récent constituent également une bonne base de protection.
Méfiez-vous des liens reçus par e-mail ou SMS
Même si le skimming peut toucher de véritables boutiques, les cybercriminels utilisent également des faux sites pour récupérer les données bancaires.
Un SMS annonçant un colis bloqué, un e-mail proposant un remboursement ou un message indiquant un problème avec une commande peut vous rediriger vers une fausse page de paiement.
En cas de doute, ne cliquez pas sur le lien.
Ouvrez vous-même le site officiel du commerçant ou de l’entreprise concernée en saisissant son adresse dans votre navigateur ou en utilisant son application officielle.
Et si une opération bancaire semble suspecte ?
Il ne faut pas attendre pour réagir.
Si vous constatez une transaction que vous n’avez pas effectuée, contactez rapidement votre banque ou l’émetteur de votre carte. Selon la situation, votre carte pourra être bloquée ou remplacée.
Conservez également les informations utiles : date et montant de l’opération, nom du commerçant affiché, e-mails reçus ou captures d’écran. Ces éléments peuvent faciliter les démarches auprès de votre établissement bancaire.
En Suisse, il est également possible de signaler les incidents et les tentatives de cybercriminalité aux autorités et aux plateformes officielles compétentes.
Le bon réflexe : limiter les dégâts plutôt que chercher le risque zéro
Face au skimming, il est important de garder à l’esprit une réalité souvent oubliée : même un internaute prudent peut être victime d’une attaque visant directement un site marchand.
Il ne s’agit donc pas uniquement de savoir reconnaître une arnaque.
La meilleure approche consiste à multiplier les petites protections : utiliser un moyen de paiement adapté, activer les notifications, surveiller régulièrement ses transactions et réagir immédiatement au moindre mouvement suspect.
Sur Internet, la sécurité ne repose pas sur une seule technologie ou sur un seul bon réflexe. C’est l’accumulation de plusieurs habitudes simples qui permet de réduire les risques et surtout de limiter les conséquences lorsqu’une attaque réussit à passer entre les mailles du filet.
