Semaine 36 : Le skimming analogique, ou quand les escrocs usent de pression psychologique plutôt que de moyens techniques
Alors que le skimming classique, c’est-à-dire la lecture ou la copie des données de cartes bancaires, est aujourd’hui devenu rare, les escrocs recourent de plus en plus à des astuces psychologiques, appelées « ingénierie sociale », pour mettre la main sur ces cartes. Dans l’une des variantes de cette escroquerie signalées à l’OFCS, les victimes sont incitées, par téléphone, à remettre la puce de leur carte bancaire. Les cybercriminels se font passer pour des employés d’une banque et font croire à un incident de sécurité. Les puces volées sont ensuite utilisées pour effectuer des retraits d’argent illicites.
Il y a encore une dizaine d’années, on observait régulièrement en Suisse d’importantes vagues de skimming. Le skimming classique consiste, pour les criminels, à trafiquer les distributeurs automatiques de billets ou les terminaux de paiement en y ajoutant des dispositifs. Ces derniers servent à lire les données des cartes et, parallèlement, à enregistrer le code PIN de leurs titulaires, par exemple à l’aide de caméras cachées ou de claviers trafiqués. Les données dérobées sont ensuite utilisées pour effectuer des retraits d’argent ou des paiements par carte frauduleux.
De la bande magnétique à la puce, ou comment les cybercriminels s’adaptent au renforcement des mesures de sécurité
Ces dernières années, différentes mesures ont été mises en place pour contrer le skimming classique. Ainsi, en Suisse, la bande magnétique ne sert aujourd’hui pratiquement plus à rien pour retirer des espèces. L’authentification s’effectue désormais via la puce intégrée à la carte, qui offre une bien meilleure protection contre les abus.
Une différence essentielle réside dans le fonctionnement de ces deux technologies. Les données de la carte sont stockées de manière fixe sur la bande magnétique. Cela signifie que ce sont toujours les mêmes informations qui peuvent être lues. Si des criminels parviennent à s’emparer de ces données, celles-ci peuvent être copiées et transférées sur d’autres supports de stockage par des moyens relativement simples. C’est précisément pour cette raison que le skimming classique a été, pendant de nombreuses années, une escroquerie qui fonctionnait bien.
La puce, en revanche, fonctionne selon un autre principe. Elle contient un petit ordinateur doté de clés cryptographiques et génère, à chaque transaction, un code de sécurité unique qui n’est valable que pour ce paiement précis. Même si les données transmises lors d’une transaction tombaient entre les mains de pirates, ceux-ci ne pourraient pas les utiliser pour effectuer d’autres transactions par carte à puce. De ce fait, le skimming classique sur les distributeurs automatiques et les terminaux de paiement a considérablement diminué. Cette arnaque n’existe plus que dans les pays qui autorisent encore l’utilisation de la bande magnétique pour les retraits d’espèces.
Une nouvelle variante reposant sur l’ingénierie sociale plutôt que sur la technologie de pointe
Dans une nouvelle forme de fraude récemment signalée à l’OFCS, les criminels s’attaquent à la puce des cartes bancaires. Contrairement au skimming classique, cette technique n’utilise ni lecteur de carte bancaire ni aucun autre dispositif technique. Au lieu de cela, les criminels tentent de manipuler les victimes de manière ciblée en les incitant à leur remettre directement la puce. L’arnaque commence par un SMS prétendument envoyé par une banque. Ce message indique que la carte aurait fait l’objet d’une utilisation frauduleuse ou qu’il y aurait eu des transactions suspectes. Les destinataires sont invités à appeler un numéro de téléphone afin de clarifier la situation.
Une personne se présentant comme un employé de la banque répond à l’appel. Elle explique que, pour des raisons de sécurité, la carte doit être détruite sans délai. Les personnes concernées sont invitées à découper leur carte, en veillant à ne pas endommager la puce. La carte découpée doit ensuite être glissée dans une enveloppe, qui sera soit envoyée à une adresse, soit récupérée directement à domicile par un prétendu employé de banque. Le fait de demander de découper la carte donne l’impression que cela la rend inutilisable. En réalité, la puce continue de fonctionner. Dans les cas relatés à l’OFCS, une personne s’est présentée peu de temps après au domicile des personnes concernées et a récupéré les cartes découpées. Par la suite, les cartes ont apparemment été réparées et ont servi à retirer de l’argent. Dans un cas précis, cette technique a permis aux criminels de dérober plus de 10 000 francs.
Ce qui est particulièrement perfide, c’est que les escrocs ont parfois même incité les victimes à augmenter au préalable la limite de leur carte. On ignore encore comment les auteurs ont pu se procurer le code PIN correspondant. L’OFCS part toutefois du principe que cette information a été demandée au cours de la conversation téléphonique ou obtenue discrètement.
Recommandations
- Les banques ne viennent jamais chercher à domicile ni les cartes bancaires ni aucune composante de celles-ci, telles que les puces, les codes PIN ou les identifiants d’accès.
- Ne découpez jamais une carte bancaire sur les instructions d’un inconnu et, surtout, ne remettez la puce à personne.
- Ne communiquez jamais votre code PIN par téléphone, même à des personnes se présentant comme des employés de banque.
- Méfiez-vous des SMS, e-mails ou appels téléphoniques qui vous mettent la pression et vous incitent à agir immédiatement.
- En cas de messages de ce type, contactez votre banque exclusivement via les numéros de téléphone et les canaux de contact officiels.
- Bloquez immédiatement votre carte si vous pensez avoir été victime d’une escroquerie.
Statistiques et chiffres actuels
Les annonces de la dernière semaine selon les catégories sont publiées sous: