{"id":12914,"date":"2014-03-19T14:00:28","date_gmt":"2014-03-19T13:00:28","guid":{"rendered":"http:\/\/visionarymarketing.fr\/blog\/?p=12914"},"modified":"2020-03-11T11:07:00","modified_gmt":"2020-03-11T10:07:00","slug":"securite-en-e-commerce-mieux-faire","status":"publish","type":"post","link":"https:\/\/visionarymarketing.com\/fr\/2014\/03\/19\/securite-en-e-commerce-mieux-faire\/","title":{"rendered":"s\u00e9curit\u00e9 en e-commerce : peut mieux faire !"},"content":{"rendered":"

J’ai assist\u00e9 ce matin \u00e0 un atelier de la FEVAD<\/a> sur la s\u00e9curit\u00e9 des paiements et j’ai appris, mais pas d\u00e9couvert, que la s\u00e9curit\u00e9 est surtout une affaire d’ing\u00e9nierie humaine et que, bien que la sophistication technologique des fraudes aille croissante, c’est quand on m\u00e9lange les techniques d’escroquerie classiques avec la technologie que la lutte contre la fraude est la plus difficile. Un avertissement sans frais pour des ecommer\u00e7ants qui,en tr\u00e8s \u00e9crasante majorit\u00e9, ne prot\u00e8gent pas assez leurs sites et ne mettent pas leurs processus de s\u00e9curisation \u00e0 niveau … Sans parler des questions inutiles qu’ils se posent sur les obligations de PCI DSS<\/span><\/a> par exemple. Voici mon compte rendu (publi\u00e9 pour ecommerce1to1<\/span><\/span>) de cet atelier : <\/em><\/span><\/p>\n

\"s\u00e9curit\u00e9<\/a><\/p>\n

Une commission d\u00e9di\u00e9e \u00e0 la FEVAD<\/b><\/p>\n

Il y a une commission mon\u00e9tique \u00e0 la FEVAD qui sera \u00e9tendue pour inclure la s\u00e9curit\u00e9 des sites ecommerce. La pr\u00e9sentation de La FEVAD faisait aussi intervenir des professionnels du ecommerce et du paiement. Qui sont les suivants :<\/p>\n

\"Evernote<\/a><\/p>\n

Dans le d\u00e9sordre \u2026 Le panel : Fran\u00e7ois HELARD<\/strong> (Vp Southern europe, ADYEN), Patrick FLAMANT<\/strong> (Directeur France<\/a>, CYBERSOURCE ), Christophe MARIETTE<\/strong> (Directeur Commercial et Marketing, LYRA NETWORK ), (Nicolas PELLEGRIN, <\/strong>RESPONSABLE DE LA SECURITE<\/a> DES SI , vente-privee.com), Olivier BERNASSON<\/strong> (Pr\u00e9sident fondateur pecheur.com) <\/em><\/p>\n

Target<\/a> : 40% de CA en moins !<\/strong><\/p>\n

La s\u00e9curit\u00e9 des paiements occupe beaucoup les d\u00e9bats mais la probl\u00e9matique se d\u00e9place vers la s\u00e9curit\u00e9 des paiements du fait des r\u00e9cents \u00e9v\u00e9nements sur les vols de cartes et la fraude organis\u00e9e, sans cesse en croissance, et particuli\u00e8rement m\u00e9diatique dans le cas de Target au \u00c9tats Unis avec une baisse de 40% du chiffre d’affaires dans le dernier trimestre !<\/p>\n

Le parlement europ\u00e9en va aussi modifier la loi sur les donn\u00e9es priv\u00e9es et la protection des donn\u00e9es des clients avec des sanction qui pourront aller jusque 5% du chiffre d’affaires ! Cela va faire r\u00e9fl\u00e9chir plus d’un ecommer\u00e7ant, notamment les petits.<\/p>\n

45% des sites pourtant envoient les mots de passe en clair par mail, 87% des mots de passe non s\u00e9curis\u00e9s (123456 par exemple) et 83%ne bloquent pas les saisies apr\u00e8s 10 mots de passe erron\u00e9s, alors que 14% seulement des sites obligent \u00e0 m\u00e9langer chiffres et lettres dans les mots de passe. On le voit, la r\u00e9ponse des ecommer\u00e7ants \u00e0 la menace sur la s\u00e9curit\u00e9 des paiements est loin d’\u00eatre appropri\u00e9e.<\/p>\n

<\/p>\n

Ventes priv\u00e9es dans les meilleurs sites en termes de s\u00e9curit\u00e9<\/b><\/p>\n

Chez ventes priv\u00e9es, on est plut\u00f4t parmi les bons \u00e9l\u00e8ves et il y a une \u00e9quipe de 5 personnes \u00e0 la s\u00e9curit\u00e9 et Nicolas Pellegrin reporte directement au DG. Il y a par ailleurs trop de ecommer\u00e7ants qui partent du principe que les clients s’en moquent mais en fait c’est une mauvaise interpr\u00e9tation car selon M. Pellegrin, c’est surtout qu’ils font confiance au marchand pour faire le travail. Pecheur.com, au travers de son fondateur, reconna\u00eet quant \u00e0 lui que tout n’est pas encore fait chez lui mais insiste aussi sur le fait que le tableau n’est pas aussi noir qu’on croit.<\/p>\n

Le m\u00e9lange de hacking et de fraude classique : explosif !<\/b><\/p>\n

Dans le cas de Target cependant, les cons\u00e9quences sont pourtant dramatiques et l’entreprise ne s’en rel\u00e8vera probablement pas selon les panelistes. Mais il est faux de croire que le probl\u00e8me de la s\u00e9curit\u00e9 des paiements pour Target est d\u00fb \u00e0 l’Internet car la fraude a eu lieu via un malgr\u00e9 distribu\u00e9 en magasin. Aux \u00c9tats Unis, o\u00f9 la carte \u00e0 puce n’a pas encore en cours (elle sera introduite en 2015 !) la probl\u00e9matique de la s\u00e9curit\u00e9 est globale et ne peut \u00eatre r\u00e9duite \u00e0 Internet.<\/p>\n

PCI DSS est-il obligatoire ?<\/b><\/p>\n

Il semblerait qu’il y ait un flottement parmi les emarchands, quant \u00e0 l’obligation ou non d’\u00eatre conforme \u00e0 PCI DSS quand on est marchand. Fran\u00e7ois Helard d’Adyen a tranch\u00e9 ce d\u00e9bat. Un marchand doit se poser la question de savoir s’il r\u00e9cup\u00e8re les cartes chez lui et dans ce cas il est oblig\u00e9 d’\u00eatre en conformit\u00e9, et si la carte est r\u00e9cup\u00e9r\u00e9e par le PSP (Payment Service Provider<\/a>) il n est pas oblig\u00e9. \u00catre conforme PCI DSS c’est aussi accepter de courir un risque en cas de vol d’informations. En fait, la pertinence de cette conformit\u00e9 d\u00e9pend de la cat\u00e9gorie (le voyage serait un cas o\u00f9 cela serait plus utile que d’autres).<\/p>\n

En conclusion, m\u00eame si certains marchands semblent h\u00e9siter sur la n\u00e9cessit\u00e9 d’\u00eatre conforme PCI DSS, la question ne se pose pas vraiment. Ce qui est important est d’int\u00e9grer la s\u00e9curit\u00e9 des paiements dans les processus de l’entreprise car c’est un des fondements de la confiance du client dans son marchand.<\/p>\n

La fraude innovante <\/b><\/p>\n

Les fraudeurs sont tr\u00e8s innovants et cette soci\u00e9t\u00e9 est tr\u00e8s technologiquement avanc\u00e9e, cela a un impact sur la fraude \u00e9galement. Il y a 15 \u00e0 25% de refus, mais il faut comprendre les raisons de ces refus a dit Fran\u00e7ois Helard.<\/p>\n

Des mules pour frauder <\/b><\/p>\n

Olivier Bernasson a cit\u00e9 les \u00ab\u00a0mules\u00a0\u00bb qui re\u00e7oivent des colis dans les points relais et les renvoient dans des pays africains, par exemple, et notamment la C\u00f4te d’ivoire dans ce cas pr\u00e9cis. Une entreprise ivoirienne est m\u00eame all\u00e9e jusqu’\u00e0 passer de faux contrats de travail avec ces mules en France, au point que cette soci\u00e9t\u00e9 a \u00e9t\u00e9 condamn\u00e9e aux prud’hommes mais entretemps le ecommer\u00e7ant a perdu jusque 40k\u20ac de chiffre d’affaires. Il y a donc un m\u00e9lange d’escroquerie \u00e0 la carte bancaire (les achats se font par carte vol\u00e9e) et d’escroquerie classique. La fraude n’est plus seulement technologique, elle est aussi humaine, et c’est cela qui est plus difficile \u00e0 combattre.<\/p>\n

\"Evernote<\/a><\/p>\n

la s\u00e9curit\u00e9 vue par les ecommer\u00e7ants : peut mieux faire !<\/span><\/em><\/p>\n

Nicolas Pellegrin a m\u00eame indiqu\u00e9 le risque encouru par les entreprises du fait des donn\u00e9es disponibles dans les m\u00e9dias sociaux car les donn\u00e9es des employ\u00e9s peuvent \u00eatre utilis\u00e9es pour alimenter cette fraude. Ceci inclut \u00e9galement des sites de r\u00e9f\u00e9rencement de bilans comme societe.com<\/a>. Tous les leviers peuvent \u00eatre utilis\u00e9s par les fraudeurs, y compris l’allongement \u00eates d\u00e9lais de r\u00e9tractation qui sont en cours de r\u00e9vision (\u00e0 noter qu’en Allemagne, les paiements se font tous contre remboursement pour prot\u00e9ger le consommateur).<\/p>\n

Un dernier talon d’Achille \u00e0 noter, c’est la faiblesse de la s\u00e9curisation sur mobiles, car beaucoup d’\u00e9tapes, comme 3D Secure par exemple, ne sont pas disponibles. Il n’y a pas de solution absolue qui permette de fermer les yeux a dit Olivier Bernasson, car m\u00eame 3D Secure a des failles (en permettant d’acheter un autre objet pour un montant \u00e9quivalent avec l’interception d’un code envoy\u00e9 au moment d’un achat particulier). C’est pour cela qu’on voit des transactions bien marqu\u00e9es 3D Secure mais qui sont pourtant frauduleuses.<\/p>\n

La combinaison de ces fraudes tr\u00e8s sophistiqu\u00e9es aux m\u00e9thodes humaines cit\u00e9es ci dessus est v\u00e9ritablement inqui\u00e9tante et pose de gros soucis au d\u00e9veloppement du ecommerce.<\/p>\n

Related articles<\/h3>\n