Cette nouvelle arnaque en Suisse est presque «impossible» à détecter
Des données de carte bancaire à la place d'un souper: des escrocs ont récemment piraté la page de paiement d'un service de livraison de repas. L'Office fédéral de la cybersécurité (OFCS) met en garde contre cette arnaque connue sous le nom de «skimming» et donne des conseils pour s'en protéger.
Comment procèdent les escrocs?
Les pirates cités par l'OFCS ont injecté un code malveillant dans le site web légitime du prestataire concerné. Ce code a remplacé le mode de paiement Twint proposé à l’origine par une fausse option de «paiement par carte bancaire». Lorsque les clients sélectionnaient cette option, une fenêtre s’ouvrait pour leur demander de saisir les données de leur carte. L'office fédéral fait remarquer que le libellé était en anglais, alors que le reste de la page était en allemand.
Les données saisies étaient alors directement transmises aux fraudeurs. Afin de ne pas éveiller les soupçons, un message d’erreur s’affichait ensuite. Celui-ci indiquait que le paiement par carte bancaire était encore en phase de test et que les clients devaient utiliser Twint à la place.
Quelle différence avec le phishing?
Dans cette méthode de «skimming», les données sont volées sur un site internet authentique. Cela contraste avec le phishing, qui utilise quant à lui des sites web falsifiés.
Comment protéger son site?
Selon l'OFCS, sans connaissances spécialisées, il est «très difficile, voire impossible» de détecter une telle manipulation. Il est donc d’autant plus important que les exploitants de sites web ou de boutiques en ligne assument leurs responsabilités afin de protéger leurs clients et de garantir une expérience d’achat sécurisée.
Tous les correctifs de sécurité doivent être installés régulièrement. De plus, tous les composants du système doivent être constamment à jour, précise l'OFCS. Le bon fonctionnement du processus de paiement doit être vérifié périodiquement afin de détecter d’éventuelles anomalies, par exemple grâce à des tests automatisés ou des outils de surveillance.
Pour tous les comptes d'administration, les exploitants doivent par ailleurs utiliser des mots de passe forts et uniques. L'authentification à deux facteurs est également recommandée.
Afin d’empêcher que des scripts tiers ne soient chargés sur leur propre site web, les exploitants doivent également mettre en place une politique de sécurité du contenu (CSP) restrictive. Cela leur permet de définir précisément à partir de quelles sources le navigateur est autorisé à exécuter du JavaScript et vers quelles destinations les données peuvent être transmises.
Que peuvent faire les victimes?
En cas de prélèvement inexplicable sur une carte de crédit après un achat en ligne, les clients doivent envisager la possibilité que le site web ait été victime de skimming, même s’il s’agit d’une boutique connue et digne de confiance.
Les transactions frauduleuses doivent en outre être contestées sans délai auprès de la banque ou de l’émetteur de la carte de crédit afin de pouvoir réclamer le remboursement des sommes prélevées. Un tel incident doit également être signalé à l'OFCS, ainsi qu’aux exploitants de la boutique en ligne.
En cas de préjudice financier, il est recommandé de porter plainte auprès de la police cantonale compétente. Le poste de police approprié peut être facilement trouvé via la plateforme Suisse ePolice. (jzs/ats)