Vous avez peut-être entendu parler de skimming, une méthode par laquelle les criminels trafiquent les guichets automatiques pour voler les informations de votre carte littéralement sous votre nez. Mais connaissiez-vous l’existence du skimming numérique ? Cet article explique tout ce que vous devez savoir sur le skimming traditionnel, numérique et RFID, et comment Avira Free Security peut renforcer votre protection contre le vol de données.
Qu’est-ce que le skimming ?
Le skimming est la capture non autorisée des données de carte bancaire, que ce soit par le biais de distributeurs automatiques de billets et de lecteurs de cartes (terminaux de point de vente) trafiqués ou de boutiques en ligne compromises. Dans les formes traditionnelles de skimming physique ou de shimming, les escrocs cherchent à s’emparer de votre code PIN ainsi que des données stockées sur votre carte, soit à partir de la bande magnétique (skimming), soit à partir de la puce EMV (shimming). En effet, la bande magnétique et la puce EMV contiennent de nombreuses informations importantes telles que le numéro de la carte (PAN, ou numéro de compte principal), la date d’expiration et parfois aussi le nom du titulaire de la carte. Ces informations peuvent ainsi être copiées sur la bande magnétique d’une carte contrefaite ou, dans le cas des cartes de crédit, utilisés pour des paiements en ligne. En revanche, votre code PIN et votre cryptogramme visuel (CVV/CVC) ne sont stockés ni sur la bande magnétique ni sur la puce.
Dans le cas du skimming RFID, les données sont capturées sans fil à partir de cartes compatibles NFC. Avec le skimming numérique, les escrocs volent les données de carte de crédit pendant le processus de paiement sur des boutiques en ligne compromises. Les gains potentiels sont ici nettement plus importants, car l’escroc peut non seulement intercepter les numéros de cartes de crédit et les dates d’expiration, mais aussi les cryptogrammes visuels, les noms et d’autres données personnelles (telles que les adresses, les adresses e-mail et les numéros de téléphone). Les escrocs peuvent ensuite faire des achats en ligne, souscrire des abonnements, vendre vos données sur le Dark Web, ou même usurper votre identité.
Skimming traditionnel et shimming
Le skimming physique implique la capture d’informations à partir des bandes magnétiques des cartes de crédit ou de débit (telles que Visa/Mastercard Debit) et l’enregistrement de la saisie des codes PIN à l’aide de distributeurs automatiques ou de lecteurs de cartes truqués. Les voleurs de données peuvent ensuite créer des cartes dupliquées et les utiliser avec le code PIN pour payer ou retirer de l’argent, mais pas au sein de l’UE.
Les cartes qui n’ont qu’une bande magnétique ne fonctionnent plus dans l’UE, car toutes les transactions sont désormais traitées via la puce EMV intégrée. Contrairement à la bande magnétique, cette puce contient non seulement des données statiques mais aussi des clés cryptographiques, qui sont utilisées pour générer des codes dynamiques pour chaque transaction et qui ne peuvent pas être lues. Toutefois, en dehors de l’Union européenne, les distributeurs automatiques de billets et les lecteurs de cartes n’ont pas encore été entièrement convertis à la norme EMV, de sorte que la bande magnétique fonctionne encore partiellement comme solution de repli.
Le shimming est le successeur du skimming traditionnel. Il s’agit de la réponse des cybercriminels à l’évolution de l’industrie vers la sécurité EMV, où ils tentent d’intercepter les données statiques stockées sur la puce EMV. Comme la puce est chiffrée et ne peut pas être copiée, les escrocs utilisent généralement les données volées pour des escroqueries en ligne ou pour créer de simples copies de bandes magnétiques pour les lecteurs de cartes obsolètes et les distributeurs automatiques qui acceptent encore les cartes avec des bandes magnétiques.
Dispositifs de skimming
Les dispositifs de skimming suivants, ou skimmers, peuvent être utilisés pour copier les cartes aux distributeurs automatiques ou aux lecteurs de cartes :
- Skimmer monté sur le dessus : Avec cette méthode, les escrocs placent un lecteur de carte devant la fente de la carte et l’utilisent pour capturer les informations stockées sur la bande magnétique de la carte.
- Shimmer : Il s’agit de la version moderne du skimmer monté sur le dessus, à savoir un module de skimming mince et flexible installé directement dans la fente de la carte, de sorte qu’il n’est pas visible. Il intercepte et enregistre la communication entre la puce EMV et le lecteur.
- Mini-caméras cachées : Elles sont généralement situées dans une bande au-dessus du clavier ou dans l’écran de confidentialité des guichets automatiques et vous enregistrent en train de saisir votre code PIN.
- Skimmer de clavier : De fins accessoires sont fixés avec précision sur le clavier et enregistrent tout ce que vous saisissez, y compris votre code PIN. Les données sont soit stockées électroniquement, soit transmises sans fil aux criminels.
Heureusement, la plupart des banques cherchent à empêcher toute altération de leurs distributeurs automatiques, en les équipant de modules anti-skimming, de capteurs et de brouilleurs.
Skimming RFID
Avec le skimming RFID, les criminels utilisent des lecteurs portables ou des smartphones spécialement préparés pour lire les données des cartes de crédit ou de débit dotées de la technologie NFC lorsqu’ils passent à proximité. NFC (Near Field Communication) est une norme de transmission internationale basée sur la technologie RFID (Radio Frequency Identification) pour l’échange de données sans contact sur de courtes distances. Comme la puce EMV des cartes de paiement sans contact modernes est activée par le champ magnétique d’un lecteur dès qu’elle s’approche d’un champ de lecture, il est possible d’accéder à des informations sans contact physique avec la carte.
Heureusement, la norme EMV offre toujours une protection solide. Les clés cryptographiques, le cryptogramme visuel et le code PIN requis pour les paiements n’étant pas transmis, cela rend les données volées pratiquement inutiles. Les escrocs utilisent principalement les détails de la carte de crédit (comme le numéro de la carte et sa date d’expiration) qu’ils ont obtenus sans fil pour effectuer des achats dans des boutiques en ligne non sécurisées qui ne demandent pas le CVV/CVC de la carte ou qui n’utilisent pas l’authentification à deux facteurs (2FA).
En outre, l’appareil de lecture de l’escroc doit se trouver à proximité de la carte, c’est-à-dire à quelques centimètres près. En plus de cela, lorsque plusieurs cartes compatibles NFC sont conservées ensemble dans un portefeuille, elles peuvent interférer entre elles et bloquer les signaux sans contact.
Conseil pratique : Avec des services comme Apple Pay ou Google Pay, un numéro de compte d’appareil virtuel (DAN) distinct est généré pour chaque carte stockée dans le portefeuille, qui est chiffré et stocké sur l’appareil mobile. Pour les paiements (sans contact et en ligne), un jeton de paiement basé sur le DAN est transmis au lieu du numéro de carte réel. Les données ne sont transférées qu’une fois l’appareil déverrouillé à l’aide d’une forme d’approbation biométrique (empreinte digitale ou visage) ou de la saisie du code PIN de votre appareil. Il est donc pratiquement impossible pour quelqu’un de lire secrètement vos données en passant à côté de vous.
Pour en savoir plus sur la fraude par skimming avec les cartes NFC, consultez notre article.
Skimming numérique
Le skimming numérique est un type d’attaque où les données de paiement sont secrètement capturées sur les sites de commerce électronique, ce qui entraîne une fuite de données. Il s’agit d’un type de menace de cybersécurité qui porte également les noms de skimming web, e-skimming, skimming en ligne, formjacking ou attaque Magecart. Les trois premiers termes font référence au type ou au lieu de l’événement, tandis que le formjacking fait référence à la méthode technique la plus couramment utilisée.
En revanche, Magecart a un passé historique. Il est issu de la plateforme open-source Magento et du terme « shopping cart » (panier en anglais). Ce logiciel de boutique en ligne a été l’une des principales cibles d’un groupe de pirates informatiques qui, à partir de 2015, a compromis de nombreuses boutiques en ligne bien connues via des attaques de formjacking (détournement de formulaire). C’est pourquoi le groupe et ce type d’attaque sont appelés Magecart, bien qu’aujourd’hui toutes sortes de plateformes de commerce électronique puissent être touchées. En bref, tout site web qui accepte les paiements en ligne est une cible potentielle pour les attaques de skimming numérique.
Voies d’infection et méthodes d’attaque
Les boutiques en ligne sont compromises par l’injection d’un code JavaScript malveillant. Cela permet de capturer les détails des cartes de crédit des utilisateurs en temps réel et de les envoyer à un serveur contrôlé par le cybercriminel.
Les pirates exploitent divers points d’entrée pour y parvenir, notamment :
- Vulnérabilités dans l’application web : Le code malveillant est intégré au site web et exécuté dans le navigateur de l’utilisateur par le biais de techniques telles que le cross-site scripting (XSS) ou l’exploitation d’autres vulnérabilités.
- Attaques de la chaîne d’approvisionnement : Dans le cadre de ces attaques, le code malveillant est injecté dans le site web par le biais de scripts tiers infectés (tels que des widgets de chat ou des bibliothèques) et est ensuite transmis au navigateur de l’utilisateur.
Les pirates utilisent diverses techniques pour intercepter les données des cartes de crédit des clients, quelle que soit la façon dont le code malveillant pénètre dans la boutique.
- Formjacking : Les pirates informatiques utilisent cette méthode pour injecter un code JavaScript malveillant directement dans le formulaire de paiement d’une boutique en ligne.
- Redirection vers un formulaire malveillant : Dans ce scénario, les cybercriminels manipulent le processus de paiement des boutiques en ligne compromises, en redirigeant les clients vers une page de paiement externe très convaincante pendant le processus de paiement. Les données de carte saisies sont interceptées avant que l’utilisateur ne soit redirigé vers la boutique légitime.
- Insertion d’un formulaire malveillant : Les pirates injectent un faux formulaire de paiement dans les boutiques en ligne qui le chargent dynamiquement à partir d’un fournisseur de services, car elles ne disposent pas de leur propre formulaire. Les données de carte saisies sont envoyées directement aux escrocs sans que l’utilisateur ne quitte la page de la boutique.
Vol de données par le biais de malwares et d’applications malveillantes
Outre le skimming numérique, il existe d’autres techniques que les escrocs peuvent utiliser pour mettre la main sur les données de paiement.
- Malware de récupération de données en mémoire/extracteurs de RAM : Dans ce cas, les criminels infectent les lecteurs de cartes avec des malwares. Ce logiciel recherche spécifiquement dans la mémoire de la caisse enregistreuse les données de paiement qui sont brièvement traitées en texte clair au cours du processus de paiement et les extrait. Les terminaux modernes chiffrant généralement les données directement dans le lecteur (chiffrement point à point), cette méthode est principalement utilisée dans les systèmes plus anciens ou les installations non sécurisées où un délai existe entre le moment où les données de la carte sont lues et le moment où elles sont chiffrées.
- Enregistrement de frappe : Les enregistreurs de frappe enregistrent toutes vos frappes de touche pour voler vos informations sensibles comme les mots de passe, les codes PIN ou les détails de ton compte. Le malware est généralement installé sur un appareil par le biais de pièces jointes malveillantes, de mises à jour logicielles manipulées ou de téléchargements infectés.
- Applications manipulées : Il s’agit d’applications légitimes qui ont été infectées par un code malveillant par le biais de mises à jour compromises ou de vulnérabilités. Les fausses applications fonctionnent comme d’habitude tout en récoltant secrètement des données sensibles telles que des informations de connexion ou de paiement.
Comment éviter les escroqueries de skimming ?
Ces conseils vous permettront de renforcer votre protection non seulement contre le skimming physique et numérique, mais aussi contre d’autres cyberattaques visant vos données de paiement :
- Faites attention aux objets inhabituels ou à tout ce qui semble suspect sur les distributeurs de billets, et couvrez toujours le clavier avec votre main lorsque vous saisissez votre code PIN.
- Vérifiez régulièrement vos relevés bancaires pour détecter toute transaction inhabituelle.
- Utilisez les distributeurs automatiques de billets situés à l’intérieur de la banque plutôt qu’à l’extérieur, car ils sont surveillés par des caméras, régulièrement contrôlés par le personnel, et les escrocs ne peuvent pas facilement y installer des dispositifs de skimming à l’insu de tous.
- Utilisez des pochettes de protection NFC spéciales ou des portefeuilles avec des bloqueurs RFID intégrés pour protéger physiquement les ondes radio des cartes compatibles NFC et empêcher le skimming RFID.
- Utilisez de préférence des services comme PayPal, Apple Pay ou Google Pay pour effectuer des paiements en ligne, car ils ne transfèrent pas les détails de votre carte de crédit au détaillant.
- Activez les alertes de transaction dans votre application bancaire. Vous recevrez alors des notifications push pour toutes les activités de votre compte, ce qui vous permettra de repérer rapidement les transactions suspectes et de prendre des mesures immédiates.
- Lorsque vous effectuez des paiements en ligne, assurez-vous de ne pas être sur un faux site web. Vérifiez toujours soigneusement l’adresse du site avant d’entrer vos données de paiement sur un site web.
- Si vous payez en ligne par carte de crédit, n’enregistrez jamais vos données de paiement dans votre compte en ligne. Bien que cela ne protège pas contre le skimming numérique, cela minimise le risque que vos données tombent entre de mauvaises mains si le détaillant subit une fuite de données.
- N’utilisez jamais les points d’accès Wi-Fi publics pour des transactions en ligne, car des cybercriminels peuvent les utiliser pour voler les données de votre carte, notamment via des attaques de type « Man-in-the-middle ».
- Renseignez-vous sur les escroqueries les plus courantes en consultant notre article sur les escroqueries bancaires en ligne.
Que faire si vous avez été victime d’une escroquerie par skimming ?
Si vous remarquez des paiements, des débits ou des retraits inhabituels et que vous pensez avoir été victime d’une escroquerie par skimming, contactez immédiatement votre institution financière. Faites bloquer votre carte et signalez l’incident afin d’initier une rétrofacturation. Vous devrez également porter plainte auprès de la police, même si le montant en jeu est relativement faible.
Protégez-vous contre le vol de données avec Avira Free Security.
Avira Antivirus Security peut renforcer la protection de vos données financières et autres informations sensibles. En plus de l’antivirus et de la protection des téléchargements, la solution de cyberprotection comprend Avira Browser Safety pour bloquer les sites web infectés et les sites de phishing car les attaques de phishing ciblent souvent vos informations de paiement.
Avira Free Security comprend également un VPN qui chiffre le trafic de données sur les points d’accès Wi-Fi publics, renforçant ainsi la sécurité lors de la transmission d’informations sensibles lors d’opérations bancaires ou d’achats en ligne. En outre, vous pouvez utiliser le gestionnaire de mots de passe pour protéger vos différents comptes en ligne avec des mots de passe uniques et générer des codes d’authentification à deux facteurs.
