Dossier : piratage de carte bancaire

            On entend souvent parler de personnes qui se sont fait voler une somme astronomique d’argent après avoir fait des courses sur internet. S’ensuit alors une paranoïa qui empêche tout achat sur internet chez certaines personnes. Je pense qu’il est important de comprendre comment ce genre de piratages fonctionnent pour être rassuré et pouvoir se remettre à acheter en ligne avec plus de confiance et sachant ce qu’on fait et ce qu’on risque réellement.
Tout d’abord il existe différents moyens de voler un numéro de carte bancaire, ensuite un numéro a plusieurs exploitations une fois volé, enfin il y a des précautions qui permettent de minimiser le risque de vol au maximum.

I. Voler un numéro  de carte bancaire
            Voler le code de carte bleu de quelqu’un sur internet équivaut à arracher le sac à main qu’une vieille vous tendrait. C’est pourquoi il faut savoir ne pas tendre son sac à main.
En effet il est bon de s’informer sur les méthodes qu’utilisent les pirates informatiques pour nous dépouiller. Les techniques sont nombreuses, il est certain que beaucoup d’entre elles m’ont échappées mais en voici quelques unes :

            A. Le phishing (ou hameçonnage ou filoutage)
            Le phishing est la méthode la plus simple utilisée pour voler des CB. Il consiste à mettre en ligne une page Web sur un site bidon ayant une adresse comportant le nom d’une banque ou d’un site marchand dans laquelle on demande à l’internaute d’inscrire son numéro de carte bancaire pour une raison quelconque.
            Les sites de phishing sont très répandus et très nombreux, il en existe pour presque toutes les banques. Dieu merci la chasse contre ce genre de sites par la police est très active.
Toutefois il en reste énormément en ligne. C’est pourquoi il faut ne jamais remplir de formulaire avec son numéro de carte bancaire autrement que lorsqu’on finalise un achat en ligne, et il faut toujours vérifier que l’adresse du site web sur lequel on se trouve n’est pas bidon. De plus une banque ne demande jamais à ses clients de donner leur numéro de carte bancaire en ligne autrement que lors d’un achat.

            Pour se protéger il existe aussi des filtres anti-phishing comme celui de Windows Internet Explorer 7 qui vérifie si le site sur lequel vous vous trouvez ne fait pas partie d’une liste de sites bidon. Il est donc judicieux d’activer ce filtre quand vous faites vos courses en ligne. Certains antivirus contiennent aussi des solutions anti-phishing.
            Bref, pour éviter d’être prit à ce genre de pièges, lorsque vous recevez un mail provenant en apparence de votre banque vous donnant un lien menant sur le site de votre banque, sur lequel on vous demande votre numéro de CB, et bien NE LE DONNEZ SURTOUT PAS ! En cas de réel problème votre banque vous enverra un courrier postal.

            B. Le Spyware ou Keylogger
            Solution plus complexe pour le pirate mais qui ne nécessite pas  d’intervention de l’utilisateur : le logiciel espion. Celui-ci peut se présenter sous diverses formes.  La plupart du temps on ne remarque même pas sa présence et il peut être indétecté ou indétectable par un antivirus. Il enregistre chaque frappe de votre clavier et les renvois vers un serveur pirate. Ou les frappes sont analysées directement sur votre ordinateur pour trouver une suite de frappe qui pourrait correspondre à votre numéro de carte, ou bien cela se fait directement sur le serveur du pirate qui du même coup récupère tous vos mots de passes. Cette solution est très efficace et peut être plus ou moins combattue à l’aide d’un antivirus ; il est conseillé d’utiliser un bon pare-feu qui contrôle chaque accès à Internet par les logiciels s’exécutant sur votre ordinateur.
            Souvent ce genre de virus se propage via le logiciel Internet Explorer grâce aux contrôles ActiveX. N’acceptez pas de contrôles ActiveX ne venant pas d’un éditeur d’antivirus ou de microsoft.
            Il existe aussi des Keylogger hardware (photo ci-dessous) qu'on branche entre le clavier et l'ordinateur; il permettent une indétection totale par l'ordinateur.

            C. Le Social Engineering
            Le Social Engineering ou Ingénierie Sociale en français est une méthode qui peut s’avérer efficace dans certains cas, mais qui demande un investissement très important au pirate sans assurance d’arriver un jour à ses fins. Le principe est simple : le pirate entre en contact avec sa victime par Internet (mail, chat, etc.), par téléphone ou même dans la vie réelle de façon a lui extorquer des informations permettant ou de trouver son mot de passe Email ou carrément votre mot de passe Ebay ou Paypal si ce n’est pas le même. Les informations qu’il réussira à vous extorquer peuvent aussi lui permettre de découvrir la question secrète de votre adresse Email, et par la même occasion il pourra demander des mails de rappel du mot de passe sur tous les sites sur lesquels vous êtes inscrits, y compris les sites où vous avez laissés vos numéros de cartes bancaires.
            Evidemment il n’existe pas de logiciels pour se protéger de ce genre d’attaques, mais il faut faire attention. Une sécurité peut consister en mettre une question secrète sur son Email qui veut rien dire et que vous-même ne pouvez pas retrouver (évidemment faut pas oublier son mot de passe après), et a ne pas mettre les mêmes mots de passes sur tous les sites sur lesquels vous êtes inscrits. Et enfin faites attentions aux gens que vous rencontrez sur le net et qui sont un peu trop curieux, sans tomber pour autant dans la paranoïa.

            D. Le piratage de site de commerce
            La dernière technique employée, et ce n’est pas la plus courante je pense les précédentes sont largement plus utilisées, est le piratage de sites de commerce. En effet certains sites de commerce en ligne conservent votre numéro de carte bancaire en mémoire pour que vous n’ayez pas à entrer celui-ci à chaque fois que vous faites un achat. Si un pirate arrive à s’introduire dans la base de données de l’un de ses sites il peut s’emparer de tous les numéros de cartes bancaires en mémoire sur ce site.
            Pour se protéger de ce type de piratage, ne laissez pas votre numéro de carte bancaire en mémoire dans la base de données d’un site, ou du moins pas sur des sites absolument sûrs dont puissiez être certains qu’il n’y aura pas de piratage ou que vous n’aurez pas de problème à être dédommagé en cas de vol.

            E. Les packets sniffers
            Les  « packets sniffers » ou renifleurs  de paquets sont des logiciels permettant d’intercepter sur un réseau local les données en transit entre les ordinateurs du réseau, et donc les données envoyées aux sites sur lesquels les ordinateurs du réseau naviguent. Donc un Sniffer, sans être installé sur votre ordinateur peut très bien récupérer vos mots de passe et numéros de carte bancaire en analysant les données en transfert sur le réseau.

            Pour se protéger de cela tout d’abord il faut installer un antivirus sur chaque ordinateur du réseau local, ainsi qu’un pare-feu sur l’ordinateur du réseau qui est connecté au net de façon à ce qu’aucun sniffer ne puisse s’installer ou transférer les données recueillies.
            Chose importante aussi, lorsque vous fournissez votre numéro de CB à un site vérifier que vous êtes sur un site sécurisé : l’adresse doit commencer non pas par « http » mais par « https » (http Sécurisé). Enfin utilisez de préférence un autre navigateur qu’internet explorer qui reste celui dont les paquets sont les plus analysés.

II. Où se retrouve mon numéro de CB une fois piraté ?

            Comme vous avez pu le constater il existe beaucoup de techniques pour voler un code de carte bancaire. Les utilisations de ces numéros sont diverses

            A. Utilisation personnelle
            Souvent quand un numéro de carte bancaire est piraté le pirate se fait plaisir dessus, mais généralement dans une moindre mesure car il ne peut pas se permettre de commander à son domicile des objets avec une carte volée. Les CB volées servent souvent sur le net à payer des services comme des achats de noms de domaines ou la visite de sites X qui peuvent se faire anonymement. Evidemment il existe des techniques pour détourner l’argent mais je ne connais pas ces procédés, je ne m’attarderais donc pas là-dessus.

            B. Le partage
            Cela peut paraître incroyable mais des numéros de cartes bancaires authentiques circulent sur le net et notamment sur les chats où traînent de nombreux pirates ou apprentis pirates. Evidemment dès qu’un code encore valide atterri dans un salon, la compte est pillé en moins de temps qu’il ne faut pour le dire par toutes les personnes qui font leurs petites courses avec. C’est pour cela qu’une fois qu’on se rend compte qu’un débit louche a été effectué sur sa carte bleu il est important de faire opposition très rapidement auprès de la banque ; qui sait, les assurances ne vous rembourseront sûrement pas tout si vous  vous êtes fait saigné.

III. Se protéger

            A. Mode parano
            Si vous êtes complètement paranoïaque et omnibulé par la sécurité de votre compte bancaire une solution consiste en l’utilisation de systèmes ultra sécurisés :
Installez une distribution de linux sur votre ordinateur, vous éviterez ainsi les virus et spywares qui n’existent pas sous Linux, les contrôles ActiveX foireux, qui n’existent pas sous linux non plus. Connectez directement votre ordinateur à internet sans passer par un réseau vous éviterez ainsi les packets sniffers et ne donnez votre code que sur des sites sécurisés (https).

            B. Plus soft
            Plus généralement contentez-vous de bien maintenir votre réseau local à jour, faites les mises à jours de Windows régulièrement, installez un antivirus et un pare-feu par ordinateur, faites des scans complets de l’ordinateur très souvent car les protections en temps réel ne font pas toujours bien leur boulot. Evitez le plus possible de faire mumuse avec les logiciels de p2p et les cracks pour logiciels et jeux qui trimbalent souvent des virus. N’utilisez pas Internet Explorer pour faire vos courses sur internet, ce logiciel est souvent la cible des pirates. Utilisez de préférence Mozilla Firefox  ou un autre navigateur et évitez au maximum de laisser votre numéro traîner en mémoire sur des sites Web. Méfiez-vous des mails que vous recevez qui vous demandent d’entrer des infos personnelles ou des mots de passes sur des sites, même si ceux-ci n’ont pas l’air louches. Faites aussi attention aux questions que vous posent les gens sur le net, pensez à vérifier s’ils ne sont pas carrément entrain de vous demander la réponse à votre question secrète d’adresse Email.

           

            En conclusion pirater une carte bancaire n’est pas forcément ce qu’on croit et il reste assez simple de se protéger. Il faut savoir qu’un site ne garde pas forcément en mémoire votre numéro : la transaction est faites en live, le code n’est enregistré nulle part.

Retour aux dossiers