Contrairement aux idées reçues, les fraudeurs ne s’attaquent pas qu’aux sites bien populaires/connus. En réalité, les fraudeurs ciblent préférentiellement les nouveaux sites, sachant que leurs gérants sont peu expérimentés, pas encore aguerris.
Si cette information est importante, c’est notamment car les conséquences financières sont en fait très souvent supportées par le vendeur (le consommateur étant techniquement et juridiquement plutôt bien protégé s’il achète auprès d’un vendeur officiel situé en Europe). En effet, les contrats avec les prestataires de paiement répercutent souvent la fraude sur le vendeur.
Heureusement, la généralisation du 3D Secure et plus globalement la Directive DSP 2 sur les services de paiement imposent une authentification « forte », avec au moins 2 systèmes différents de validation des opérations : mot de passe, empreinte digitale, Digipass ou smartphone. Cela diminue sensiblement le risque lors de transactions intracommunautaires.
Cependant, les mauvaises surprises arrivent encore fréquemment pour des opérations impliquant un continent différent (pays du détenteur de la carte – pays où s’est déroulée l’opération – pays où est livré le colis).
Il est recommandé d’adopter les mêmes réflexes de prudence en ligne qu’en magasin physique (au comptoir, un billet de banque est contrôlé pour éviter de rendre de la monnaie sur un faux billet).
Les bonnes pratiques consistent à :
- adopter un comportement préventif
- Notamment en ne validant pas automatiquement et aveuglément les opérations, en souscrivant à un outil technique de détection d’opérations suspectes, en redoublant de prudence lors de transactions internationales…
- réagir en cas de fraude
- Ce qui implique notamment de se réserver des preuves fiables (de retrait du colis, d’horodatage, de logs au serveur…) pour pouvoir documenter l’incident lors du dépôt de plainte auprès de la Crime Computer Unit
- veiller à la sécurité informatique des ordinateurs et smartphones utilisés par votre entreprise
- En effet, le plus facile pour un hacker n’est pas de tenter de trouver une faille dans le serveur d’un webshop, mais plutôt de faire du phishing puis de réutiliser le mot de passe sur la plateforme, ou d’installer un logiciel espion sur l’ordinateur de l’e-commerçant pour intercepter le mot de passe tapé, voire encore plus simplement en y allant à l’aléatoire ce qui peut réussir si le mot de passe n’est pas assez complexe