Qu’est-ce que le skimming ?

Le skimming est un modèle d’attaque dit de « l’homme du milieu ». Cette méthode de fraude consiste à lire et à copier des données de cartes bancaires à l’insu de l’uti­li­sa­teur. L’objectif est de retirer de l’argent ou d’effectuer des tran­sac­tions illégales avec les données volées.

Comment fonc­tionne le skimming ?

Le skimming implique la lecture et la copie des données de la bande mag­né­tique ou de la puce d’une carte de crédit ou d’une carte EC aux dis­tri­bu­teurs au­to­ma­tiques de billets. Les criminels ma­ni­pu­lent ces guichets au­to­ma­tiques de dif­fé­rentes manières, par exemple en ins­tal­lant un lecteur sup­plé­men­taire di­rec­te­ment sur le lecteur de carte ou même sur les portes d’accès aux agences bancaires, où une carte est souvent requise. Pour capturer le code PIN, des caméras sont souvent dis­si­mu­lées, notamment dans les baguettes en plastique au-dessus du clavier du dis­tri­bu­teur au­to­ma­tique de billets. Ces dis­po­si­tifs sont souvent si bien dis­si­mu­lés qu’ils échappent même à la vigilance des uti­li­sa­teurs attentifs. Par ailleurs, l’uti­li­sa­tion fréquente de claviers falsifiés permet d’en­re­gis­trer la saisie du code PIN. Il existe même des méthodes employant des caméras ther­miques pour en­re­gis­trer le code PIN qui vient d’être saisi.

Le skimming peut également se produire dans d’autres lieux tels que les stations-service, les changeurs de monnaie, et lors des paiements en magasin. Dans ces si­tua­tions, la carte est lue par un deuxième appareil frau­du­leux, sans que le titulaire en soit informé. Une fois les données de la carte col­lec­tées, elles sont trans­fé­rées sur une carte vierge, souvent appelée « White Plastic ». En utilisant ce duplicata de carte ainsi que le code PIN, les criminels peuvent effectuer des retraits d’argent et réaliser des paiements. Si le skimming est possible, c’est parce que les données sur la bande mag­né­tique sont librement ac­ces­sibles et ne sont pas protégées par la carte elle-même comme c’est le cas avec les cartes à puce modernes.

Comment se protéger contre le skimming ?

La plupart des banques essaient de détecter et d’empêcher à temps les ma­ni­pu­la­tions des dis­tri­bu­teurs au­to­ma­tiques de billets en les équipant de modules anti-skimming. Il s’agit de tech­no­lo­gies spéciales qui sont intégrées dans les terminaux de retrait d’argent afin de détecter et d’empêcher les éven­tuelles ten­ta­tives. Dif­fé­rentes tech­no­lo­gies peuvent être utilisées à cet effet :

• Brouil­lage de la saisie des données : certains modules émettent en per­ma­nence des signaux de brouil­lage qui empêchent un appareil mal­veil­lant de lire les données de la bande mag­né­tique d’une carte.
• Barrières physiques : certains modules anti-skimming per­met­tent d’empêcher les appareils de se fixer sur le chargeur de carte.
• Capteurs et sur­veil­lance : les modules avancés utilisent des capteurs et des caméras pour détecter les activités in­ha­bi­tuelles sur les dis­tri­bu­teurs au­to­ma­tiques de billets. En cas de doute, le guichet au­to­ma­tique peut même se mettre hors service.
• Analyse du champ mag­né­tique : certains systèmes anti-skimming fonc­tion­nent avec des bobines d’induction qui mesurent le champ mag­né­tique dans la zone de la fente de la carte et peuvent ainsi détecter les mo­di­fi­ca­tions apportées par les appareils de skimming.

En principe, il est important d’être toujours vigilant et de prendre dif­fé­rentes pré­cau­tions pour éviter que les données de votre carte ne soient volées :

• Masquer la saisie du PIN : couvrez le clavier avec l’autre main lors de la saisie du code PIN.
• Vigilance : faites attention à toute anomalie sur le dis­tri­bu­teur au­to­ma­tique de billets ou le terminal de paiement, par exemple des fentes pour cartes mal fixées ou de taille in­ha­bi­tuelle, ou tout autre ac­ces­soire in­ha­bi­tuel.
• Contrôle régulier : contrôlez ré­gu­liè­re­ment les extraits de compte et informez im­mé­dia­te­ment la banque en cas de retraits ou de tran­sac­tions inconnus.
• Mise à jour des cartes : si possible, utilisez des cartes avec une puce EMV, car elles sont plus dif­fi­ciles à copier que les cartes à bande mag­né­tique tra­di­tion­nelles.
• Payer sans contact : utilisez des cartes sans contact ou des ap­pli­ca­tions de paiement mobile comme Google Pay pour réduire le risque de skimming.
• Éviter les réseaux Wi-Fi publics : soyez prudent lorsque vous utilisez des réseaux Wi-Fi publics, car ils pour­raient être utilisés par des criminels pour récupérer les données de votre carte.

Comment re­con­naître que l’on a été victime de skimming ?

Le skimming peut parfois être difficile à détecter. Il existe néanmoins quelques signes qui peuvent indiquer que vous avez été victime de ce type de fraude. Pour cela, il est in­dis­pen­sable de vérifier ré­gu­liè­re­ment vos relevés de compte. Des pré­lè­ve­ments inconnus et inex­pli­cables sont un indice certain de skimming ou du fait que quelqu’un a accédé à votre compte sans votre con­sen­te­ment. Par ailleurs, des achats en ligne dont vous n’avez pas con­nais­sance peuvent également indiquer que vous avez été victime de skimming.

Que faire si vous êtes victime de skimming ?

Si vous pensez avoir été victime de skimming, vous devriez agir ra­pi­de­ment. Certes, les activités in­ha­bi­tuelles sont souvent déjà détectées au­to­ma­ti­que­ment par les systèmes de sécurité des banques, mais si ce n’est pas le cas, vous devriez prévenir im­mé­dia­te­ment votre banque de toutes activités suspectes. Cela peut con­tri­buer à limiter les dommages fi­nan­ciers. Les étapes suivantes sont re­com­man­dées :

• Ver­rouil­ler la carte : c’est la première étape et la plus im­por­tante. Contactez im­mé­dia­te­ment votre banque ou votre société de cartes de crédit pour faire bloquer votre carte. La plupart des banques proposent une as­sis­tance 24h/24 à cet effet.
• Dépôt de plainte : portez plainte auprès de la police pour fraude à la carte bancaire. Cela aide les autorités de poursuite pénale à iden­ti­fier les auteurs de l’in­frac­tion et peut vous apporter un soutien juridique.
• Changer les mots de passe : si vous soup­çon­nez que d’autres données per­son­nelles ont également été volées, vous devriez im­mé­dia­te­ment changer les mots de passe im­por­tants, en par­ti­cu­lier ceux utilisés pour les opé­ra­tions bancaires en ligne. Une pos­si­bi­lité pour une meilleure pro­tec­tion est ce que l’on appelle un mot de passe à usage unique.
• Mesures pré­ven­tives : ré­flé­chis­sez à la manière dont vous pouvez empêcher les futures ten­ta­tives de skimming. Cela pourrait consister à utiliser des méthodes de paiement sans contact, à vérifier l’état des dis­tri­bu­teurs au­to­ma­tiques de billets ou à con­fi­gu­rer des no­ti­fi­ca­tions sur votre ap­pli­ca­tion bancaire pour chaque tran­sac­tion.

Même si l’incident a été élucidé, il convient de rester vigilant. À côté du phishing et des autres méthodes de scamming, le skimming n’est qu’une des nom­breuses méthodes d’es­cro­que­rie. Une vigilance accrue peut vous protéger contre de futures pertes fi­nan­cières.