3D Secure : VISA et Mastercard deviennent plus sûrs

Dès 2000, VISA a développé une procédure pour rendre l’utilisation des cartes de crédit sur Internet plus sûre. L’entreprise utilise sa propre technologie sous le nom de « Verified by VISA ». En parallèle, d’autres fournisseurs de cartes de crédit ont également mis en œuvre le mécanisme de sécurité. Par exemple, 3D Secure s’appelle chez Mastercard « SecureCode » (maintenant « Identity Check »), chez American Express « SafeKey » et pour JCB « J/Secure ».

Avant, le paiement sur Internet par carte de crédit était très simple : vous saisissiez les informations de votre carte dans les champs appropriés, confirmiez d’une certaine manière que vous possédiez la carte avec le code de validation de carte (CVC) qui se trouve à son dos, et validiez en un clic. Toute personne en possession de la carte de crédit pouvait donc acheter des produits sur Internet, même ceux à des prix très élevés. Cette méthode bien sûr ne donnait pas toutes les garanties de sécurité que l’on pouvait espérer.

Au fur et à mesure que le commerce électronique se développait et que de plus en plus de gens payaient en ligne avec leur carte de crédit, l’intérêt des criminels pour les cartes de crédit augmentait également. Particulièrement à travers le phishing et le social engineering, ils obtiennent souvent les données dont ils ont besoin. C’est donc dans l’idée de contenir ce développement que 3D Secure a été développé.

En plus des informations contenues sur la carte, la procédure nécessite de fournir des informations supplémentaires, telles qu’un mot de passe que seul le titulaire légitime de la carte de crédit peut connaître. Il s’agit donc d’une authentification à deux facteurs : deux données différentes sont requises pour que la carte de crédit soit débitée.

Pour ce faire, le consommateur est redirigé vers le site de la société émettrice de la carte de crédit et y entre les données de sécurité supplémentaires. Le second facteur n’est communiqué par l’utilisateur qu’à la banque ou la société émettrice de la carte de crédit. L’exploitant de la boutique en ligne reçoit alors simplement la confirmation que l’utilisation de la carte est autorisée. Toutefois, cette méthode aussi ne s’est pas avérée très sûre. En 2016, le montant des fraudes dans la zone SEPA est passé à 1,32 milliard d’euros selon la Banque centrale européenne.

Le traitement des mots de passe statiques n’est pas adapté d’un point de vue sécuritaire. Dès que les tiers en ont connaissance, la protection souhaitée ne fonctionne plus. Les méthodes dynamiques qui s’adaptent à chaque processus sont donc plus adéquats. Par exemple, un SMS avec un code sécurisé généré selon des procédures chiffrées ne pouvant être utilisé que pour ce seul paiement.

Les clients et les commerçants en ligne étaient plus qu’insatisfaits de la première version de 3D Secure. Le site Web appelé pour saisir le facteur de sécurité supplémentaire était extrêmement peu attrayant, l’application et l’utilisation du mot de passe requis n’étaient pas claires et le processus ne pouvait être intégré convenablement dans les applications mobiles. Les clients s’énervaient souvent et interrompaient les processus de commandes, ce qui par conséquent réduisait les conversions pour les vendeurs et rendait ces derniers également furieux.

La deuxième version de 3D Secure - également connue sous le nom de 3DS2 - aborde ces questions et vise à améliorer la sécurité. Les nouvelles fonctionnalités sont de plus conformes aux nouvelles directives de l’UE sur les services de paiement. En outre, les établissements de crédit s’adaptent aux évolutions techniques avec la nouvelle version. Aujourd’hui, des appareils (comme les smartphones) proposent notamment l’authentification par données biométriques : par empreinte digitale ou en analysant les traits du visage.

3D Secure 2.0 est conçu de sorte que les commerçants puissent intégrer la procédure dans leur processus de paiement. Il en résulte une expérience d’achat plus agréable pour le client. En outre, la méthode d’authentification doit constituer un système intelligent capable de s’adapter au risque. Cela signifie que les exigences en matière de garantie sont moins strictes pour les petits montants que pour les grands. De plus, 3DS2 peut également être utilisé pour les paiements mobiles et fonctionne avec les applications des banques.