Fraude carte non présente : pourquoi les paiements en ligne comportent des risques différents

TL;DR : 5 choses à savoir sur la fraude CNP

• La fraude carte non présente correspond à l’utilisation non autorisée d’identifiants de paiement lorsque la carte n’est pas physiquement présentée. Visa’s Ecommerce Fraud Insights indique que la plupart des fraudes e-commerce surviennent dans des transactions CNP, où aucune carte physique n’est requise.
• Le FTC’s Consumer Sentinel Network Data Book 2024 a enregistré plus de 6,47 millions de signalements Consumer Sentinel en 2024, dont 2,6 millions de signalements de fraude et 1,1 million de signalements de vol d’identité, l’utilisation abusive de cartes de crédit étant la principale catégorie de vol d’identité avec 449 032 signalements.
• Le FBI’s 2025 IC3 Annual Report a recensé 282,7 millions $ de pertes liées à des plaintes en 2025 au titre de la fraude à la carte de crédit/aux chèques, contre 199,9 millions $ en 2024 et 173,6 millions $ en 2023, preuve que l’environnement déclaré s’alourdit, et ne s’allège pas.
• Mastercard’s Transaction Processing Rules montrent qu’un émetteur peut approuver un paiement même si la vérification AVS ou CVC échoue : l’autorisation seule n’est donc pas une preuve qu’une commande est légitime. Pour cette raison, Visa’s Merchant Dispute Management Guidelines indiquent que les règles de refus systématique rejettent des acheteurs réels en même temps que les mauvais.
• Le podcast PCI SSC’s E-Commerce Requirements confirme que les exigences PCI DSS e-commerce 6.4.3 et 11.6.1, couvrant l’autorisation des scripts de page de paiement et la surveillance des altérations, sont entrées en vigueur le 31 mars 2025, faisant de la sécurité de la page de paiement un volet du risque de fraude.

 

L’écart de fraude e-commerce : pourquoi les paiements en ligne exigent des stratégies différentes

Si vous acceptez les cartes en personne avec des produits POS physiques sécurisés, vous obtenez des signaux qu’un site web ne verra jamais : une puce insérée, un téléphone tapé, une carte que vous pouvez regarder. Déplacez cette même vente en ligne, vers une commande par téléphone ou un lien de paiement, et tout cela disparaît. Il ne vous reste que des données, et les données peuvent être volées, rejouées ou fabriquées.

 

C’est dans cet écart que vit l’essentiel de la fraude aux paiements e-commerce. C’est aussi là que de nombreux commerçants commettent des erreurs de bonne foi, comme refuser toute commande qui échoue à un contrôle d’adresse ou supposer qu’une autorisation approuvée signifie qu’une commande peut être expédiée sans risque.

 

Grâce à nos solutions de paiement sur mesure, nous avons passé 15 ans entre les commerçants et le système de paiement au Canada et aux États-Unis, dans la restauration, le commerce de détail, les services professionnels, les entreprises par abonnement et le pur e-commerce.

 

Le constat est constant : les commerçants qui perdent le moins ne sont pas ceux qui ont les règles les plus strictes. Ce sont ceux qui comprennent ce que chaque contrôle prouve réellement et qui superposent plusieurs signaux imparfaits plutôt que d’en croire un seul.

 

Si vous voulez savoir comment prévenir la fraude à la carte de crédit en ligne, ce guide détaille quatre domaines critiques de réduction du risque CNP :

• La mécanique de la fraude CNP : comment l’utilisation non autorisée d’identifiants opère au-delà du passage en caisse du site.
• Différences de profil de risque : pourquoi les transactions en ligne comportent des menaces distinctes par rapport aux ventes en personne.
• Tactiques d’attaque du checkout : ce que les fraudeurs exécutent spécifiquement contre les formulaires de paiement numériques.
• Réduction pratique du risque : quels contrôles réduisent l’exposition inutile sans faire fuir les clients légitimes.

 

Qu’est-ce que la fraude carte non présente, exactement ?

La fraude carte non présente est l’utilisation non autorisée d’identifiants de paiement dans une transaction où la carte physique n’est jamais présentée au commerçant. Cela couvre bien plus qu’un passage en caisse sur un site web.

 

Le PCI SSC’s Glossary traite la carte non présente comme un canal qui inclut à la fois l’e-commerce et l’acceptation par correspondance/commande téléphonique, la carte présente étant l’autre grand mode d’acceptation des paiements par les commerçants.

 

Cette distinction compte, car les commerçants pensent souvent que CNP signifie « notre boutique en ligne » et oublient le reste. Les éléments suivants sont tous des transactions carte non présente :

• Liens de facture envoyés par e-mail
• Terminaux virtuels pour commandes par téléphone
• Facturation d’abonnements automatisée
• Commandes via les réseaux sociaux
• Cartes saisies au back-office

 

Chacun comporte le même problème de fond : vous ne voyez pas la carte, vous ne voyez pas le client, et vous ne pouvez pas confirmer d’un coup d’œil que les deux vont ensemble.

 

Il est aussi utile de distinguer CNP de la fraude en général. La carte non présente est un canal, pas un synonyme de fraude. La plupart des transactions CNP sont des achats parfaitement normaux de vrais clients.

 

Ce qui change, c’est la preuve à votre disposition. Une vente en personne peut capter la preuve qu’une carte ou un portefeuille a été physiquement présenté via l’interaction avec le terminal. Une vente en ligne ou par téléphone doit plutôt s’appuyer sur des signaux numériques : l’identifiant de paiement lui-même, les informations d’appareil et de session, l’historique du compte client, les détails de livraison, les résultats d’authentification et les schémas de transaction dans le temps.

 

Ces signaux numériques sont réellement utiles. Aucun n’est concluant à lui seul. Une adresse correspondante peut être récupérée dans une fuite de données. Un appareil peut être usurpé. Un compte tout neuf peut appartenir à un primo-acheteur ou à un fraudeur qui l’a créé il y a dix minutes.

 

La définition opérationnelle, côté commerçant, est donc pratique plutôt que technique. La fraude à la carte de crédit en environnement CNP se produit lorsqu’une personne qui n’est pas le titulaire de la carte parvient à assembler suffisamment de données apparemment correctes pour passer votre checkout. Votre travail n’est pas de trouver un test parfait. C’est de rendre cet assemblage plus difficile et de repérer quand quelqu’un essaie.

 

Pourquoi les paiements en ligne comportent-ils plus de risque de fraude que les paiements par carte en personne ?

Les paiements en ligne comportent des risques de fraude différents, car les contrôles qui protègent les ventes en personne ne peuvent pas être appliqués physiquement lorsqu’aucune carte n’est présente.

 

Visa’s Small Business Fraud Protection guidance recommande aux commerçants qui acceptent les cartes en face à face d’utiliser un lecteur de bande magnétique, un appareil de lecture de puce ou un terminal sans contact et, lorsque possible, d’inspecter les éléments de sécurité physiques de la carte. Visa conseille séparément aux commerçants en absence de carte de prendre des précautions supplémentaires, précisément parce que tous les éléments de sécurité de la carte ne sont pas disponibles lorsque la carte ne peut pas être vue.

 

Il y a une deuxième raison, plus intéressante. Les défenses en magasin ont fonctionné. NIST’s MFA for E-Commerce guide montre que les cartes à puce et les terminaux protègent les paiements en magasin, et que ces avancées de sécurité ont poussé les acteurs disposant de données de carte volées vers la fraude aux cartes de paiement en ligne. Les criminels ne se sont pas arrêtés ; ils ont changé de canal, vers un endroit où un numéro de carte volé suffit encore pour tenter un achat.

 

Visa’s Ecommerce Fraud analysis conclut que la majorité de la fraude e-commerce se produit dans des transactions CNP, où la carte physique n’est pas requise pour finaliser l’achat. Visa attribue cette opportunité supplémentaire à l’absence de vérification en personne et à l’utilisation potentielle d’identifiants volés ou synthétiques.

 

Au fond, il s’agit d’un problème d’identité, pas d’un problème de carte. Le Federal Reserve’s Remote Authentication Fraud brief définit la fraude à l’authentification à distance comme survenant lorsqu’une personne qui n’est pas le propriétaire légitime d’une identité ou d’un compte financier crée ou prend le contrôle d’un compte numérique afin de mener une activité illégale en utilisant des identifiants de paiement volés ou des informations de paiement non autorisées.

 

Relisez bien : la fraude commence souvent à la création du compte ou à la prise de contrôle du compte, bien avant le formulaire de paiement.

 

Cela recadre la question pour les commerçants. Réduire le risque de fraude aux paiements en ligne ne consiste pas seulement à filtrer le paiement final. Il s’agit de savoir qui se trouve à l’autre bout de la session et d’avoir un plan lorsque vous n’êtes pas certain.

 

Les commerçants qui acceptent à la fois des paiements en personne et en ligne doivent aussi cesser de traiter leurs chiffres de fraude comme un seul et même ensemble. Les canaux se comportent différemment, et les mélanger masque le problème.

 

À quoi ressemble réellement l’environnement de fraude au sens large ?

L’environnement de fraude déclaré est vaste, en croissance dans certaines catégories, et utile à comprendre comme contexte plutôt que comme prévision de vos propres pertes. Le FTC’s Consumer Sentinel Network Data Book 2024 a enregistré plus de 6,47 millions de signalements dans son réseau Sentinel, couvrant la fraude, le vol d’identité et d’autres problèmes de consommateurs.

 

Décomposez ce total, et la pertinence pour les paiements devient plus claire. Ce même data book de la FTC et le communiqué FTC sur les pertes liées à la fraude en 2024 confirment :

• 2,6 millions de signalements de fraude.
• 1,1 million de signalements de vol d’identité.
• 12,5 milliards $ de pertes de consommateurs liées à la fraude en 2024.
• 449 032 signalements d’utilisation abusive de cartes de crédit (première catégorie de vol d’identité).

 

Les achats en ligne apparaissent aussi de façon marquée. Ce communiqué de la FTC identifie les problèmes d’achats en ligne comme la deuxième catégorie la plus fréquemment signalée dans les signalements de fraude en 2024.

 

Pour un commerçant, c’est un signal qui va au-delà du filtrage des paiements. Cela renvoie à la clarté de la facturation, à la communication de livraison et au fait qu’un client confus puisse joindre un humain avant d’appeler sa banque.

 

Les chiffres du FBI vont dans le même sens. Le FBI’s 2025 IC3 Annual Report confirme cette tendance à la hausse, en enregistrant 282,7 millions $ de pertes liées à la fraude à la carte de crédit et aux chèques en 2025, contre 199,9 millions $ en 2024 et 173,6 millions $ en 2023.

 

Ce même rapport du FBI a recensé 56 478 plaintes pour non-paiement/non-livraison et environ 503,4 millions $ de pertes déclarées dans cette catégorie. La non-livraison n’est pas nécessairement une fraude à la carte de crédit, mais c’est une rupture de confiance client qui mène malgré tout à des litiges.

 

Maintenant, la mise en garde honnête : planifiez bien plutôt que de paniquer.

 

Il s’agit d’expériences déclarées, pas d’un recensement complet de la fraude, et aucune ne mesure spécifiquement les pertes CNP des commerçants. Ne les utilisez pas pour calculer votre taux de perte attendu. Utilisez plutôt ces chiffres pour comprendre trois réalités :

• La pression des réseaux de fraude organisés est réelle et s’intensifie.
• La fraude à la carte de crédit représente le principal type de plainte pour vol d’identité.
• Les problèmes d’achats en ligne et de livraison génèrent leur propre vague de plaintes de consommateurs, en plus de la fraude aux paiements réelle.

 

Comment les fraudeurs attaquent-ils réellement un checkout numérique ?

Les fraudeurs attaquent le commerce numérique via plusieurs points d’entrée, et le formulaire de paiement n’en est qu’un. Comprendre les techniques spécifiques, c’est la différence entre deviner la prévention de la fraude aux paiements et la cibler.

 

• Credential stuffing. Le OWASP Foundation’s Credential Stuffing overview le définit comme l’injection automatisée de paires identifiant/mot de passe volées dans des formulaires de connexion afin d’accéder frauduleusement à des comptes. Ce n’est pas du devinage de mots de passe. C’est la réutilisation d’identifiants déjà exposés dans la fuite de quelqu’un d’autre, en pariant que vos clients les ont réutilisés. Cet aperçu OWASP note qu’après une connexion réussie, les attaquants effectuent des achats ou siphonnent de la valeur depuis des comptes compromis, accèdent à des données sensibles et revendent des identifiants désormais confirmés comme valides.
• Prise de contrôle de compte. NIST’s MFA for E-Commerce guide explique que des comptes clients e-commerce compromis sont utilisés pour des achats frauduleux, des achats et utilisations de cartes-cadeaux, et le détournement de programmes de fidélité. Ce guide NIST identifie aussi ce qui rend un site vulnérable : des systèmes qui permettent des tentatives de connexion incorrectes répétées, des clients qui réutilisent des mots de passe entre systèmes, des mots de passe faibles et des options de réinitialisation de mot de passe faciles à contourner.
• Carding et card cracking. On les confond constamment. Le OWASP Automated Threat Handbook définit le carding comme des tentatives d’autorisation multiples visant à vérifier la validité de lots de données de cartes de paiement volées. Le card cracking est différent : il consiste à identifier des détails manquants de la carte, comme la date d’expiration ou le code de sécurité, en essayant des valeurs alternatives jusqu’à ce que l’une fonctionne. Les deux apparaissent dans votre système comme des rafales de tentatives plutôt que comme une seule mauvaise commande.
• E-skimming. Le CISA E-Skimming awareness sheet explique que des criminels introduisent du code de skimming dans des pages e-commerce de traitement de cartes de paiement afin de capturer des données de carte et des informations personnellement identifiables, puis de les envoyer vers un domaine qu’ils contrôlent. Cette fiche CISA identifie trois points d’entrée courants : l’exploitation d’une vulnérabilité de la plateforme e-commerce, l’obtention d’un accès réseau via phishing ou force brute sur des identifiants administrateur, et la compromission de tiers ou de chaînes d’approvisionnement en dissimulant du code malveillant dans du JavaScript chargé par le site.
• Tout le reste qui est automatisé. La OWASP Foundation’s Bot Management and Anti-Automation Cheat Sheet liste le credential stuffing, la création de faux comptes, l’énumération de cartes-cadeaux, le test de cartes, la rétention d’inventaire, le scraping et les faux avis parmi les menaces automatisées visant les applications web. Si vos défenses ne se situent qu’au niveau du formulaire de paiement, vous laissez les endpoints de connexion, d’inscription, de solde de carte-cadeau et d’API complètement ouverts.

 

Pourquoi la sécurité de la page de paiement fait-elle partie de la prévention de la fraude aux paiements ?

La sécurité de la page de paiement doit faire partie de toute discussion sur la prévention de la fraude aux paiements, car une page de paiement compromise vole les données de carte avant même que vos règles antifraude ne s’exécutent. Aucune surveillance des transactions n’aide si les identifiants sont copiés pendant que les clients les saisissent.

 

Le mécanisme repose sur du code côté navigateur. Le PCI SSC’s Glossary définit les scripts de page de paiement comme des commandes ou instructions de langage de programmation sur une page de paiement, que le navigateur du consommateur traite ou interprète, y compris des scripts qui interagissent avec le document object model de la page.

 

Chaque balise d’analytics, widget de chat, outil de personnalisation et pixel publicitaire que vous chargez sur une page de paiement est du code qui s’exécute dans le navigateur de votre client, juste à côté de son numéro de carte.

 

C’est pourquoi les standards ont évolué. La publication PCI SSC’s E-Skimming guidance explique que les exigences PCI DSS 6.4.3 et 11.6.1 se concentrent sur trois défenses de base :

• S’assurer que les scripts de page de paiement sont autorisés.

• Vérifier l’intégrité de ces scripts.

• Surveiller les pages de paiement et les en-têtes HTTP ayant un impact sur la sécurité afin de détecter des changements non autorisés.

 

Le podcast PCI SSC’s E-Commerce Requirements confirme que les exigences PCI DSS v4.0.1 à date future, dont ces deux exigences e-commerce, sont entrées en vigueur le 31 mars 2025.

 

Voici la partie que les commerçants se trompent le plus souvent. Utiliser un formulaire de paiement hébergé ou intégré ne transfère pas automatiquement toute la responsabilité. PCI SSC’s FAQ 1588 indique qu’un commerçant e-commerce utilisant une page ou un formulaire de paiement intégré, comme un iframe, doit confirmer que son site n’est pas vulnérable à des attaques par script qui affectent le système e-commerce.

 

Cette FAQ du PCI SSC précise qu’un commerçant satisfait à cette exigence en appliquant lui-même les protections pertinentes ou en obtenant la confirmation de son prestataire de services de paiement conforme PCI DSS que la solution inclut de telles protections lorsqu’elle est mise en œuvre conformément aux instructions du prestataire.

 

Cette même FAQ du PCI SSC note que le critère d’éligibilité cité ne s’applique pas aux commerçants dont les sites redirigent les clients vers un prestataire de services de paiement, ou qui externalisent entièrement des fonctions de paiement comme l’envoi d’un lien de paiement vers le site du prestataire. Lisez cela comme une déclaration sur l’applicabilité de ce critère précis, et non comme l’affirmation qu’un paiement redirigé est sans risque.

 

Et n’auto-diagnostiquez pas votre parcours de validation. Cette documentation du PCI SSC demande aux commerçants de consulter l’entité qui accepte la conformité, généralement un acquéreur ou une marque de paiement, afin de déterminer si un SAQ doit être soumis et lequel correspond à l’environnement. C’est exactement le type de question à poser à votre courtier avant de supposer.

 

Que vérifient réellement AVS, CVV/CVC et 3-D Secure ?

Chaque outil de vérification répond à une question étroite, et connaître cette question, c’est toute la compétence. Traiter l’un d’eux comme un verdict de fraude est l’erreur la plus fréquente que nous voyons dans les comptes commerçants CNP.

 

• AVS : Mastercard’s Transaction Processing Rules définissent l’Address Verification Service comme un processus dans lequel l’émetteur vérifie l’adresse fournie pour une transaction CNP. C’est un signal de vérification sur un seul élément de données. Ce n’est pas une preuve d’identité, et cela ne confirme pas que l’acheteur est le titulaire de la carte.
• CVC/CVV : Ces règles Mastercard définissent un contrôle CVC 2/AVS comme une vérification automatisée côté émetteur du code de validation de carte fourni et des détails d’adresse pour une transaction CNP. Pris ensemble, le code et l’adresse sont des signaux complémentaires. Un numéro de carte volé sans le code de sécurité est plus difficile à utiliser, ce qui explique précisément l’existence du card cracking.
• Autorisation : celle-ci mérite une étiquette d’avertissement. Les règles Mastercard montrent qu’un paiement peut réussir après un échec CVC ou AVS, car les émetteurs prennent en compte de nombreux signaux lorsqu’ils prennent des décisions d’autorisation. Approuvé ne signifie pas vérifié. Et cela ne signifie certainement pas « prêt à expédier » sans revue.
• 3-D Secure : EMVCo’s EMV 3-D Secure overview le définit comme permettant l’échange d’informations de transaction, de moyen de paiement et d’appareil entre le commerçant et l’émetteur afin d’authentifier le consommateur et d’approuver une transaction e-commerce. Cet aperçu EMVCo note que de nombreuses transactions EMV 3DS sont approuvées immédiatement après que le consommateur a cliqué sur Acheter, tandis que les émetteurs exigent une authentification supplémentaire pour les transactions à risque plus élevé, via des méthodes comme des codes à usage unique, des questions basées sur la connaissance ou la biométrie.
• Signaux de risque : NIST’s Special Publication 800-63 FAQ confirme que l’adresse IP, la géolocalisation, l’heure de la journée, le type de transaction, les mouvements de souris, les frappes au clavier et les écarts par rapport à l’usage normal sont utilisés dans des systèmes adaptatifs. Cette FAQ NIST les classe comme des contrôles additionnels pour l’authentification numérique, et non comme des authentificateurs en eux-mêmes.

 

Visa’s Merchant Dispute Management Guidelines synthétisent le tout en demandant aux commerçants en absence de carte de considérer les outils disponibles comme Visa Secure, CVV2 et AVS, et de demander une autorisation pour les transactions par correspondance, par téléphone, internet et récurrentes. Des couches, pas une solution miracle. Voilà la réponse à « comment prévenir la fraude à la carte de crédit » en environnement CNP.

Comment réduire la fraude sans refuser de bons clients ?

Vous réduisez le risque de fraude sans perdre de revenus en rendant la friction proportionnelle au risque, plutôt qu’en appliquant une friction maximale à tout le monde. Les règles systématiques donnent une impression de sécurité et coûtent discrètement de l’argent.

 

Visa’s Merchant Dispute Management Guidelines le rappellent clairement : de nombreux paiements légitimes ont un code postal ou un CVC incorrect, et des règles systématiques qui bloquent chaque échec AVS ou CVC peuvent bloquer des transactions légitimes autorisées par l’émetteur.

 

Pensez à vos propres clients. Les gens déménagent. Ils utilisent une adresse professionnelle. Ils se trompent d’un chiffre sur un clavier de téléphone. Une règle qui traite chaque non-correspondance comme une fraude refuse un vrai acheteur qui a les fonds.

 

L’alternative, c’est la décision fondée sur le risque. NIST’s MFA for E-Commerce guide présente un modèle où une authentification plus forte est déclenchée lorsque des seuils de risque sont dépassés, plutôt qu’appliquée à chaque session.

 

Appliqué au checkout, cela signifie qu’un client récurrent livrant à une adresse enregistrée qu’il utilise depuis deux ans passe sans friction, tandis qu’un compte créé pour la première fois qui passe une commande de forte valeur vers une adresse de réexpédition à 3 h du matin mérite un second regard.

 

La OWASP Foundation’s Bot Management and Anti-Automation Cheat Sheet soutient la même logique en associant les contrôles à l’endpoint à risque. Ses exemples incluent :

• Connexion : limites de débit, contrôles de mots de passe compromis et MFA.
• Inscription : vérification e-mail ou téléphone et limites de vélocité.
• Environnements panier et checkout : files d’attente, limites d’achat et 3-D Secure.

 

Des portes différentes, des serrures différentes.

 

CAPTCHA mérite une mention spéciale, car les commerçants s’y fient trop. La OWASP Foundation’s Credential Stuffing Prevention Cheat Sheet indique que CAPTCHA et des puzzles similaires peuvent identifier et ralentir les attaques de connexion automatisées, mais note aussi que CAPTCHA est imparfait et peut être facilement contourné. Cette cheat sheet OWASP conseille de l’utiliser de manière sélective pour les demandes de connexion suspectes ou à haut risque, afin de réduire la friction pour tous les autres.

 

Le cadrage pratique que nous donnons aux commerçants repose sur trois étapes opérationnelles pour construire une voie médiane :

• Définir les issues : décider à l’avance à quoi ressemble une commande « à revoir » versus une commande « à refuser », car des choix binaires approuver/refuser garantissent des erreurs coûteuses.

• Reconnaître le coût de la friction : accepter qu’un parcours de revue coûte quelques minutes de temps d’équipe, alors qu’un faux refus coûte la vente entière et possiblement la relation client.

• Documenter et ajuster : consigner qui gère la voie de revue et les décisions prises, afin d’affiner en continu les règles sur la base de résultats réels.

 

S’associer à un processeur qui offre des solutions de paiement complètes vous assure la visibilité des données nécessaire pour ajuster ces seuils avec précision.

Prévention de la fraude et prévention des rétrofacturations se recoupent, mais ce n’est pas le même travail

Arrêter la fraude avant l’exécution et réduire les litiges après la vente sont des disciplines liées, avec des outils différents. Les commerçants qui les confondent finissent par surinvestir dans le filtrage tout en laissant en place des déclencheurs de litiges évidents.

 

Commencez par ce qui cause réellement un litige de fraude CNP. Visa’s Merchant Dispute Management Guidelines indiquent qu’un litige de fraude en absence de carte est causé par l’utilisation frauduleuse d’un identifiant de paiement, le vol de l’identifiant de paiement du titulaire, ou un nom de commerçant flou ou confus qui amène le titulaire à croire que la transaction est frauduleuse. Cette troisième cause n’est pas une fraude. C’est un client qui ne reconnaît pas une ligne sur un relevé.

 

Ce seul fait devrait pousser les commerçants à vérifier leur libellé de facturation dès aujourd’hui. Si un nom d’entité juridique apparaît sur les relevés mais que les clients connaissent l’entreprise sous un nom d’enseigne ou de marque, ce décalage fabrique des litiges.

 

La correction ne coûte rien : un libellé reconnaissable, une confirmation de commande qui arrive vite, des coordonnées de support que le client peut réellement trouver et une communication de livraison réaliste.

 

Rappelez-vous que le FBI’s 2025 IC3 Annual Report a recensé 56 478 plaintes pour non-paiement/non-livraison. La confusion sur le fait qu’un article ait été expédié se transforme en litige, qu’un criminel ait été impliqué ou non.

 

Ensuite, il y a la preuve en cas de litige. Ce guide Visa sur les litiges identifie les signaux numériques suivants comme pertinents pour une preuve convaincante :

• ID d’appareil et empreinte d’appareil
• Adresse IP
• Compte client ou ID de connexion
• Adresse de livraison
• Descriptions des marchandises ou services
• Dates de fourniture des biens ou services

 

Ce sont les mêmes signaux numériques que ceux collectés pour le filtrage antifraude, d’où l’intérêt d’une conservation des dossiers organisée et respectueuse de la vie privée : elle paie deux fois. Ces directives Visa demandent aussi aux commerçants qui répondent à cette condition de fraude CNP d’informer leur processeur si la transaction a été authentifiée via Visa Secure lors de l’autorisation. Une preuve pertinente, pas une victoire automatique.

 

Une autre chose surprend les commerçants qui adoptent 3-D Secure. Le Verified by Visa Acquirer and Merchant Implementation Guide impose aux commerçants de maintenir leurs fonctions existantes de gestion des risques e-commerce pendant et après la mise en œuvre, y compris la compréhension des risques de fraude et de rétrofacturation et des procédures de suivi des allégations de fraude et des pertes. L’authentification est un ajout à un programme antifraude, pas un remplacement.

 

Comment repérer la fraude aux paiements dans votre entreprise avant qu’elle ne s’amplifie ?

Vous repérez la fraude aux paiements dans votre entreprise en surveillant des schémas à travers les endpoints et dans le temps, pas en inspectant des commandes individuelles isolément. Une commande suspecte, c’est du bruit. Un groupe, c’est une attaque.

 

Les commerçants doivent surveiller des signes précis d’un schéma de transactions frauduleuses, lorsque des attaquants valident de gros volumes de données volées (carding) ou itèrent sur des dates d’expiration et des codes de sécurité (card cracking) :

• Pics d’autorisations : une hausse soudaine de tentatives d’autorisation de faible montant indique un test automatisé d’identifiants.
• Taux de refus élevés : un ratio élevé de refus par rapport aux approbations sur une courte fenêtre signale une attaque active.
• Tests séquentiels : des tentatives répétées sur des numéros de carte séquentiels révèlent une génération algorithmique de numéros.
• Commandes groupées : de nombreuses commandes partageant un même appareil ou une même destination de livraison suggèrent un effort coordonné.
• Exécution à haut risque : une livraison express de biens de forte valeur vers un nouveau compte contourne les délais habituels de revue manuelle.
• Incohérences de localisation : des écarts entre la région de facturation et la géolocalisation IP peuvent indiquer une usurpation d’appareil.

 

Les règles de vélocité les détectent, mais seulement si elles sont correctement construites. La OWASP Foundation’s Bot Management and Anti-Automation Cheat Sheet montre qu’une approche uniquement basée sur l’IP échoue lorsque les attaquants répartissent les tentatives sur de nombreux identifiants.

 

En pratique, cela signifie surveiller des combinaisons : compte, appareil, IP ou réseau, instrument de paiement, destination de livraison, montant de commande et intervalle de temps, ajustés à la façon dont l’entreprise vend réellement. Une billetterie et un fournisseur en gros ne devraient pas utiliser les mêmes seuils.

 

La mesure boucle la boucle. La OWASP Foundation’s Credential Stuffing Prevention Cheat Sheet conseille de produire des métriques sur le volume d’attaques détectées et atténuées et d’activer le filtrage par champs comme l’adresse IP, ce qui aide à identifier les défaillances de défense, les attaques non identifiées et l’impact de défenses nouvelles ou améliorées. Si une entreprise ne peut pas dire si ses règles ont intercepté plus ou moins d’attaques ce mois-ci que le mois dernier, elle n’exploite pas un programme antifraude. Elle exploite un réglage.

 

Séparez aussi le reporting par canal. La fraude carte présente et carte non présente, les litiges, le comportement d’approbation et les schémas de remboursement doivent être examinés indépendamment. Un chiffre agrégé peut sembler stable alors même qu’un canal e-commerce se dégrade.

 

C’est aussi le moment d’impliquer des personnes en dehors de l’équipe du commerçant. Lorsqu’un schéma de fraude émerge, ou que le financement ou les litiges commencent à se comporter étrangement, une relation proactive avec le processeur compte plus qu’une alerte de tableau de bord.

 

C’est le travail que nous faisons chez DigitechPaiements : agir comme interlocuteur haut de gamme afin que les commerçants reçoivent une explication humaine de ce qui se passe dans les opérations de paiement, les rétrofacturations, les enjeux de fraude et les questions de financement. La prévention de la fraude aux paiements fonctionne au mieux lorsque le commerçant, le processeur, l’acquéreur, les fournisseurs de sécurité et l’équipe d’exécution sont alignés et se parlent.

 

Comparer les contrôles de fraude CNP : à quoi sert chacun

Aucun contrôle ne couvre entièrement votre risque de fraude carte non présente, d’où l’intérêt de les comparer côte à côte plutôt que de les classer. Chaque approche résout un problème différent et échoue différemment.

 

AVS et CVV/CVC valident des éléments liés à l’identifiant. EMV 3-D Secure authentifie la personne. La surveillance des transactions lit des schémas.

Les contrôles de sécurité de compte protègent le processus de connexion avant même qu’un paiement ne soit tenté. Les contrôles de scripts de page de paiement protègent les données au moment où elles sont saisies. Les dossiers de préparation aux litiges ne préviennent pas la fraude, mais déterminent la capacité du commerçant à répondre ensuite.

 

Regardez la colonne des limites avec autant d’attention que la colonne des forces. C’est là que les commerçants se font piéger : supposer qu’une autorisation est un verdict, qu’un iframe décharge le site de sa responsabilité, ou que 3-D Secure met fin au travail de gestion des risques.

 

Notez aussi que les résultats, le traitement de responsabilité et l’expérience client de l’authentification dépendent du réseau, de l’émetteur, du type de transaction, de la géographie et de la configuration : rien ici ne doit être lu comme une garantie.

Approche	Objectif principal	Signaux ou mécanismes	Force principale	Limite importante
Contrôles AVS + CVV/CVC	Valider des éléments liés à l’identifiant	Données d’adresse de facturation et code de vérification de la carte	Signaux de base à faible friction pour les commandes CNP	Un émetteur peut autoriser même si AVS/CVC échoue ; les refus systématiques rejettent des clients légitimes
EMV 3-D Secure	Authentifier le consommateur via un échange de données commerçant-émetteur	Données de transaction, moyen de paiement, appareil ; challenge possible de l’émetteur	Ajoute l’authentification et prend en charge des parcours sans friction ou avec challenge	Le résultat et le traitement de responsabilité dépendent du réseau, de l’émetteur, de la transaction et de la configuration
Scoring de fraude / surveillance des transactions	Identifier les commandes suspectes avant exécution	Signaux d’appareil, de localisation, de vélocité, de comportement, de compte et d’exécution	Concentre la revue manuelle et les contrôles renforcés sur les commandes les plus risquées	Les signaux adaptatifs ne sont pas une authentification autonome ; les règles exigent ajustement et mesure
Contrôles de sécurité des comptes	Réduire les prises de contrôle de comptes avant le paiement	MFA, vérification des mots de passe compromis, limites de débit de connexion, récupération sécurisée, contrôles des bots	Protège les cartes enregistrées, les soldes de fidélité et l’historique des comptes	Ne remplace pas la sécurité de la page de paiement ni l’examen des transactions
Contrôles des scripts de la page de paiement	Réduire le vol de données de paiement lors du passage en caisse	Autorisation de script, validation d’intégrité, inventaire, détection de falsification	Traite l’e-skimming et le code malveillant côté navigateur	Les options hébergées ou intégrées ne suppriment pas automatiquement la responsabilité de sécurité du site web
Dossiers de préparation aux litiges	Soutenir l’enquête et la réponse après un litige	Résultat de l’authentification, détails de livraison, enregistrements d’appareil/session, dossiers de commande	Permet une enquête interne plus rapide et une documentation de représentation plus solide	Les exigences en matière de preuves sont propres à chaque programme ; les dossiers ne peuvent pas valider une transaction invalide

 

Un examen en 12 étapes des risques de fraude liés aux paiements par carte non présente

Suivez ces étapes afin de renforcer votre prévention de la fraude au paiement. Cette démarche est délibérément opérationnelle et aucune étape ne nécessite d’achat préalable.

• Répertoriez chaque canal de paiement à distance utilisé : paiement sur site web, application mobile, facturation d’abonnement, liens de facturation, commandes par téléphone, commandes par courrier, ventes sur place de marché, liens de commerce social et terminal virtuel. Les commerçants en oublient régulièrement deux ou trois, et les canaux oubliés ne sont pas surveillés.

• Séparez les données de cartes présentes et de cartes non présentes dans les rapports : Examinez la fraude, les litiges, le comportement d’approbation et les modèles de remboursement par canal plutôt que sous forme de chiffre global. Un chiffre sain en magasin peut masquer une détérioration des chiffres du commerce électronique pendant des mois avant que quiconque ne s’en aperçoive.

• Inventoriez chaque point de terminaison de paiement et de compte : Incluez la connexion, la réinitialisation du mot de passe, l’inscription, le panier, la consultation du solde de carte-cadeau, le formulaire de paiement, les API et les flux de confirmation de commande. La liste des menaces de l’OWASP indique clairement que les abus automatisés ciblent tous ces points, et pas seulement la page de paiement.

• Notez les scénarios de fraude qui s’appliquent réellement à l’entreprise : Couvrez la fraude au paiement par carte volée, le carding, le card cracking, la prise de contrôle de compte, l’abus de cartes-cadeaux, l’usage abusif par le titulaire, les allégations de non-livraison et l’e-skimming. Un vendeur de biens numériques et un détaillant de meubles font face à des risques réellement différents.

• Examinez honnêtement l’architecture de la page de paiement : Déterminez si l’entreprise utilise une redirection, une page hébergée, une iframe intégrée, une intégration API directe ou une combinaison de ces solutions sur différents canaux. Le risque lié aux scripts ne peut être évalué tant que le modèle de chaque canal n’est pas connu.

• Confirmez les responsabilités de validation PCI DSS avec l’entité qui les reçoit : La FAQ 1588 du PCI SSC conseille de consulter l’organisation acceptant la conformité, généralement un acquéreur ou une marque de paiement, pour savoir si un SAQ est requis et lequel s’applique. Ne supposez pas que l’intégration règle la question.

• Établissez un inventaire vivant des scripts et des tiers sur les pages de paiement : Saisissez les outils d’analyse, les gestionnaires de balises, les widgets de chat, les outils de personnalisation, les outils de fraude et les scripts publicitaires. Chaque entrée est un code côté navigateur qui s’exécute aux côtés des données de carte, et la fiche sur l’e-skimming de la CISA identifie le JavaScript de la chaîne d’approvisionnement comme un point d’entrée de l’e-skimming.

• Appliquez des mesures de protection des pages de paiement adaptées à l’architecture, y compris l’autorisation des scripts, les protections d’intégrité et les mécanismes de détection des modifications non autorisées, conformément aux exigences PCI DSS pour le commerce électronique entrant en vigueur le 31 mars 2025. Lorsqu’un fournisseur les fournit, obtenez une confirmation écrite.

• Superposez les contrôles de transaction plutôt que de vous fier à un seul résultat : Combinez le résultat de l’autorisation, l’AVS, le CVV/CVC, la disponibilité et la configuration de 3-D Secure, les signaux de l’appareil et de la session, les modèles de vélocité et le risque de livraison. Toute correspondance ou divergence unique doit éclairer la décision, jamais la déterminer seule.

• Renforcez les comptes clients, en particulier ceux stockant des données de carte ou des points de fidélité : Utilisez des contrôles de mot de passe, des vérifications de mots de passe compromis, une limitation du débit de connexion, une récupération de compte sécurisée, des protections contre les bots et une MFA basée sur le risque. Le guide du commerce électronique du NIST signale les tentatives de connexion répétées et les réinitialisations facilement contournées comme des faiblesses spécifiques.

• Créez un parcours d’examen documenté pour les commandes à haut risque : Définissez qui examine, ce qui est vérifié, quels blocages d’exécution existent et comment la décision est enregistrée. Sans une voie intermédiaire entre l’approbation et le refus, des revenus légitimes sont perdus par excès de prudence.

• Mesurez, réajustez et signalez rapidement : Suivez la fraude détectée, la fraude évitée, le volume d’examens manuels, les faux positifs, les litiges, les remboursements, les prises de contrôle de comptes et les tentatives de test de cartes. Réexaminez les règles après des lancements, de nouvelles zones géographiques, des promotions ou des refontes du passage en caisse, et signalez immédiatement les pics importants au processeur plutôt que d’attendre un rapport mensuel.

L’essentiel : quelles sont les prochaines étapes ?

La fraude par carte non présente n’est pas un problème qu’une entreprise règle une fois pour toutes. C’est un risque lié au canal qu’il faut gérer, ajuster et réévaluer chaque fois que l’entreprise évolue. Les commerçants qui s’en sortent bien sont ceux qui comprennent ce que chaque contrôle prouve, qui tiennent des registres propres par canal et qui décrochent le téléphone rapidement quand quelque chose semble anormal.

 

C’est dans cette dernière partie qu’un partenaire de paiement prouve sa valeur. En cas de pic de fraude, de regroupement de litiges ou de questions sur le financement, les commerçants devraient pouvoir joindre quelqu’un qui explique ce qui se passe réellement plutôt que de simplement pointer un tableau de bord. Depuis 15 ans, avec plus de 1 000 examens et une note de 4,4 sur 5, ce soutien humain et proactif est la norme que nous nous imposons chez DigitechPaiements, appuyés par l’expérience du groupe Digitech.

 

Pour agir sur vos opérations de paiement, gardez à l’esprit ces trois prochaines étapes opérationnelles :

• Une tarification simple et transparente : Travaillez avec des conditions transparentes, personnalisées et négociées en fonction de votre volume spécifique et de votre type de transaction.
• Devis personnalisés : Contactez directement votre courtier pour obtenir des chiffres adaptés à votre mix de transactions et à l’échelle de votre entreprise.
• Alignement expert sur la conformité : Confirmez les détails touchant à l’applicabilité de PCI DSS, à l’éligibilité au SAQ, aux règles de responsabilité du réseau ou aux exigences de représentation des litiges avec votre acquéreur, votre évaluateur de sécurité qualifié et vos conseillers en conformité.

 

Contactez-nous via DigitechPaiements lorsqu’un second regard sur le risque CNP pourrait vous aider.

 

Questions fréquemment posées

1. Comment protéger mon entreprise contre la fraude par carte lorsque la carte n’est jamais présente ?

Commencez par superposer les contrôles plutôt que de vous fier à une seule vérification. Les conseils de Visa sur la fraude orientent les commerçants effectuant des ventes sans carte vers l’utilisation d’outils disponibles tels que Visa Secure, CVV2 et AVS, et vers la demande d’autorisation pour les transactions par correspondance, par téléphone, sur Internet et récurrentes. Ajoutez des contrôles de sécurité des comptes lors de la connexion, des contrôles de scripts sur la page de paiement et un parcours d’examen manuel documenté pour les commandes à haut risque. Mesurez ensuite les résultats par canal pour savoir si les contrôles fonctionnent ou s’ils ajoutent simplement de la friction.

 

2. Comment repérer la fraude au paiement dans mon entreprise avant que les pertes ne s’accumulent ?

Repérez la fraude au paiement en observant les modèles sur l’ensemble des points de terminaison plutôt qu’en jugeant les commandes une par une. Recherchez les pics de tentatives d’autorisation de faible valeur, les taux de refus anormalement élevés, l’utilisation répétée d’un seul appareil ou d’une seule adresse de livraison, et les divergences entre la région de facturation et la géolocalisation IP. Le guide de l’OWASP sur le credential stuffing exige de générer des indicateurs sur le volume d’attaques détectées et atténuées afin d’identifier les failles de défense et les attaques non identifiées. Examinez séparément les données de cartes présentes et non présentes, car un rapport global peut masquer un canal en détérioration.

3. Quels sont les signes d’une transaction frauduleuse sur un site de commerce électronique ?

Les signes d’une transaction frauduleuse incluent un compte tout neuf passant une commande de grande valeur, une expédition express vers une adresse qui ne correspond pas à l’adresse de facturation, plusieurs commandes de différentes cartes sur le même appareil, et des tentatives infructueuses répétées suivies d’une commande réussie. Soyez toutefois prudent avec les points de données isolés : les directives sectorielles de Visa et Mastercard prouvent que de nombreux paiements légitimes comportent un code postal ou un CVC incorrect ; une divergence seule n’est donc pas une preuve. Traitez ces éléments comme des raisons d’examiner une commande, et non comme des motifs de refus automatique.

4. Qu’est-ce qu’une attaque par test de cartes et en quoi est-ce différent du card cracking ?

Une attaque par test de cartes, que le manuel des menaces de l’OWASP classe comme du carding, implique de multiples tentatives d’autorisation de paiement pour vérifier la validité d’un ensemble massif de données de cartes de paiement volées. L’attaquant n’essaie pas d’acheter quoi que ce soit ; les tentatives vérifient quels numéros volés fonctionnent encore. Le card cracking est lié mais distinct : il consiste à identifier les détails manquants d’une carte, tels que les dates d’expiration ou les codes de sécurité, en testant des valeurs alternatives. Les deux apparaissent sous forme de rafales de tentatives, c’est pourquoi les contrôles de vélocité ajustés selon les dimensions du compte, de l’appareil et de la carte sont importants.

5. Comment réduire la fraude sur les commandes par téléphone et autres transactions MO/TO ?

Réduisez la fraude sur les commandes téléphoniques en les traitant comme les transactions par carte non présente qu’elles sont. Le glossaire du PCI SSC place l’acceptation des commandes par courrier et par téléphone dans la catégorie carte non présente, aux côtés du commerce électronique ; la même logique de superposition s’applique donc. Demandez une autorisation pour les transactions MO/TO selon les directives de Visa sur les litiges ; collectez et vérifiez les détails de l’adresse et du code de sécurité ; appliquez une surveillance de la vélocité sur les commandes par téléphone et sur le web ; et établissez un processus documenté de blocage et de vérification pour les demandes de grande valeur ou inhabituelles avant toute expédition.

Ouvrages cités

• Cybersecurity and Infrastructure Security Agency (CISA). E-Skimming. CISA, 2020.
• EMVCo. EMV 3-D Secure. EMVCo, s.d.
• Federal Reserve Payments Improvement. Remote Authentication Fraud. Federal Reserve, s.d.
• Federal Trade Commission (FTC). New FTC Data Show Big Jump in Reported Losses to Fraud to $12.5 Billion in 2024. FTC, 2025.
• Federal Trade Commission (FTC). Consumer Sentinel Network Data Book 2024. FTC, 2024.
• FBI Internet Crime Complaint Center. 2025 IC3 Annual Report. FBI, 2025.
• Mastercard. Transaction Processing Rules. Mastercard, 2025.
• National Institute of Standards and Technology (NIST). NIST Special Publication 800-63 FAQ. NIST, 2022.
• National Institute of Standards and Technology (NIST). Multifactor Authentication for E-Commerce, Volume B. NIST, 2019.
• OWASP Foundation. OWASP Automated Threat Handbook. OWASP, 2015.
• OWASP Foundation. Bot Management and Anti-Automation Cheat Sheet. OWASP, s.d.-a.
• OWASP Foundation. Credential Stuffing. OWASP, s.d.-b.
• OWASP Foundation. Credential Stuffing Prevention Cheat Sheet. OWASP, s.d.-c.
• PCI Security Standards Council (PCI SSC). Coffee with the Council Podcast: Guidance for PCI DSS E-Commerce Requirements Effective After 31 March 2025. PCI SSC, 2025a.
• PCI Security Standards Council (PCI SSC). FAQ 1588. PCI SSC, 2025b.
• PCI Security Standards Council (PCI SSC). New Information Supplement: Payment Page Security and Preventing E-Skimming. PCI SSC, 2025c.
• PCI Security Standards Council (PCI SSC). Glossary. PCI SSC, s.d.
• Visa. Ecommerce Fraud. Visa, 2025.
• Visa. Merchant Dispute Management Guidelines. Visa, 2024.
• Visa. Verified by Visa Acquirer and Merchant Implementation Guide. Visa, 2011.
• Visa. Small Business Fraud Protection. Visa, s.d.