Une campagne de phishing basée sur de faux procès-verbaux d’infraction routière avait eu lieu en 2023. Après cette attaqué à l’assurance maladie, au compte personnel de formation (CPF), aux vignettes Crit’air les malfaiteurs s’en prenaient aux amendes. Les deux personnes sont soupçonnées d’avoir envoyé des SMS, en se faisant passer pour l’ANTAI, l’agence nationale des traitements automatisés des infractions. Les systèmes anti-phishing sur les smartphones ne vous empêchent pas d’être vigilant.
La confiance n’exclut pas le contrôle. Cette formule est portée au crédit de Vladimir Ilitch Lénine. Elle valable surtout lorsque vous surfez sur l’internet, quelque soit l’outil que vous utilisez. Entre 2022 et 2023, une campagne massive de SMS vous demandait de payer en toute urgence votre infraction au Code de la route. Ledit message affichait la signature de l’Antai, en apparence.
Le lien fourni vous renvoie vers un site vitrine qui copie le vrai site. S’il semble être comme le vrai, c’est juste du maquillage, de la poudre aux yeux pour tromper son monde.
Quitte à ajouter un lien hypertexte, ou plusieurs en direction d’un véritable site du gouvernement français dont la terminaison de l’url est gouv.fr.
Le but d’une telle opération est de collecter les données de vos cartes bancaires, en vue de pouvoir effectuer des achats sur l’Internet.
Les enquêteurs, de la brigade de lutte contre la cybercriminalité de la police judiciaire de Paris, se sont saisis de l’affaire en septembre 2023. Les traces numériques ont été fatales aux deux jeunes hommes. Ces derniers ont été arrêtés et placés en garde à vue. Ils ont avoué les faits qui leur sont reprochés, et remis en liberté.
Convoqués au palais de justice en avril
Les deux jeunes demeurent innocents des faits qui leur sont reprochés, jusqu’à une condamnation par un tribunal compétent. Selon l’enquête, ils auraient sévi entre octobre 2022 et juillet 2023.
Selon Le Parisien ils auraient ainsi récupéré plus de 1 700 numéros de cartes bancaires, sans oublier les informations comme la date d’expiration et le CVV. Il est à trois chiffres au dos pour les cartes Visa et Master, ou devant et à quatre chiffres sur les Amex.
Le préjudice s’élève à 19 000 €. Les données volées ont été utilisées 78 fois pour effectuer des règlements en ligne. Ils auraient revendu les données restantes à d’autres individus. L’Antai martèle sur son site WEB « pour information, l’ANTAI n’envoie jamais de SMS ».
L’un des deux hommes réside pour l’un à Roubaix, et pour le second dans le onzième arrondissement à Paris.
(Crédits : Alexas_Fotos/Pixabay)
Ils sont convoqués au palais de justice de Paris le 3 avril 2024, pour y répondre de leurs actes. Cela s’effectuera lors d’une audience avec reconnaissance préalable de culpabilité.
Les chercheurs en sécurité informatique de NordVPN ont découvert que plus de 4 millions de cartes bancaires sont en vente sur le dark web, le tout à des prix dérisoires. Si les États-Unis sont les plus touchés, la France n’est pas en reste avec plus de 150 000 unités concernées. Une fois n’est pas coutume, mais la population de l’hexagone ne tiendra rigueur de pas être les premiers. Les Françaises et Français ne sont pas les plus à plaindre, pour autant il est nécessaire de suivre les mouvements sur son compte bancaire.
Malgré l’apparition des cartes « antifraudes » depuis 2018, et la mise en place de l’authentification forte en France depuis le 15 mai 2021, la revente de coordonnées bancaires ne tarit pas d’offres sur l’Internet. Habituellement, les opérateurs obtiennent les informations en attaquant de gigantesques bases de données issues d’e-commerce, ou par hameçonnage comme en septembre 2021, pour les clients le Crédit Agricole relatait Le Parisien. En 2020, « la fraude aux transactions scripturales atteint un montant global de 1,28 milliard d’euros pour près de 7,8 millions de transactions frauduleuses, ce qui représente une hausse sur un an de 8,4 % en valeur et de 4,2 % en volume. Cette progression des montants fraudés est portée principalement par le virement et dans une moindre mesure par les paiements par carte », stipule le rapport annuel de l’Observatoire de la sécurité des moyens de paiement 2020.
Sur le sol français, le nombre de cartes a évolué de 60, 6 à 72, 7 millions en moins de dix années. (Crédits : Pete Linforth/Pixabay)
Les chercheurs en cybersécurité de NordVPN relatent que des pirates ont déniché un autre moyen de trouver des numéros de cartes bancaires, et sans avoir à pénétrer dans lesdites bases. Il s’avère que les individus malveillants procèdent à des attaques par force brute pour deviner les numéros des cartes bleues. Cette technique consiste à tester chaque combinaison possible d’un mot de passe, d’une clé, d’un identifiant ou ici des numéros d’une carte bleue, pour en prendre le contrôle. Ils y parviennent grâce à la norme de ces cartes. Les chiffres suivent un modèle prédéfini, facilement déductible. Par exemple, les deux premiers indiquent le fournisseur du service financier, tels que VISA ou Mastercard, tandis que le dernier chiffre est une somme de vérification.
Les six premiers chiffres désignent l’émetteur de la carte. Cette suite commence par un 4 pour Visa, 5 pour Mastercard et 3 pour American Express. Les neuf suivants sont ceux identifiant la carte. Ils représentent jusqu’à 1 milliard de combinaisons. Le dernier chiffre est celui appelé « le code d’authenticité ». (Crédits : Kevin Phillips/Pixabay)
Le dernier chiffre, et pas le moindre est « obtenu en appliquant une équation aux 15 premiers chiffres, et, il est uniquement utilisé pour déterminer si des erreurs ont été commises lors de la saisie du numéro de la carte bancaire », détaillent les chercheurs dans un schéma. Quand au code CCV, ou cryptogramme visuel, celui qui se trouve à l’arrière de votre carte bleue, il n’est composé que de trois chiffres. Les personnes les plus expérimentées sont capables de réduire drastiquement le nombre de chiffres qu’ils doivent deviner, puis vérifier pour trouver votre numéro. Des chercheurs de l’université de Newcastle précisent « qu’une attaque par force brute pourrait ne prendre que six secondes pour trouver la bonne combinaison ».
Depuis près de six mois, pour régler ses achats en ligne, et la plupart du temps, vous êtes soumis à une authentification forte. (Crédits : Kredite/Pixabay)
Les chercheurs ont découvert à minima 4 481 379 de cartes bancaires en vente sur le dark web, à un prix moyen de 17 dollars chacune. En analysant les données disponibles, NordVPN ajuste que sur les cartes volées, les États-Unis arrivent premier, avec 1 561 739 unités. Les anciens membres de l’Union européenne ne comptent que 134 607 cartes pour des résidents britanniques. Les Français ne sont pas en reste avec 154 016 cartes bancaires devinées proposées à la vente. Ces dernières sont pour 78 441 d’entre elles des Visa, 49 549 des Mastercard, et 2 353 des American Express. « Les utilisateurs ne peuvent pas faire grand-chose pour se protéger de cette menace, à moins de s’abstenir complètement d’utiliser leur carte », stipulent les chercheurs, qui suggèrent aux usages d’avoir l’œil sur les mouvements suspects dans leurs relevés.
En septembre 2020, des chercheurs suisses de l’École polytechnique fédérale de Zurich (ETHZ) avaient montré qu’il était possible de tromper les terminaux de paiement et de dépenser des sommes bien supérieures à 50 € (plafond de sans contact) avec une carte bancaire, sans utiliser de code. Ils viennent de remettre ça, le 27 août 2021. Une équipe de scientifiques d’une université suisse a découvert un moyen de contourner les codes PIN (sans qu’il ne soit jamais demandé) des cartes employant la technologie NFC de Mastercard et Maestro.
Dans son article du 1er septembre 2020, Ouest France indiquait, en parlant des experts, qu’ils expliquaient que : « les cartes Mastercard apportent plus de garanties en termes de sécurité pour des montants élevés». La vulnérabilité (désormais corrigée) aurait permis aux criminels, cyber ou non, d’utiliser des cartes Mastercard et Maestro volées pour payer des produits coûteux sans avoir à fournir le code à quatre chiffres. En effet, dans un document présenté à la conférence de sécurité USENIX le 21 août, l’équipe dit avoir identifié un problème similaire avec les paiements sans contact des cartes Mastercard et Maestro. Ce document de recherche fut publié en février 2021.
L’ancêtre du règlement sans contact fut, en quelque sorte « Moneo ». Il est immédiatement passé aux oubliettes, en laissant le champ libre aux recouvrements sans contact. Les cartes de crédit qui le permettent sont extrêmement populaires. Des petits montants peuvent être débités rapidement (plafond augmenté à 50 €) et facilement à la caisse. Avec la mise en place de l’authentification forte le 15 mai, les cartes sont considérées comme sûres, car un code de sécurité est nécessaire pour soustraire des sommes importantes. Les scientifiques jettent un pavé dans la mare : « Le code PIN de votre carte Visa est inutile puisqu’il ne protège pas votre carte contre son utilisation pour des achats frauduleux de grande valeur », martèlent-ils.
Le porte-monnaie électronique moneo, lancé en 1999 prend fin seize années plus tard. Il arbore la même couleur que la carte verte de la banque EGG. Elle permettait un cash-back à la suite d’un paiement comptant, comme un crédit revolving. La majeure partie du service client fut basée sur le quartier des Deux Lions à Tours. (Crédits : Éric Piermont/AFP)
La sûreté des transactions est fondée sur la norme EMV (Europay, Mastercard et Visa), elle s’applique à près de 10 milliard de cartes sur Terre, en décembre 2020. Cette norme a été élaborée deux années avant le premier succès de la France à la coupe du monde de football. Bien qu’elle ait été révisée plusieurs fois depuis, cet ensemble complexe de règles présente plusieurs vulnérabilités, qui peuvent être exploitées. Ainsi Le Professeur David Basin, les docteurs Ralf Sasse, et Jorge Toro-Pozo ont découvert un moyen de contourner les codes PIN des cartes sans contact de Mastercard et Maestro.
Comment se déroule l’attaque
Ils ont eu besoin d’une carte bancaire volée, de deux smartphones Android et d’une application, développée par leurs soins, installée sur les deux téléphones. L’un des terminaux sera placé près de la carte subtilisée et agira comme un émulateur de terminal de paiement (PoS), incitant la carte à initier une transaction et à partager ses détails, tandis que le second se comportera « comme un émulateur de carte et sera utilisé par un escroc pour transmettre les détails modifiés de la transaction à un véritable terminal de PoS dans un magasin.»
L’attaque de l’homme du milieu (HDM) est une attaque qui a pour but d’intercepter les transmissions entre deux parties, sans que ni l’une ni l’autre ne puisse se douter que le canal de communication entre elles a été compromis. Deux différentes offensives sont utilisés, l’attaque par relais, et celle par rejeu. (Crédits : DR)
Du point de vue du commerçant, tout est transparent. Cette attaque donne l’impression qu’un client règle avec son application mobile, mais, en réalité, l’escroc adresse les détails modifiés de la transaction obtenus à partir d’une carte volée. Les pensionnaires de l’ETHZ ont utilisé le même schéma d’attaque de 2020, lorsqu’ils découvraient un moyen de contourner les codes PIN sur les paiements sans contact Visa. À l’instant où que la théorie semblât trop belle pour être vraie, les chercheurs ont déclaré qu’ils l’avaient testée avec succès dans le monde réel.
Ainsi ils effectuaient des transactions de 200 francs suisses (environ 185 euros), soit un montant supérieur à la limite d’exigence du code PIN pour les banques suisses (avec les cartes Visa Credit, Visa Debit, Visa Électron et V Pay). « Notre méthode fait croire au terminal qu’une carte Mastercard est une carte VISA, explique Jorge Toro-Pozo. La réalité est beaucoup plus complexe qu’il n’y paraît, ajoute-t-il, deux sessions devant se dérouler simultanément pour que cela fonctionne : le terminal de la carte effectue une transaction VISA, tandis que la carte elle-même effectue une transaction Mastercard ». Ils ont utilisé ces méthodes sur deux cartes de crédit Mastercard et deux cartes de débit Maestro émises par quatre banques différentes.
Déjouer le code PIN
Leur méthode s’est concentrée sur le contournement des PIN sur d’autres types de cartes, qui n’utilisaient pas le protocole de paiement sans contact Visa. Au lieu de dire au terminal de paiement que le code pin est vérifié et conforme, il lui indique que la transaction bancaire provient d’une carte Visa au lieu de Mastercard/Maestro. Cela revient à modifier l’identifiant d’application (AID) légitime de la carte avec l’AID de Visa : A0000000031010. « Mastercard a mis en place des correctifs sur son réseau au début de l’année, mais Visa ne semble pas avoir abordé ce problème », écrit Catalin Cimpanu dans The Record.
L’EMV détermine le type d’application présente dans la carte. Tous les émetteurs de cartes doivent posséder un identifiant d’application qui leur est propre. La méthode de sélection de l’application telle que définie dans les spécifications EMV peut toutefois poser des difficultés d’interopérabilités entre la carte et le terminal. (Crédits : Wikipédia)
Mais l’équipe a poursuivi ses investigations. Car, les failles de sécurité constatées sont principalement dues à la norme de protocole international (EMV). Les erreurs de logique dans cet ensemble de règles sont difficiles à détecter, parce qu’elle compte plus de 2 000 pages. Les membres de l’ETHZ soulignaient, lors du 42e symposium IEEE sur la sécurité et la confidentialité, du 23 au 27 mai 2021, que ces systèmes doivent de plus en plus être révisés automatiquement, le processus étant « trop complexe pour les êtres humains ».
