La fraude à la carte bancaire a de plus en plus le vent en poupe. Elle a même tendance, selon les forces de l’ordre, à se démocratiser. Mais l’industrie bancaire et les marchands en ligne ne restent pas les bras ballants : ils développent des systèmes de détection de fraude de plus en plus subtils et complexes.
Avant de valider une transaction en ligne, ces derniers ne se contentent pas de vérifier le numéro, la date de validité et le cryptogramme de la carte bancaire. Ils vont également passer au peigne fin l’identité et le comportement de l’internaute, à coup d’analyse statistique et d’intelligence artificielle. De quel endroit se connecte-t-il ? A quelle heure se fait l’achat ? Quel navigateur utilise-t-il ? Dans quelle boutique réalise-t-il ses emplettes ? Quel est son historique de commandes ? Quelles sont les spécificités techniques de son écran et de son ordinateur ? Etc. Si quelque chose ne colle pas, la transaction est refusée ou une vérification manuelle est enclenchée (un appel, par exemple).
Autrement dit, les systèmes de détection de fraude créent des empreintes numériques des vrais utilisateurs pour mieux pouvoir reconnaître les fraudeurs. Cette prise d’empreinte se fait au travers du site marchand ou de la plate-forme de paiement. Parmi les fournisseurs de ce type de technologie figurent, par exemple, les sociétés IPQualityScore ou ThreatMatrix.
De 5 à 200 dollars par identité numérique
Mais les pirates, évidemment, ont compris la manœuvre. Pour rester sous le radar des systèmes de détection, le fraudeur se dote d’une fausse identité numérique qui soit la plus proche possible du propriétaire de la carte bancaire : une adresse IP du même pays ou de la même ville, la même version de navigateur, le même écran, la même façon de naviguer, etc. L’idéal est évidemment d’avoir l’identité d’une vraie personne. Or, ces identités peuvent justement être achetées sur le Darknet.
Selon les chercheurs en sécurité de Kaspersky, la plus grosse place de marché de ce type, avec plus de 60 000 empreintes en vente, s’appelle Genesis, un site accessible uniquement sur invitation.
Sur Genesis, les identités se monnayent entre 5 et 200 dollars, en fonction des données qu’elles contiennent. Une empreinte qui contient les identifiants d’un site e-commerce ou d’un site bancaire coûtera plus cher que celui qui ne fait qu’imiter le profil d’un PC portable avec quelques cookies. Comment ces identités ont-elles été créées ? Au travers de malware qui infectent les ordinateurs et récoltent toutes ces informations directement auprès de la victime, expliquent les chercheurs de Kaspersky.
Utiliser une identité numérique Genesis n’est pas compliqué. Il suffit de l’acheter et de la charger dans une extension prévue à cet effet, disponible pour les navigateurs basés sur Chromium. A partir de ce moment, c’est comme si le pirate se mettait un masque. Sa navigation ressemble désormais à celle de quelqu’un d’autre. Si le masque est de bonne qualité, il lui permettra de ne pas déclencher d’alarme au moment de l’achat frauduleux. Genesis permet également de créer des empreintes à la main, ce qui plaira surtout aux pirates qui disposent déjà de toutes les données d’identité.
Un autre outil utilisé par les pirates est le navigateur Tenebris Linken Sphere Browser. D’origine russe, il permet lui aussi de charger des empreintes de navigation. Le navigateur est disponible sur abonnement (100 dollars par mois). Il dispose également d’une place de marché d’empreintes dont l’accès est payant (400 dollars par mois).
Face à ces usurpations d’identité, il existe une solution. Il suffirait que toutes les transactions soient systématiquement validées par un second facteur d’authentification. Un tel système existe et s’appelle 3D Secure. Malheureusement, il n’est pas tout le temps activé. Par ailleurs, il repose généralement sur un code envoyé par SMS, une technique qui est loin d’être parfaitement fiable.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
