MON-AVIS, BLOG OPINIONS MAJORITE SILENCIEUSE

FORMJACKING L'arnaque au "formjacking"
Ou vol de contenu de formulaire de commande...

Qu'est-ce que c'est ?
Même s'il est invisible pour l'utilisateur, et souvent aussi pour le site marchand, le formjacking menace ses victimes potentielles.
Cette arnaque est l'une des dernières créations de hackers qui s'introduisent dans le code source de sites d'e-commerce pour dérober les données personnelles des internautes qui commandent.
Lorsque ceux-ci entre leurs coordonnées pour effectuer un paiement en ligne, ses informations (nom, adresse, coordonnées bancaires…) sont pompées en temps réel grace à un programme malveillant, qui enregistre les touches frappées.
Le consommateur finalise ainsi sa commande, sans moyen de déceler le piratage, qui ne laisse aucune trace.
Il s'en rendra compte plus tard en constatant des débits frauduleux sur le relevé de son compte !

Un effet retard qui complique les choses
Selon Symantec (l'éditeur d'anti-virus), ce ne sont pas moins de 4800 sites Internet qui ont été infectés chaque mois sur la seule année 2018.
Les hackers avaient infiltré par exemple le code d'un prestataire (support client) de la billetterie en ligne.
Mais une société aussi importante que British Airways a également été la cible d'un tel piratage en 2018 et l'entreprise ne s'en est rendu compte qu'au bout de plusieurs mois après avoir comptabilisé 244 000 victimes.

Itinéraires des données piratées
Une fois les informations prélevées, les hackers les vendent à des réseaux mafieux, qui s'en servent pour effectuer des achats frauduleux.
Cela peut aboutir à l'usurpation de votre carte de paiement :
Dans son rapport annuel (portant sur 2017), l'Observatoire de la sécurité des moyens de paiement (Banque de France) précise que « l'usurpation de numéros de cartes pour réaliser des paiements illicites reste toujours la principale origine de la fraude sur le paiement et le retrait par carte » (66 % en montant).
Le phishing et les malwares, dont le formjacking fait partie, représentent les techniques les plus fréquentes pour y parvenir.
De telles arnaques posent la question de la sécurisation des données des utilisateurs.
L'époque où un site "https" était sécurisé est terminé !

Quel recours ?
Le remboursement n'est pas automatique même si la banque ne peut pas invoquer la négligence du consommateur qui se plaint de s'être fait voler de l'argent, puisque le piratage s'est effectuer à son insu, et suite à une faille du site de commerce, à l'occasion d'un véritable achat.
Mais pour l'internaute, il est difficle de prouver quand et sur quel site, il s'est fait aspirer ses données.
Le RGPD oblige cependant les sites à informer leurs visiteurs victimes de toute « violation de données à caractère personnel » qui comporte un risque (article 34).
Ainsi averti, le client peut notamment prévenir sa banque, qui peut à son tour surveiller les mouvements suspects sur son compte et remplacer sa carte bancaire.

A savoir :
Un antivirus installé sur l'appareil de l'internaute ne peut ni empêcher, ni détecter l'attaque qui est installé sur le serveur du site d'e-commerce.

Seuls les systèmes de paiement en ligne dotés d'une sécurisation renforcée comme le 3D-Secure (code unique de validation reçu par SMS) peut vous garantir de cette menace.
Il revient donc aux e-commerçants la responsabilité de se prémunir des attaques, notamment depuis l'entrée en vigueur du RGPD, le 25 mai 2018, en déployant des systèmes comme le 3D-Secure.
De tels « dispositifs d'authentification forte », désormais rendus obligatoires par la directive européenne sur les services de paiement (DSP2) entrée en vigueur en 2018, expliquent une baisse du montant des fraudes.