Pourquoi Apple Pay peut être une aubaine pour les arnaqueurs

Sans plafond de paiement, Apple Pay facilite la vie des propriétaires d'iPhone... mais aussi des arnaqueurs.

Si l'arnaque au faux conseiller bancaire continue de faire des émules, c'est parce que les escrocs derrière ces techniques rivalisent d'ingéniosité pour convaincre leurs victimes. Ils cherchent de nombreuses failles pour s'y engouffrer et tenter de voler de l'argent.

Et cest notamment le cas avec Apple Pay, qui comporte en réalité un sacré avantage pour les escrocs.

Car si Apple Pay est aujourd'hui très utilisé pour effectuer des paiements en utilisant uniquement son iPhone, et ce, sans jamais sortir sa carte bancaire et taper son code, cela ne l'empêche pas d'être faillible.

Bien à l'abri derrière sa sécurité utilisant FaceID ou TouchID, Apple Pay part du principe que la carte bancaire que vous avez entré dans l'application "Cartes" est bien la vôtre, même si elle est à un autre nom.

A aucun moment Apple ne va vérifier que vous êtes le bon propriétaire, ce qui peut amener à des situations très compliquées chez certaines victimes. Il "suffit" ainsi pour un arnaqueur d'associer une carte bancaire à son propre portefeuille virtuel pour l'utiliser sans avoir besoin du code PIN et sans plafond de paiement - contrairement aux paiements sans contact des cartes bancaires.

Un simple code permet d'ajouter une carte

Et pour récupérer le numéro de la carte, les escrocs agissent comme pour la fraude au faux conseiller bancaire. Ils tenteront ainsi de rassurer les personnes qu'ils ont au téléphone en lui demandant de lui donner le numéro de la carte bancaire (ainsi que les trois chiffres à l'arrière), tout en assurant qu'ils ne demanderont jamais le code PIN à leur interlocuteur.

Sous couvert d'une opération de maintenance, ils vont ensuite demander à leurs victimes une validation sur leur application bancaire. Ce code, de six chiffres (qui peut aussi être le Certicode), permet en fait de valider l'ajout de la carte bancaire sur l'iPhone de l'escroc, qui va ensuite pouvoir dépenser le plus d'argent possible.

Cela vaut aussi pour des SMS frauduleux vous indiquant qu'il faut renouveler votre carte vitale en commandant un nouvel exemplaire - et en ne payant que les frais de port en indiquant votre numéro de carte bancaire qui sera subtilité par la suite. Là encore, une victime persuadée de faire les bonnes démarchent pensera alors que le numéro à six chiffres envoyés par SMS servira à valider l'opération.

Apple Pay n'est pas foncièrement en cause - à la fin, cela reste une faute d'inattention - mais la simplicité avec laquelle il reste possible d'ajouter une carte bancaire dans l'application "Cartes" pose question. D'autant que les banques ne remboursent que très rarement ces fraudes, le client étant considéré comme fautif.

Sylvain Trinel