Alors que les paiements connectés se font de plus en plus nombreux, le Guardian a révélé qu'un grand nombre de vols et d'arnaques ont été faits avec l'Apple Pay. Un système pas si sécurisé que ça ?
Des banques trop confiantes
Apple n'est pas le dernier à vanter le système de sécurité de ses produits, en particulier celui de l‘Apple Pay lancé en octobre dernier, dans lequel Apple fonde beaucoup d'espoirs pour prendre la tête du marché du paiement connecté. Malheureusement, les faits lui ont donné tort : beaucoup d'utilisateurs américains se sont plaints de vols et d'arnaques. Des cybercriminels ont profité des failles de l'Apple Pay pour voler les données personnelles et les cartes d'identité et bancaires des victimes, révèle The Guardian.
Maigre consolation pour Apple, la faille ne vient pas du système de paiement depuis le smartphone en lui même, mais du système de vérification et de validation des banques. La faute n'est donc pas uniquement dû à la marque à la pomme, mais bien de celle de banques trop confiantes.
Le nombre de transactions frauduleuses passées par l'Apple Pay n'est pas facile à estimer, et les banques restent bien entendues très discrètes à ce sujet. Mais le fait que JP Morgan et Bank of America comptent à eux deux presque 2 millions de clients dont les cartes bancaires sont associées à un compte Apple Pay permet de se faire une idée. Aux États-Unis, les pertes liées à la fraude par vol d'identité viennent pour les deux tiers d'un paiement par carte bancaire. Un événement qui poussera les banques à renforcer leurs mécanismes d'authentification des utilisateurs.
Comment ca marche ?
L'arnaque est très simple. À partir de données d'identités volées, les arnaqueurs créent de nouveaux comptes de paiement Apple. Si le compte répond à certains critères (ancienneté, activité…) Apple valide le compte. Le compte est ensuite automatiquement accepté par la banque du client dont l'identité à été volée. Il devient alors possible de payer par carte.
Et si Apple ne valide pas le compte ? C'est là qu'on arrive à cette faille stupide. Si Apple ne valide pas le compte, c'est aux banques d'assurer elles-mêmes les vérifications. En clair, un transfert de responsabilité. Il suffit pour les arnaqueurs de fournir aux établissements bancaires des infos volées très simples à trouver, comme les numéros de cartes de paiement, ou le numéro de sécurité sociale, voir même simplement le cryptogramme ! Des informations très faciles à trouver dans le deep Web, issues en général des piratages de base de donnée d'entreprise (que ce soit par des criminels ou les états eux même), qui font des dizaines de millions de victimes chaque année, souvent à l'insu de ces mêmes victimes, dont les infos peuvent rester en sommeil des mois, voir des années avant que quelqu'un ne s'en saisisse.
Une fois l'autorisation aisément obtenue par une banque « naïve », les arnaqueurs peuvent payer avec leur iPhone… sans débourser quoi que ce soit. Du moins, pas leur argent, mais celle du client dont l'identité a été volée.
Ironie cruelle, la majorité de ces transactions frauduleuses sont passées par les Apple Store eux-mêmes. Les Apple Store acceptent l'Apple Pay et revendent des produits chers qui se revendent très facilement au marché noir. Apple vend donc ses propres produits aux criminels ayant volé l'identité des clients d'Apple Pay et engrange donc l'argent de ces victimes. Le principal argument de l'Apple Pay et des paiements connectés était leur sécurité améliorée en comparaison d'un paiement « classique ». Alors même que le marché explosera en 2015, les voleurs ont déjà une longueur d'avance…
source: theguardian.com
- Partager l'article :
