Retour MYTF1
Cartes bancaires © TF1/LCIBranle-bas de combat dans le monde très feutré des banques françaises : plusieurs des grands noms du secteur font, depuis plusieurs jours, plancher leurs spécialistes sur des scénarios possibles de fraude, croit savoir Le Figaro. En cause : ce qui, jusqu'à présent, semblait pour toute la profession le nec plus ultra en matière de sécurité des transactions - la sécurité des cartes à puce. Découverte française, la fameuse puce est considérée comme bien plus sécurisée que la bande magnétique dont sont également équipées les cartes bancaires. Or, voilà qu'un universitaire britannique assure avoir découvert comment contourner les barrières de sécurité. Et il se dit prêt à publier le résultat de ses expériences sur Internet. L'homme a pour nom Ross Anderson, il est chercheur en sécurité informatique, et il s'est intéressé au standard européen EMV (Europay-Mastercard-Visa), qu'utilisent non seulement les banques françaises, mais aussi celles de tous les pays d'Europe.
Cartes bancaires : une faille dans le système de codes confidentiels ?
Dans la chronique de l'éconmie sur LCI Radio, Sylvie Cenci revient la faille qu'assure avoir trouvée un spécialiste britannique de la sécurité informatique sur la sécurité des cartes bancaires.
Publié le 21/01/2010
Ce n'est pas la première fois que des chercheurs ou bidouilleurs de génie affirment avoir découvert LA faille qui rendrait caduque la sécurité des cartes bancaires. En témoigne l'affaire Serge Humpich : au cours de l'année 2000, cet informaticien avait été condamné à dix mois de prison avec sursis pour avoir découvert, et tenté de négocier avec le Groupement des Cartes Bancaires, des informations sur une faille de sécurité des CB qui les rendait faciles à falsifier. Plutôt que de traiter le problème discrètement, le Groupement CB avait choisi la voie judiciaire ; le procès, largement médiatisé, avait eu un impact désastreux sur l'image des banques.
Comment utiliser une carte en se passant du code
Dans le même ordre d'idée, en 2005, deux informaticiens, traquant les failles de sécurité de la carte Vitale (également équipée d'une puce), s'étaient attirés les foudres de l'assurance-maladie : Jérôme Crêtaux, ingénieur informaticien travaillant pour un éditeur de logiciels médicaux, avait tout simplement fabriqué une copie de la carte Sesam-Vitale ; copie que l'un de ses amis avait utilisée sans problème chez un médecin et dans une pharmacie. Ceci dans le but de démontrer l'absence de protection des données figurant sur cette carte.
Mais cette fois, la menace est de plus grande ampleur, et il risque d'être difficile pour les banques françaises d'étouffer l'affaire. L'universitaire à l'origine de ce vent de panique dans les banques a en effet déjà prévenu la Financial Services Authority, qui chapeaute le secteur financier au Royaume-Uni, ainsi que la Banque centrale européenne de son intention de dévoiler publiquement le résultat de ses recherches. Des recherches qui lui auraient permis, non pas de "casser" le fameux code des cartes à puce, mais de biaiser la communication entre la puce et le lecteur lors du paiement, permettant ainsi de sauter l'étape du code, comme s'il avait été effectivement tapé par le possesseur de la carte. Transformant ainsi n'importe quelle carte bancaire en "Yescard" en puissance. "C'est un concept de fraude que nous connaissons, sous le nom de man in the middle. La nouveauté est que ce professeur a réussi à le mettre en oeuvre il y a quelques semaines", explique Jean-Marc Bornet, administrateur du Groupement des Cartes Bancaires. Tout en insistant sur le fait que le scénario, pour l'instant, reste "académique".
Mais ce concept que l'on croyait purement théorique, et désormais mis en oeuvre, suiffit à mettre les banques en ébullition. "Le Crédit agricole, le Crédit mutuel, la Banque postale ou encore BNP Paribas sont mobilisés pour prévenir un scénario d'attaque", avoue, sous couvert d'anonymat, un banquier dans les colonnes du Figaro. Gilles Guitton, président du conseil de direction du Groupement des cartes bancaires, veut pour sa part rassurer les clients des banques : "Le porteur de cartes ne subira pas de préjudice, pour autant qu'il soit de bonne foi", affirme-t-il dans le même quotidien. Les spécialistes de la sécurité bancaire soulignent en outre que ce qui est possible dans la quiétude d'un laboratoire ne l'est pas forcément pour un fraudeur en puissance. L'expérience nécessite en effet un matériel volumineux, difficile à utiliser discrètement en magasin. Par ailleurs, le "leurre" grâce auquel le chercheur britannique a pu sauter l'étape du fameux code ne peut fonctionner pour faire des achats sur internet.
Chargement en cours...
