3D Secure : VISA et Mas­ter­card de­vien­nent plus sûrs

Dès 2000, VISA a développé une procédure pour rendre l’uti­li­sa­tion des cartes de crédit sur Internet plus sûre. L’en­tre­prise utilise sa propre tech­no­lo­gie sous le nom de « Verified by VISA ». En parallèle, d’autres four­nis­seurs de cartes de crédit ont également mis en œuvre le mécanisme de sécurité. Par exemple, 3D Secure s’appelle chez Mas­ter­card « Se­cu­re­Code » (main­te­nant « Identity Check »), chez American Express « SafeKey » et pour JCB « J/Secure ».

Avant, le paiement sur Internet par carte de crédit était très simple : vous sai­sis­siez les in­for­ma­tions de votre carte dans les champs ap­pro­priés, con­fir­miez d’une certaine manière que vous possédiez la carte avec le code de va­li­da­tion de carte (CVC) qui se trouve à son dos, et validiez en un clic. Toute personne en pos­ses­sion de la carte de crédit pouvait donc acheter des produits sur Internet, même ceux à des prix très élevés. Cette méthode bien sûr ne donnait pas toutes les garanties de sécurité que l’on pouvait espérer.

Au fur et à mesure que le commerce élec­tro­nique se dé­ve­lop­pait et que de plus en plus de gens payaient en ligne avec leur carte de crédit, l’intérêt des criminels pour les cartes de crédit aug­men­tait également. Par­ti­cu­liè­re­ment à travers le phishing et le social en­gi­nee­ring, ils ob­tien­nent souvent les données dont ils ont besoin. C’est donc dans l’idée de contenir ce dé­ve­lop­pe­ment que 3D Secure a été développé.

En plus des in­for­ma­tions contenues sur la carte, la procédure nécessite de fournir des in­for­ma­tions sup­plé­men­taires, telles qu’un mot de passe que seul le titulaire légitime de la carte de crédit peut connaître. Il s’agit donc d’une au­then­ti­fi­ca­tion à deux facteurs : deux données dif­fé­rentes sont requises pour que la carte de crédit soit débitée.

Pour ce faire, le con­som­ma­teur est redirigé vers le site de la société émettrice de la carte de crédit et y entre les données de sécurité sup­plé­men­taires. Le second facteur n’est com­mu­ni­qué par l’uti­li­sa­teur qu’à la banque ou la société émettrice de la carte de crédit. L’ex­ploi­tant de la boutique en ligne reçoit alors sim­ple­ment la con­fir­ma­tion que l’uti­li­sa­tion de la carte est autorisée. Toutefois, cette méthode aussi ne s’est pas avérée très sûre. En 2016, le montant des fraudes dans la zone SEPA est passé à 1,32 milliard d’euros selon la Banque centrale eu­ro­péenne.

Le trai­te­ment des mots de passe statiques n’est pas adapté d’un point de vue sé­cu­ri­taire. Dès que les tiers en ont con­nais­sance, la pro­tec­tion souhaitée ne fonc­tionne plus. Les méthodes dy­na­miques qui s’adaptent à chaque processus sont donc plus adéquats. Par exemple, un SMS avec un code sécurisé généré selon des pro­cé­dures chiffrées ne pouvant être utilisé que pour ce seul paiement.

Les clients et les com­mer­çants en ligne étaient plus qu’in­sa­tis­faits de la première version de 3D Secure. Le site Web appelé pour saisir le facteur de sécurité sup­plé­men­taire était ex­trê­me­ment peu attrayant, l’ap­pli­ca­tion et l’uti­li­sa­tion du mot de passe requis n’étaient pas claires et le processus ne pouvait être intégré con­ve­na­ble­ment dans les ap­pli­ca­tions mobiles. Les clients s’éner­vaient souvent et in­ter­rom­paient les processus de commandes, ce qui par con­sé­quent réduisait les con­ver­sions pour les vendeurs et rendait ces derniers également furieux.

La deuxième version de 3D Secure - également connue sous le nom de 3DS2 - aborde ces questions et vise à améliorer la sécurité. Les nouvelles fonc­tion­na­li­tés sont de plus conformes aux nouvelles di­rec­tives de l’UE sur les services de paiement. En outre, les éta­blis­se­ments de crédit s’adaptent aux évo­lu­tions tech­niques avec la nouvelle version. Aujourd’hui, des appareils (comme les smart­phones) proposent notamment l’au­then­ti­fi­ca­tion par données bio­mé­triques : par empreinte digitale ou en analysant les traits du visage.

3D Secure 2.0 est conçu de sorte que les com­mer­çants puissent intégrer la procédure dans leur processus de paiement. Il en résulte une ex­pé­rience d’achat plus agréable pour le client. En outre, la méthode d’au­then­ti­fi­ca­tion doit cons­ti­tuer un système in­tel­li­gent capable de s’adapter au risque. Cela signifie que les exigences en matière de garantie sont moins strictes pour les petits montants que pour les grands. De plus, 3DS2 peut également être utilisé pour les paiements mobiles et fonc­tionne avec les ap­pli­ca­tions des banques.