Paiements en ligne, les dérives du système bancaire

Malgré les nombreux procédés de sécurité mis en place dans le cadre des paiements en ligne, les fraudes à la carte bancaire sont en forte progression (plus de 67% dans la période 2010-2013 selon l’Observatoire national de la délinquance). Et paradoxalement ou pas, la cybercriminalité évolue grâce aux failles procédurales laissées par les institutions financières, pourtant soumises à des obligations claires de surveillance et d’alerte en la matière.

Afin de pouvoir traiter le problème en amont, l’action prioritaire dans la lutte contre la cybercriminalité devrait être engagée sur le terrain de nos banques qui sont les seules à disposer de moyens pour y faire face. Encore faut-il que le législateur donne l’impulsion nécessaire afin d’élaborer des mécanismes supplémentaires de sûreté, de prévention et de sanctions dans un objectif d’inciter les banques à coopérer plus activement dans cette lutte.

Sommaire

Les paiements en ligne par carte bancaire – à la quête de la sécurité

Le développement des paiements par carte bancaire sur internet, la progression des banques en ligne et les différentes avancées législatives dans le domaine sont destinés à faire en sorte que les consommateurs soient aujourd’hui de plus en plus à l’abri des mauvaises rencontres sur la toile.

Effectivement, les systèmes de paiement par carte bancaire, bien que monnaie courante, sont devenus de plus en plus sophistiqués. La procédure de paiement en ligne fait l’objet de diverses authentifications, vérifications et autres confirmations. Il a été, par ailleurs, annoncé qu’à compter du 1er juillet 2016 les banques devront mettre en place des mesures de sécurité informatiques renforcées. Les innovations comme le « cryptogramme dynamique », l’« authentification par la biométrie vocale », ou le « machine learning » ne seront qu’une partie de l’arsenal bancaire dans la prévention des pratiques illégales en ligne. La difficile tâche est que nos achats et même nos investissements en ligne soient de plus en plus sécurisés.

De leur côté, les prestataires de services bancaires ont fait le travail requis du point de vue formel et technologique pour se conformer aux dispositions de la directive européenne sur les services de paiement (2007/64/CE) et du règlement SEPA (EC 260/2012). Ainsi, en toute logique les paiements transfrontaliers sont devenus « aussi aisés, efficaces et sûrs que les paiements effectués à l’intérieur d’un État membre »¹

Or, quand bien même les paiements par carte bancaire sont « aisés et efficaces », ils ne sont pas pour autant devenus suffisamment sûrs.

Les exemples d’escroqueries et autres types d’abus en ligne sont tellement fréquents qu’on peut se poser cette question à qui profite l’accroissement des paiements en ligne. La réponse n’est malheureusement pas toujours en faveur des consommateurs cherchant « la perle rare » sur internet et payant en toute bonne foi se croyant à l’abris d’une terrible déconvenue.

La cybercriminalité – un défi complexe pour les organismes spécialisés

Dans la mesure où la cybercriminalité fait partie d’un secteur informel qui par définition, échappe au contrôle des institutions étatiques, il est évidemment difficile de donner des chiffres. Toutefois, les estimations sont suffisamment alarmantes pour engager une vaste réflexion sur ce sujet.

Un rapport du réseau des Centres Européens des Consommateurs (CEC) démontre que la quasi moitié des consommateurs européens (45%) font des achats en ligne. Les fraudes liées à ces paiements varient entre 3% et 18% selon les Etats membres de l’Union Européenne. Au niveau mondial la cybercriminalité reporterait 290 milliards d’euros par an selon Europol. Les fraudes les plus répandues étant les sites internet frauduleux, la vente de voitures d’occasion en ligne, les contrefaçons, les essais gratuits de produits « miracles », la vente de billets de spectacles, le phishing et bien sûr le Forex, les options binaires ainsi que les jeux en ligne.

Et en France

Les plaintes des victimes d’escroqueries financières auprès de l’AMF (Autorité des Marchés Financiers) n’ont qu’une valeur déclarative. Suite à ces plaintes, les sites internet frauduleux sont inscrits sur une liste noire² afin de mettre en garde les utilisateurs et empêcher la propagation de l’activité criminelle. Il en est de même en ce qui concerne le dispositif mis en place par le Ministère de l’Intérieur³.

Différents organismes ont été récemment créés au niveau européen dont le but est de contrer le déploiement des fraudes sur internet (à savoir le Centre européen de lutte contre la cybercriminalité (EC3) et European Consumer Centre (ECC-Net).

Le problème est que toutes ces institutions ont vocation à traiter le sujet « après coup », en d’autres termes, elles interviennent lorsque le mécanisme de fraude est déjà en ligne et que celui-ci a déjà entraîné plusieurs victimes. Or, les techniques criminelles évoluent très rapidement grâce aux évolutions technologiques d’une part, et l’insuffisance législative, d’autre part, ce qui rend la tâche des organismes précités encore plus difficile.

Il est évident que pour être efficaces contre la cybercriminalité, les institutions compétentes doivent trouver un moyen d’agir en amont. Il serait ainsi possible de minimiser radicalement les risques d’effectuer un paiement en ligne que l’on regrettera ultérieurement.

Les banques – la clé dans la lutte contre la cybercriminalité

Seules les institutions qui rendent possible les transactions en ligne (à savoir les banques et les processeurs de paiements), et qui sont en contact direct, à la fois avec les victimes et les criminels ont la capacité d’agir en amont. En effet, les banques devraient être partie prenante dans cette lutte en exerçant leurs obligations de conseil et de surveillance de façon beaucoup plus efficace. Elles y sont tenues, par ailleurs, également par les dispositions de la directive européenne relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux et du financement du terrorisme (2005/60/CE).

Pour rappel, la banque a une obligation de surveiller les mouvements des comptes bancaires de ses clients et alerter ces derniers des risques en cas d’anomalies apparentes et de transactions inhabituelles. Dans le cas contraire, la banque doit être tenue responsable pour manquement à ses obligations. Ici la question du consentement du consommateur au moment du paiement devrait être relativisée car ce même consentement a été faussé et dénaturé à l’instant même où il s’est retrouvé face à un commerçant malhonnête ou une organisation criminelle.

La responsabilité bancaire

La jurisprudence en la matière reste très maigre mais elle a tout de même déjà effleuré la question de la responsabilité bancaire dans le domaine. Il pourrait être considéré aujourd’hui, comme une obligation pour la banque d’effectuer systématiquement un contrôle en cas d’indices montrant une anomalie relative aux mouvements dans le compte bancaire de son client.

Or, à l’heure actuelle, la pratique semble démontrer l’inverse. D’une part, les exemples d’alertes ne sont pas systématiques, et d’autre part, si un consommateur ayant fait l’objet d’une escroquerie sur internet essaye de se rapprocher de sa banque afin de chercher ses droits et récupérer ses pertes, il bute, la plupart du temps, sur un mur de silence. L’absence de réponse peut durer plusieurs semaines, voire plusieurs mois. Pour ceux qui ont la chance d’obtenir une réponse, celle-ci sera malheureusement désintéressée et indiquera que la banque n’est pas en mesure de dédommager son client (la victime). Et ceci peu importe si la victime a fait sa demande de remboursement dans le délai (ou pas) de 13 mois à compter de la date du paiement fatal prévu par la loi.

Le constat est sans équivoque et la route encore longue. Devant la progression et l’ingéniosité des pratiques criminelles en ligne, le législateur semble à la fois indifférent et désarmé. Les quelques obligations actuellement mises à la charge des banques sont inefficaces car pas toujours appliquées dans la pratique. Le cadre juridique devrait sans doute être repensé afin de pouvoir prévenir les abus sur internet, de les contrer à leur racine et de limiter le nombre de victimes laissées actuellement sans recours possible.