Acheter en ligne: attention à la guigne

Après votre smartphone et le paiement sans contact (lire FRC Mieux choisir N° 82), ce sont vos achats en ligne qui sont dans le viseur des établissements bancaires et des émetteurs de cartes. En jeu: tous les achats sur des sites marchands que vous réglez sur facture, en lieu et place d’un prélèvement sur une carte de crédit ou à prépaiement. Tout est fait pour vous inciter à vous tourner toujours plus vers la monnaie de plastique…

L’année 2016 s’annonce particulièrement riche en «systèmes de paiement facilité» et autres «portemonnaie numériques». La solution MasterPass de Mastercard vous proposera bientôt de stocker sur un serveur distant toutes les coordonnées nécessaires à un achat en ligne: adresse d’expédition, numéro de carte de crédit ou de débit… Vous n’entrez plus directement ces informations sur le site marchand mais êtes redirigé vers Mastercard pour finaliser la transaction, après identification par nom d’utilisateur et mot de passe. Une solution censée garantir davantage de sécurité, puisque les commerçants ne détiendront plus toutes vos coordonnées.

Annoncé par le groupe Aduno (propriétaire de Viseca), Netcetera et Swisscard, SwissWallet se veut pour sa part une offre complémentaire à MasterPass. Dans ce porte-monnaie numérique sont enregistrés tous vos moyens de paiement à crédit. Le consommateur «gère et utilise ses cartes via un seul login et bénéficie ainsi d’un accès sûr et simple à des solutions de paiement acceptées dans le monde entier», avec des données clients «restant en Suisse chez l’émetteur de cartes concerné», avancent les partenaires. «Aucun numéro n’est transmis, ce qui est un gage de sécurité», précise Christine Mattlé, attachée de presse.

Rien n’est moins sûr. A la différence des solutions d’e-banking, qui recourent à une authentification forte pour l’identification de l’utilisateur, ces solutions n’améliorent que de façon marginale la sécurité… voire créent une autre faille potentielle. «Je suis relativement dubitatif sur les solutions techniques mises en oeuvre», indique Dominique Vidal, expert en sécurité informatique fondateur de SecuLabs. Pour le paiement en ligne, des solutions telles que SwissWallet, où toutes les données de l’utilisateur sont préenregistrées, augmentent en fait le risque: un seul identifiant est nécessaire pour procéder à l’achat.» Mettre la main sur cet identifiant serait une véritable manne pour des personnes mal intentionnées.

Les systèmes de sécurité déjà en place pour les achats par carte, comme 3D Secure, ne sont pas non plus une panacée. Pour finaliser une transaction, le client est redirigé sur le site de sa banque, où il saisit un mot de passe enregistré au préalable. «Cette solution, si elle couvre le risque de la copie complète de la carte par le marchand ou par un tiers non autorisé, ne fournit aucune protection contre un virus de type cheval de Troie installé sur l’ordinateur de l’acheteur», relève encore Dominique Vidal.

Les droits virtuels du client

Autrefois, pour les achats par carte de crédit, seul le vendeur supportait le risque en cas d’usurpation d’identité. Avec des systèmes d’achat en ligne censés garantir que le réel détenteur de la carte est dûment identifié, l’acheteur pourra-il encore arguer de sa bonne foi? Car le fardeau de la preuve repose de plus en plus sur ses épaules. Le service juridique de la FRC est ponctuellement sollicitée pour des fraudes au distributeur, contre lesquelles les banques tentent de se prémunir en affirmant que leur client a certainement dû divulguer son code confidentiel. A l’ère de l’achat en ligne, les droits du consommateur tendent eux aussi à devenir de plus en plus virtuels…