Les fraudeurs ciblent préférentiellement les nouveaux sites, sachant que leurs gérants sont peu expérimentés, pas encore aguerris. Or, on pourrait être tenté de croire naïvement que cela n’arrive qu’aux sites bien connus.
Les conséquences financières sont en fait très souvent supportées par le vendeur (le consommateur étant techniquement et juridiquement plutôt bien protégé s’il achète auprès d’un vendeur officiel situé en Europe).
Le Cabinet-conseil Retis, spécialisé en e-commerce, notamment au niveau de la cybersécurité des e-commerçants, détaille la problématique de la fraude vue du côté du vendeur en ligne.
La charge de la preuve en cas de fraude au paiement en ligne incombe généralement au commerçant en ligne.
Si le consommateur est globalement bien protégé lors de paiement en ligne, par contre l’e-commerçant doit rester prudent:
- en veillant à employer les moyens de paiement sous la forme présentant le plus haut niveau de fiabilité
- en restant vigilant, particulièrement lors d’opérations d’exportation,
- en procédant notamment à des contrôles humains lorsque des opérations suspectes sont relevées, comme il le ferait naturellement dans un commerce traditionnel en prévoyant par exemple des détecteurs de faux billets et des vigiles à la sortie du magasin.
Statistiques de fraude lors du paiement en e-commerce
- 26% des e-commerçants déclarent que la fraude « nuit considérablement » à leur rentabilité et 34% estiment une perte de revenus de 5%-10% (étude de Riskified – 2020).
- Retis constate sur le terrain que des e-commerçants peu attentifs perdent > 2% du CA. Les tentatives de fraude sont assez nombreuses (> 1%) mais il est possible assez aisément d’en faire échouer > 95%
- Bilan en 2022 selon la Banque de France: 0,171 % de fraudes réussies en France (+/- 0,25% en valeur), soit environ 1€ perdu par tranche d’achat de 400 €. A prendre en considération dans un business plan, surtout si l’activité est importante à l’international (le taux peut se rapprocher de 1%)
Sous-traiter à un PSP n’est pas une garantie zéro souci !
En cas de contestation d’une opération par le titulaire d’une carte de crédit (répudiation), l’acquéreur peut se retourner auprès de l’e-commerçant en lui demandant de montrer qu’il a bien eu une transaction en bonne et due forme et de communiquer à qui le produit ou service a été transmis. Même si l’opération a été acceptée automatiquement, l’ « acquéreur » de la carte de crédit, en l’absence d’éléments probants de concordance d’identité entre le titulaire et le destinataire ou de précédents de fraude au niveau du titulaire, risque fort probablement de ne pas payer le commerçant qui aurait été imprudent de fournir un produit sans prendre de précautions! En effet, une obligation de prudence dans le chef du vendeur figure dans la plupart des contrats conclus avec les « acquéreurs » de cartes.
À noter aussi que le recours à des sociétés spécialisées en paiement électronique ne lève pas d’office ce risque: en effet le métier de celles-ci est de recueillir en ligne de façon sécurisée les données financières et non pas de contrôler l’identité de l’acheteur. Le message que le vendeur reçoit après la transaction en ligne signifie simplement qu’il n’y a pas de dépassement de la limite de la carte de crédit indiquée et que la carte ne fait pas l’objet d’une opposition, mais celui-ci garantit absolument pas que le vendeur sera payé.
Heureusement la généralisation du 3D Secure et plus globalement la Directive DSP 2 sur les services de paiement (imposant une authentification « forte », avec au moins 2 systèmes différents sur les 3 de validation des opérations : élément de connaissance comme un mot de passe, élément d’inhérence comme une empreinte digitale, élément de possession comme un Digipass, un smartphone, une montre connectée) diminue sensiblement le risque lors d’opération intra-européenne. Par contre, les mauvaises surprises arrivent encore fréquemment pour des opérations impliquant un continent différent (pays du détenteur de la carte – pays où s’est déroulée l’opération – pays où est livré le colis).
Quelques conseils pour réduire le risque de fraude:
- Sous-traiter les opérations de recueil en ligne des données financières et l’interfaçage informatique auprès d’une société spécialisée (PSP).
- Eventuellement souscrire à un package optionnel « gestion et prévention des fraudes » (des modules informatiques permettent ainsi de calculer un indice de risque sur base de plusieurs critères tels que l’adresse IP, l’origine de la carte, des opérations multiples, etc. et ainsi de n’autoriser automatiquement la transaction que lorsque le seuil de risque déterminé à l’avance par le vendeur n’est pas atteint);
- Récolter les coordonnées postales (voire également téléphoniques) des clients et procéder à des contrôles manuels en cas d’opérations suspectes (par exemple donner un coup de téléphone de vérification si les achats sont effectués par un nouvel acheteur d’un pays étranger via une carte de crédit émise dans un autre pays, en cas d’achat de quantités importantes, en cas de livraison à une autre adresse, sous un autre nom que celui mentionné pour la carte de crédit, etc.). Ces vérifications humaines se feront aussi si le seuil de risque calculé par un module de sécurité est dépassé;
- Quand cela s’y prête, faire livrer la marchandise au domicile du client par une société de transport qui demandera au destinataire de signer un accusé de réception. Il est en effet pertinent pour l’e-commerçant de se réserver un maximum de preuves, quant à la réalité et la fiabilité de la transaction bien entendu, mais aussi quant à la réalité de la fourniture d’un produit ou d’un service et quant à l’identité du destinataire;
- Redoubler de prudence lors de transactions vers l’étranger, compte tenu des risques plus grands et de la plus grande difficulté de régler les éventuels litiges. Bloquer celles provenant de pays à risques ou établies à partir d’adresses IP anonymes;
- En cas de renonciation d’un achat, ne jamais rembourser le client au moyen d’un autre mode de paiement que celui utilisé pour acheter;
- Pour les transactions par cartes de crédit: imposer le protocole 3D Secure pour les clients nouveaux et/ou au delà d’un certain montant (certains acquéreurs imposent même systématiquement cette opération quelle que soit la transaction). Ce dispositif se concrétise en Belgique par l’obligation pour l’acheteur de s’authentifier en validant l’opération via l’interface de webbanking et son « digipass ». Il s’agit d’une sorte de garantie de paiement au commerçant jusqu’à un certain montant et moyennant le respect strict des procédures fixées. Cette garantie ne fonctionne toutefois pas dans le cas où le motif invoqué par le titulaire de la carte est ne pas avoir effectué la transaction (par exemple s’il déclare ne pas avoir reçu le produit), et pour des cartes émises hors zone intra-européenne.
Veillez également d’être en mesure de réagir, ce qui implique notamment de se réserver des preuves fiables (de retrait du colis, d’horodatage, de logs au serveur,…) pour pouvoir documenter l’incident lors du dépôt de plainte auprès de la Crime Computer Unit.
Les principaux conseils de Retis en matière de fraude en e-commerce
Protéger son e-shop, mais avant tout rassurer l’acheteur en ligne !
Si le consommateur honnête n’est en fin de compte que rarement impacté par la fraude, il reste néanmoins souvent angoissé de devoir payer en ligne. Si vous voulez qu’il achète chez vous plutôt que de se rabattre vers des grandes enseignes concurrentes bien connues dans votre secteur, redoubler d’efforts d’information pour le rassurer, via des FAQ (questions/réponses) ou une page spéciale « paiement sécurisé » :
- Bien communiquer concernant les modalités de paiement et de remboursement ainsi que sur les dispositions prises pour garantir la sécurité des transactions en ligne, en allant bien au delà de l’obligation minimale d’information imposée par la législation belge (Retis peut vous conseiller tant au niveau optimisation de la conversion que du respect de la réglementation).
- Ne pas imposer un seul moyen de paiement en ligne.
- Bien expliquer comment va se dérouler l’opération de paiement (les différentes étapes, les informations qui devront être communiquées, la méthode de sécurisation utilisée), nommer les prestataires avec lesquels vous travaillez, et indiquez comment vous joindre pour répondre aux dernières interrogations à ce propos.
- La fédération Becom.digital propose en Belgique un label de qualité qui peut apporter un élément supplémentaire de confiance.
Sommaire du dossier de RETIS « Dossier paiement en ligne »:
- 1e partie: Les différents moyens de paiement en ligne
- 2e partie: Comment sélectionner les moyens de paiement ainsi que le prestataire
- 3e partie: Comment choisir un PSP
- 4e partie: La Fraude au paiement en ligne : comment la réduire ?
- 5e partie: Recommandations
Besoin de conseils pour limiter la fraude et optimiser l’encaissement en ligne ?
