Un important réseau de pirates de cartes bancaires démantelé

Un important réseau de pirates de cartes bancaires démantelé
Après une enquête de plusieurs années, la police judiciaire de Toulouse a mis fin aux agissements d'une bande organisée, qui a fait au moins 3 000 victimes.


Mardi 10 juillet au soir, dans la commune de Sanary (Var), le chef présumé d'une bande organisée de piratage de cartes bancaires a été arrêté par les officiers de la police judiciaire de Toulouse. L'homme en question, un voyou du milieu marseillais, âgé de 53 ans, était recherché par la police depuis quatre ans. Le nombre de victimes de ce très important réseau se chiffre à 3 000.

On ne sait pas combien de personnes constituaient ce réseau, ni si d'autres arrestations ont eu lieu. La neutralisation du cerveau de ce réseau a, semble-t-il, mis fin au travail des policiers.

Les pirates agissaient principalement dans des zones très touristiques comme le Var, les Bouches-du-Rhône, les Alpes-Maritimes, le Vaucluse. 3 000 victimes françaises sont recensées, chiffre qui n'inclut pas les touristes qui auraient pu croiser le chemin de ces pirates. Ces derniers avaient des ramifications jusqu'en en Europe de l'Est, et étaient en contact avec un réseau pirate bulgare.

La méthode du « skimming »

L'enquête a débuté en 2002, à Draguignan, à la suite d'une série de plaintes révélant d'importants détournements d'argent via des distributeurs de billets de la région. Rapidement, les policiers comprennent que les pirates se servent de pièges électroniques dits skimmers. Il s'agit d'un petit boîtier collé, par exemple, sur un distributeur de billets.

Ce matériel électronique est capable de lire la bande magnétique d'une carte bancaire afin d'en extraire les informations. Celles-ci permettent ensuite de cloner, à l'identique, la carte usurpée sur une carte vierge. Pour obtenir le mot de passe de cette dernière, les pirates cachent une mini-caméra au-dessus du clavier, quand ce n'est pas le skimmer lui-même qui sauvegarde cette information dans sa mémoire.

Suite à ces plaintes, les policiers et gendarmes ont remonté, en 2003, la piste d'un ancien technicien de l'Armée de l'air, âgé de 56 ans. Cet électronicien était allé jusqu'à déposer un brevet à l'Institut national de la propriété industrielle, concernant un matériel baptisé « Vidéo Garde ». Cette invention permet de retransmettre les images d'une petite caméra vers un téléphone portable. Une invention qui servira dans plusieurs milliers d'arnaques aux skimmers.

En France, les chiffres de piratage des cartes bancaires sont loins d'être rassurants. L'Observatoire de la sécurité des cartes de paiement a diffusé cette semaine, son rapport pour l'année 2006. On y découvre que le taux de fraude à la carte bancaire a représenté 0,064 % de l'ensemble des transactions en France. Un chiffre qui peut paraître faible, mais qui a coûté aux banques la somme de 252,6 millions d'euros, soit une hausse de 7 % entre 2006 et 2005.

Damien Bancal , 01net., le 13/07/2007 à 17h30

Face aux pirates, les banques cherchent la parade
En mai prochain, le Crédit agricole attribuera à ses clients professionnels un CD-Rom pour l'accès à ses services Web. L'établissement britannique Barclays a choisi, lui, un système de carte à puce.


Les sites Internet des banques comptent évidemment parmi les premières cibles des pirates. Chacune d'entre elles cherche donc la parade au phishing et aux malwares, tels que les chevaux de Troie ou les virus. Et, pour être efficace, il s'agit de faire preuve d'imagination. Deux banques s'apprêtent ainsi à tester des solutions originales pour mieux protéger leurs clients. Point commun : ne plus demander à l'internaute ses identifiants dans le navigateur mais recourir à un dispositif extérieur.

En mai prochain, le Crédit agricole proposera ainsi à ses clients professionnels (entreprises, commerçants, etc.) la carte Tooal (prononcez toile), qui n'est autre qu'un CD-Rom, sous la forme d'une carte bancaire, doté d'un logiciel d'authentification crypté. Ainsi, lorsqu'un client de la banque veut accéder à son compte en ligne, il insère le CD-Rom dans son lecteur. Puis, un menu apparaît lui demandant de saisir son mot de passe sur un clavier virtuel, opération vérifiée par la carte Tooal. Il est ensuite automatiquement connecté à ses comptes bancaires.

Ce système a été développé par une jeune entreprise française, Mediscs, installée à Montpellier. Le Crédit agricole ne donne pas de précision pour le moment sur une possible mise à disposition pour ses clients grand public.

« Ne pas utiliser le même système que les autres »

La banque britannique Barclays a choisi, elle, une identification alliant une carte bancaire à puce à un lecteur. Outre-Manche, 500 000 de ses clients devraient recevoir leur lecteur d'ici à la fin de l'année (voir photo). Le système ne sera nécessaire que pour effectuer des virements vers un compte extérieur pour la première fois. Pour la simple consultation des comptes ou pour des virements internes, les clients de Barclays continueront d'utiliser la procédure actuelle, qui conjugue authentification en ligne avec confirmation par SMS.

La mise en place de telles nouveautés résulte bien sûr de la nécessité pour les banques d'innover sans cesse face aux dangers d'Internet. « L'une des bonnes stratégies est de ne pas utiliser le même système que les autres banques, explique Nicolas Woirhaye, directeur de la cellule CERT-Lexsi de la société Lexsi, spécialisée en audit de sécurité. Le système du Crédit agricole est très original de ce point de vue. ».

La Caisse d'épargne allie Internet et téléphone mobile

Pour parer au vol des mots de passe et des identifiants, la plupart des banques françaises ont mis en place des claviers virtuels : l'internaute y saisit son mot de passe en cliquant sur des images qui font office de touches d'un clavier. « Mais tous les établissements n'ont pas pensé à crypter ensuite l'envoi des données depuis le clavier virtuel et le navigateur, regrette Nicolas Woirhaye. Seules la BNP et la Société générale l'ont fait. »

« Une autre solution, mise en place par la Caisse d'épargne, combine site Web et téléphone mobile, poursuit-il. C'est très efficace. » L'internaute se connecte au site de la banque et donne son numéro de téléphone mobile. Il est alors rappelé par un automate qui lui demande son mot de passe, à composer sur le téléphone lui-même.

Néanmoins, conclut Nicolas Woirhaye, « tant que les banques permettront les virements en ligne, les attaques de pirates continueront. Et les banques n'ont pas la capacité de réagir assez vite ».

Karine Solovieff , 01net., le 20/04/2007 à 18h43
Déposé par xaya pour interinfo