Fraude aux cartes volées sur votre boutique en ligne : signaux et vérifications avant expédition

Commande d'un nouveau client, montant élevé, livraison express à une adresse qui n'est pas celle de facturation. Payée par carte, sans incident. Vous la préparez, elle part, et quelques semaines plus tard arrive une rétrofacturation : le titulaire de la carte ne reconnaît pas l'achat. Vous avez perdu le produit, l'argent, les frais de port et, en plus, vous payez les frais de rétrofacturation.

La fraude aux cartes volées ne se voit pas au moment du paiement, parce que le paiement fonctionne. Elle se voit dans les détails de la commande, et c'est pourquoi la vérification doit se faire avant l'expédition, dernier moment où vous pouvez encore ne rien perdre.

Comment fonctionne cette fraude

• Données volées. Les numéros de carte proviennent de fuites de données, de phishing ou de skimmers installés dans le checkout d'autres boutiques, et se vendent par lots.
• Tests de cartes. Avant de les utiliser, le fraudeur vérifie lesquelles fonctionnent avec de petits paiements répétés dans des boutiques peu protégées. Si vous voyez des dizaines de tentatives échouées de faible montant en peu de temps, on se sert de vous comme banc d'essai.
• Achat de produits faciles à revendre. Électronique, parfums, cartes cadeaux, pièces détachées chères, vêtements de marque. Tout ce qui se convertit vite en argent.
• Livraison à une adresse de transit. Points relais, consignes ou personnes qui réexpédient le colis.

Ce que 3D Secure couvre et ce qu'il ne couvre pas

Depuis la directive européenne sur les services de paiement (DSP2), les paiements par carte en Europe exigent une authentification forte du titulaire, qui se fait en ligne avec 3D Secure : la banque du client lui demande de confirmer dans son application ou avec un code. Quand un paiement a été authentifié ainsi, la responsabilité d'une rétrofacturation pour fraude passe en général à la banque émettrice de la carte, et non à vous.

Mais il y a des nuances importantes :

• Les exemptions. La passerelle peut demander qu'un paiement échappe à l'authentification (petits montants, analyse de risque). C'est plus confortable pour le client, mais si ce paiement s'avère frauduleux, la responsabilité vous revient généralement.
• Il ne couvre que la fraude. Une rétrofacturation pour « produit non reçu » ou « non conforme à la description » ne se gagne pas avec 3D Secure, mais avec des preuves de livraison et de ce que vous avez vendu.
• Il ne couvre pas le titulaire qui ment. Si le titulaire achète lui-même puis affirme que ce n'était pas lui, 3D Secure est votre meilleure preuve, mais vous devrez la présenter.

Les signaux qui trahissent une commande frauduleuse

Aucun signal isolé ne prouve quoi que ce soit : un client légitime peut offrir un cadeau dans une autre ville. Ce qui compte, c'est l'accumulation.

La routine avant d'expédier

1. Fixez un seuil. Au-delà d'un certain montant, ou avec deux signaux du tableau ou plus, la commande ne part pas sans que quelqu'un l'ait examinée.
2. Regardez le paiement dans le tableau de bord de la passerelle : qu'il existe, que le montant concorde et s'il a été authentifié avec 3D Secure.
3. Cherchez le client dans vos commandes précédentes par e-mail, téléphone et adresse.
4. Appelez le numéro de la commande. Un bref appel pour confirmer la livraison lève beaucoup de doutes : le client légitime répond et vous en remercie.
5. Si le doute persiste, remboursez au lieu d'expédier. Un remboursement avant l'expédition vous coûte peu ; une rétrofacturation après l'expédition vous coûte le produit, l'argent et les frais.
6. Ne changez pas l'adresse d'une commande suspecte après le paiement. Si le client insiste, annulez et qu'il repasse commande.

Quand on vous utilise pour tester des cartes

Une vague de petits paiements échoués ne vous coûte pas de produits, mais elle coûte des commissions, peut amener votre passerelle à examiner votre compte et fausse vos statistiques. Les mesures qui fonctionnent : limiter les tentatives de paiement par client et par connexion, activer les règles antifraude proposées par votre passerelle et filtrer le trafic automatisé avant qu'il n'atteigne le checkout.

Et la fraude qui vient de l'intérieur de votre boutique

Il existe une autre fraude qui n'a rien à voir avec le client : quelqu'un a modifié votre module de paiement pour encaisser sur son compte, ou a placé un skimmer dans votre checkout pour voler les cartes de vos clients. Les deux supposent d'écrire sur votre serveur, et la porte d'entrée la plus courante, ce sont les modules non mis à jour et les mots de passe d'accès volés. Maintenir PrestaShop, PHP et les modules à jour n'est pas une formalité : c'est la différence entre être victime de la fraude ou son instrument.

Checklist

• Seuil de vérification manuelle par montant et par nombre de signaux.
• 3D Secure actif, et exemptions revues pour les montants élevés.
• Vérification dans le tableau de bord de la passerelle avant d'expédier les commandes signalées.
• Appel de confirmation en cas de doute.
• Remboursement préventif plutôt qu'expédition douteuse.
• Limite de tentatives de paiement et règles antifraude de la passerelle activées.

Comment le résoudre dans PrestaShop

Aucun de ces deux modules n'évalue le risque d'un client : cela relève des règles de votre passerelle et de votre routine de vérification. En revanche, ils couvrent la fraude qui entre par votre propre boutique. RKR Order Guard vérifie le numéro de transaction de chaque commande selon la passerelle, vous alerte sur la fiche de la commande —là où se trouve la personne qui va l'expédier— quand un paiement ne semble pas légitime et surveille l'empreinte des fichiers de vos modules de paiement ; il évite aussi qu'une double notification vous laisse deux commandes et deux débits. RKR Security Alert vous prévient par Telegram des connexions au back-office depuis de nouvelles IP, des changements dans les passerelles de paiement et dans les employés, et analyse les fichiers à la recherche de skimmers et de portes dérobées.