Sécurité des paiements par carte : PCI DSS, fraude et bonnes pratiques du commerçant

Tout commerçant qui accepte les cartes est concerné par la sécurité des données de paiement. Le référentiel de référence est la norme PCI DSS, définie par les réseaux de cartes, que votre établissement vous demande de respecter. Pour la majorité des petits commerçants, la conformité passe par des gestes simples : matériel certifié, aucune conservation de données de carte, accès limités et vigilance contre les faux techniciens.

Qu'est-ce que PCI DSS ?

PCI DSS (Payment Card Industry Data Security Standard) est un ensemble d'exigences de sécurité pour toute entité qui stocke, traite ou transmet des données de cartes. Il est géré par le PCI Security Standards Council et appliqué par les établissements d'acceptation via leurs contrats. Il ne s'agit pas d'une loi mais d'une obligation contractuelle, dont le non-respect peut entraîner des pénalités, des frais ou la résiliation du contrat, et engager votre responsabilité en cas de fuite de données.

Les exigences portent notamment sur la sécurité des réseaux, la protection des données, la gestion des accès, la surveillance et les politiques internes. Leur niveau d'application dépend du volume de transactions et de la façon dont vous encaissez. Un commerçant qui utilise un terminal certifié, sans jamais saisir de données de carte sur ses propres systèmes, a des obligations plus légères qu'un site marchand qui traite lui-même les numéros de cartes. Votre établissement vous indique en général la procédure d'auto-évaluation à remplir.

Les gestes essentiels pour un petit commerçant

Les frais de non-conformité parfois facturés par un établissement aux commerçants qui ne remplissent pas leur questionnaire peuvent être évités simplement en le complétant dans les délais.

Les fraudes les plus fréquentes

1. Le faux technicien : une personne se présente comme envoyée par votre établissement pour « mettre à jour » ou « échanger » le terminal. Il peut installer un dispositif malveillant ou récupérer vos accès. Rappelez toujours l'établissement avec le numéro figurant sur votre contrat avant de laisser quiconque intervenir.
2. Le remboursement sur une autre carte : un client demande qu'un remboursement soit crédité sur une carte différente de celle du paiement. Refusez.
3. La commande à distance suspecte : montant élevé, adresse de livraison étrangère, plusieurs cartes pour un même achat.
4. Le trop-perçu : un faux client « se trompe » de montant puis exige le remboursement d'une différence en espèces.
5. Le dispositif de copie : lecteur supplémentaire ou caméra dissimulée près du clavier.
6. L'hameçonnage : faux courriels ou messages imitant votre établissement pour obtenir vos identifiants.

L'authentification forte et les paiements à distance

Pour les paiements en ligne, la directive européenne sur les services de paiement impose en principe une authentification forte du client, avec des exceptions. Elle est appliquée en pratique par des dispositifs comme 3-D Secure. Le paiement en face à face avec puce et code ou avec un portefeuille mobile authentifié relève aussi de mécanismes d'authentification. Pour un commerçant, ces dispositifs réduisent le risque de fraude et influent sur la répartition de la responsabilité en cas de litige ; voir impayés et rétrofacturations.

Exemple de coût d'un incident

Exemple pédagogique (valeurs illustratives). Un commerçant découvre qu'un dispositif de copie a été installé sur son terminal pendant plusieurs jours. Les conséquences possibles : remboursement des clients lésés par leur banque puis répercussion sur le commerçant selon les règles du contrat, enquête, frais de remplacement du matériel, perte de confiance de la clientèle et éventuelle notification à la CNIL si des données personnelles sont concernées. Même sans chiffrer précisément, le coût dépasse presque toujours l'investissement de prévention.

Obligations en matière de données personnelles

Si vous conservez des données de clients (nom, courriel, historique d'achats), le RGPD s'applique. La CNIL propose des guides pratiques pour les petites entreprises. En cas de violation de données personnelles, vous avez des obligations de notification à la CNIL dans des délais courts, et parfois d'information des personnes concernées. En cas de doute, demandez conseil rapidement.

Que faire en cas d'incident

1. Isolez le terminal et cessez de l'utiliser si vous soupçonnez une compromission.
2. Contactez immédiatement votre établissement.
3. Conservez les preuves : photos, messages, journaux.
4. Changez vos mots de passe et codes d'accès.
5. Déposez plainte si une infraction est constatée.
6. Informez votre assurance si vous avez un contrat couvrant le risque cyber.

Le dispositif Cybermalveillance.gouv.fr propose une assistance aux victimes et des conseils aux professionnels.

Quand demander conseil

Si votre activité traite des données de cartes sur vos propres systèmes (site marchand, caisse connectée), faites-vous accompagner d'un prestataire qualifié pour votre conformité. Pour les questions juridiques, consultez un juriste spécialisé ou la CNIL.

Questions fréquentes

PCI DSS est-il obligatoire ?

C'est une exigence contractuelle imposée par les réseaux de cartes via votre établissement. Votre contrat précise ce qui vous est demandé.

Un petit commerçant doit-il vraiment s'en soucier ?

Oui, mais le niveau d'exigence est adapté à votre configuration. Un terminal certifié et de bonnes habitudes couvrent l'essentiel.

Puis-je noter un numéro de carte par téléphone ?

Non, c'est déconseillé et souvent interdit par votre contrat. Utilisez un lien de paiement sécurisé.

Qui est responsable en cas de fraude ?

Cela dépend des circonstances, des règles du réseau et de votre contrat. Lisez la clause de responsabilité avant de signer.

Sources et références

• PCI Security Standards Council — norme PCI DSS
• CNIL — protection des données personnelles et violations de données
• Cybermalveillance.gouv.fr — assistance aux victimes
• Banque de France — Observatoire de la sécurité des moyens de paiement