YesCard
Une YesCard est une carte bancaire illicite donnant une autorisation de transfert (« oui » à la demande) quel que soit le code secret[1] tapé par son titulaire.
Description
Fonctionnement
Une YesCard est une carte à puce, vierge à l'origine, dans laquelle un programme informatique et des données spécifiques sont programmées par un pirate. Elle se comporte comme un émulateur de carte bancaire et simule parfaitement son fonctionnement, à la différence près qu'elle accepte n'importe quel code à 4 chiffres[1].
La carte à puce se présente sous la forme d'une vraie carte au format carte de crédit, soit de couleur dorée en général, soit sous la forme d'un circuit imprimé de 0,8 mm d'épaisseur[réf. souhaitée]. Ces cartes ne peuvent s'utiliser que sur des distributeurs automatiques ne tenant compte que de la puce : pompe à essence, distributeurs de pizzas ou tout autre nourriture, distributeurs de DVD ou VHS en location, etc.[1].
Les pirates peuvent générer des numéros de cartes de manière aléatoire (et donc générer un numéro existant ou non). En général, si le numéro existe, le nom du porteur donné par la carte est faux. De plus, lors d'une transaction, la carte doit générer un certificat de 8 octets par un calcul cryptographique de Data Encryption Standard (DES), qui est évidemment faux avec une YesCard ; la puce utilisée ne dispose pas de la clé secrète nécessaire à ce type de calcul. Jusqu'en 2001, le numéro de la carte pouvait également être généré à partir d'une facturette, c'est pourquoi il fallait toujours la récupérer après un achat ou un retrait, ou ne pas la demander.[réf. souhaitée]
MiM Cards
La nouvelle génération de YesCard porte pour nom les « MiM Cards », pour Man in the middle attack cards (cartes de l'Attaque de l'homme du milieu). Cette technique de fraude nouvelle apparait pour la première fois en France en 2011[2].
La fraude nécessite, à en croire les policiers, de posséder des « connaissances techniques et électroniques complexes »[2]. Les escrocs vont jusqu’à superposer une nouvelle puce électronique sur la puce originale. Le support contrefait permet de payer des achats de montants inférieurs aux seuils d'autorisation bancaires[3] dans tous les types de commerces, en composant un code aléatoire[2].
Le , après plusieurs mois d'enquête, des policiers français de la Brigade des fraudes aux moyens de paiement (BFMP) ont démantelé une équipe qui agissait ainsi. Quatre individus, âgés de 18 à 28 ans, ont été interpellés à Maisons-Alfort et Fontenay-aux-Roses. Au cours de l’enquête, les enquêteurs ont établi qu’un cinquième individu – sans doute le commanditaire – prenait la main depuis la Tunisie sur les ordinateurs et programmait les puces contrefaites[2]. À charge des jeunes Français, ensuite, d’assembler les différents composants et de souder les supports falsifiés sur les cartes, pour un préjudice total évalué à 160 000 euros[2].
Point de vue législatif
En France
La contrefaçon et la falsification des cartes bancaires sont régies par l'article L163 du Code monétaire et financier.
- Art. L. 163-3 (Ordonnance no 2009-866 du )[4]
« Est puni d'un emprisonnement de sept ans et d'une amende de 750 000 d'euros le fait pour toute personne :
- De contrefaire ou de falsifier un chèque ou un autre instrument mentionné à l'article L. 133-4 ;
- De faire ou de tenter de faire usage, en connaissance de cause, d'un chèque ou un autre instrument mentionné à l'article L. 133-4 contrefaisant ou falsifié ;
- D'accepter, en connaissance de cause, de recevoir un paiement au moyen d'un chèque ou d'un autre instrument mentionné à l'article L. 133-4 contrefaisant ou falsifié. »
- Art. L. 163-4[5]
« Est puni de sept ans d'emprisonnement et de 750 000 euros d'amende le fait, pour toute personne, de fabriquer, d'acquérir, de détenir, de céder, d'offrir ou de mettre à disposition des équipements, instruments, programmes informatiques ou toutes données conçus ou spécialement adaptés pour commettre les infractions prévues au 1° de l'article L. 163-3. »
- Art. L. 163-4-1[6]
« La tentative des délits prévus au 1° de l'article L. 163-3 et à l'article L. 163-4 est punie des mêmes peines. »
- Art. L. 163-4-2[7]
« Les peines encourues sont portées à dix ans d'emprisonnement et un million d'euros d'amende lorsque les infractions prévues aux articles L. 163-3, L. 163-4 et L. 163-4-1 sont commises en bande organisée. »
Notes et références
- Frédéric Abéla, « Toulouse. « Yes card » : la parade des grandes surfaces », sur La Dépêche du Midi.fr, .
- William Molinié, « Débits frauduleux à la CB : les techniques des escrocs pour récupérer vos informations bancaires », 20 minutes.fr, .
- Vincent Vantighem, « La police dit non au trafic de "yes-card" à Lille-Sud », sur 20 minutes.fr, .
- Article L163-3 du Code monétaire et financier
- Article L163-4 du Code monétaire et financier
- Article L163-4-1 du Code monétaire et financier
- Article L163-4-2 du Code monétaire et financier
Annexes
Articles connexes
- Carte de paiement
- Piratage informatique
- Carte à puce
- Guichet automatique bancaire / Jackpotting
- Serge Humpich, rendu célèbre en déchiffrant la signature électronique des cartes bancaires françaises, créant effectivement des YesCards.
