Skimming carte bancaire : repérer un DAB piégé et réagir

Voler les données d’une carte bancaire sans jamais la toucher physiquement : c’est exactement ce que permet le skimming carte bancaire. Cette fraude consiste à intercepter vos informations entre le moment où vous insérez votre carte et celui où la transaction s’effectue. En France, les boîtiers physiques sont mieux combattus, mais le risque n’a pas disparu et les formes numériques imposent la même vigilance. Vous apprendrez ici à reconnaître un terminal compromis, à comprendre les variantes du clonage de carte bancaire et à savoir quoi faire si vous êtes touché.

Comment fonctionne le skimming sur les distributeurs de billets ?

Un skimmer est un boîtier conçu pour s’emboîter dans la fente d’un distributeur automatique de billets. Il copie les données de la bande magnétique au moment où vous introduisez votre carte, sans perturber le retrait. Tout fonctionne normalement de votre côté : vous ne remarquez rien.

La capture du code PIN se fait généralement par une caméra miniature orientée vers le clavier ou par un faux pavé numérique collé sur le vrai, qui enregistre chaque frappe. Certains dispositifs transmettent ensuite les données volées à distance, ce qui évite au fraudeur de revenir récupérer immédiatement son matériel.

Ces données peuvent servir à fabriquer une carte contrefaite à bande magnétique ou à réaliser des achats sur des sites où les contrôles sont insuffisants. Le skimming associe donc souvent la copie de la carte à l’observation du code confidentiel.

Du shimming à l’e-skimming : les formes modernes de la fraude

Le shimming, difficile à repérer à l’œil nu

Le shimming est une évolution sophistiquée du clonage classique. Ce dispositif, aussi fin qu’une feuille de papier, se glisse à l’intérieur du lecteur et intercepte les données échangées entre votre carte et la puce EMV. Il est pratiquement impossible à repérer par une simple inspection visuelle.

Cloner directement une puce EMV reste très difficile. Les criminels cherchent plutôt à exploiter les données récupérées sur des circuits moins sécurisés ou à les associer à d’autres informations volées. Cette variante confirme qu’un terminal peut être compromis sans présenter de boîtier visible.

L’e-skimming, la menace invisible sur les sites marchands

L’e-skimming transpose la logique du boîtier physique dans le commerce en ligne. Des cybercriminels injectent du code dans la page de paiement d’un site. Quand vous saisissez votre numéro de carte, sa date d’expiration et le cryptogramme, ce script peut capturer les informations et les transmettre aux attaquants. Ni l’acheteur ni le commerçant ne voient nécessairement de signe immédiat.

Les campagnes parfois regroupées sous le nom de Magecart ciblent directement des boutiques ou des services tiers chargés sur leurs pages. Des scripts malveillants peuvent être dissimulés dans des fichiers ou prendre l’apparence d’outils légitimes. Pour l’internaute, une page familière et une connexion HTTPS ne suffisent donc pas à garantir que le formulaire de paiement n’a pas été compromis.

Reconnaître un distributeur ou un terminal compromis

Quelques secondes d’observation avant d’insérer votre carte peuvent tout changer. Voici les signaux physiques à repérer :

• Une pièce qui bouge ou semble rapportée sur le lecteur de carte
• Des traces de colle ou des résidus autour de la fente
• Un autocollant de sécurité décollé ou abîmé
• Un clavier plus épais qu’à l’ordinaire ou légèrement mal aligné
• Des couleurs ou textures différentes entre le lecteur et le reste du terminal

Sans forcer ni endommager l’appareil, vérifiez si le lecteur présente un jeu anormal. Un skimmer mal fixé peut bouger. Les boîtiers sont conçus pour imiter l’apparence d’un terminal légitime, mais cette vérification simple permet parfois de les démasquer. En cas d’anomalie, n’utilisez pas le distributeur et prévenez l’établissement qui l’exploite.

Les distributeurs situés dans des endroits isolés ou peu fréquentés sont plus faciles à manipuler. Préférez ceux placés à l’intérieur ou à proximité immédiate d’une agence bancaire. En station-service, les pompes proches du bâtiment sont généralement plus visibles que celles en bout de rangée. Les exploitants équipent aussi leurs automates de dispositifs anti-skimming, mais aucune protection ne dispense d’un contrôle rapide.

Les bons réflexes pour protéger sa carte bancaire

Le paiement sans contact réduit le risque de copie par un lecteur ajouté sur la fente, puisque la carte n’y est pas insérée. Quand l’insertion reste nécessaire, couvrez le clavier avec votre main libre pendant la saisie du code PIN afin de masquer vos gestes à une éventuelle caméra.

Pour vos achats sur Internet, une carte virtuelle ou un numéro à usage limité peut réduire l’exposition de votre carte principale. Plusieurs banques françaises proposent des numéros générés pour une transaction ou une période donnée. Retrouvez des conseils pratiques sur la sécurisation de vos achats en ligne et sur la façon de sécuriser votre navigation sur Internet.

Activez les notifications de transaction par SMS ou dans l’application de votre banque : tout débit suspect remonte alors rapidement. Évitez d’enregistrer votre numéro de carte sur un appareil partagé ou chez un commerçant que vous connaissez mal. Un réseau Wi-Fi public ajoute aussi un risque si la connexion ou l’appareil est mal sécurisé.

Comment détecter que l’on a été victime de skimming ?

La fraude par copie de carte bancaire passe souvent inaperçue au début, précisément parce que votre carte n’a pas été volée et reste dans votre portefeuille. C’est généralement en consultant vos opérations que vous découvrez l’anomalie.

Les signaux d’alerte à surveiller :

• Des paiements par carte que vous ne reconnaissez pas
• Des achats en ligne que vous n’avez pas effectués
• Des retraits dans des villes ou des pays où vous ne vous êtes pas rendu
• Une notification bancaire pour une opération inconnue

Les systèmes de sécurité bancaire détectent certaines activités inhabituelles, mais ils ne sont pas infaillibles. Sur les sites marchands victimes d’e-skimming, le vol se produit au moment où vous saisissez vos données, sans signe visible. Vérifier régulièrement ses opérations reste la mesure la plus simple pour agir vite.

Que faire immédiatement si vous suspectez une fraude par skimming ?

Contactez votre banque sans attendre par le numéro officiel figurant au dos de votre carte, dans votre application ou sur son site officiel pour faire opposition. Vous pouvez aussi verrouiller temporairement la carte depuis l’application si votre banque propose cette fonction. Pour en savoir plus sur les options disponibles en urgence, consultez cette page sur la mise en opposition et les solutions d’urgence.

Signalez ensuite les opérations non autorisées à votre banque et conservez les relevés, notifications et informations utiles. Un dépôt de plainte ou un signalement sur le téléservice Perceval peut documenter la fraude, mais ne retardez pas l’opposition et la contestation bancaire en attendant cette démarche. Si d’autres données personnelles semblent compromises, changez les mots de passe concernés sans délai.

Obtenir le remboursement des sommes débitées frauduleusement

Après l’opposition, contestez formellement chaque opération non autorisée auprès de votre banque. Fournissez les relevés annotés et les justificatifs dont vous disposez. Pour une opération de paiement non autorisée, la banque doit en principe rembourser rapidement, sauf si elle établit notamment une fraude ou une négligence grave de votre part. Ne présentez donc jamais le remboursement comme garanti avant l’examen du dossier.

Les délais de contestation dépendent de la localisation de l’opération :

• Treize mois à compter de la date de débit pour une opération réalisée dans l’Espace économique européen
• Un délai pouvant être ramené contractuellement à soixante-dix jours pour une opération réalisée hors de l’Espace économique européen

Si votre banque refuse le remboursement, demandez une réponse écrite et saisissez son service réclamation, puis le médiateur bancaire si le désaccord persiste. Cette voie de recours est gratuite. Pour approfondir la démarche, retrouvez notre guide sur les actions à mener en cas de piratage de carte bancaire.

Continuez à surveiller vos opérations dans les semaines suivant l’incident. Des débits frauduleux peuvent apparaître avec un décalage lorsque les données volées sont revendues avant d’être exploitées. L’opposition, la contestation rapide et la conservation des preuves restent vos meilleurs réflexes.