La fraude dans le commerce en ligne

Sujet majeur pour le commerce en ligne car directement lié au résultat net des e-commerçants. Les chiffres annoncés évaluent la fraude à hauteur de 0.2% des transactions en 2008. Si 2007 avait permis de constater une baisse en valeur, 2008 a vu une hausse et en valeur et en nombre de transactions.

Si ce chiffre mérite débat, la discussion a roulé ensuite sur le sujet majeur qu’est la mise en place de 3D Secure. Avant d’y passer, je fais une apparté sur une autre réunion publique à laquelle participait notre PDG. Un des grands sites marchands généralistes, initialement construit autour de la photographie, a reconnu hier déployer une équipe de 20 personnes pour lutter contre les tentatives de fraude. Si certes 0.2% semble peu significatif, le coût d’une telle équipe ajouté aux systèmes logiciels installés et maintenus, l’accroit très lourdement. Chargé, on a là un billet d’un million d’euros, à la grande louche. On commence donc à parler d’un bon pourcent, sans parler des immos logicielles. Un de mes clients confessait mettre 2 personnes de son effectif sur le sujet. Sur quinze. Vous imaginez l‘impact sur la rentabilité de son offre.

Mais passons à des sujets plus joyeux: la mise en place de 3D Secure.

La mise en place de 3D Secure

Marc Andries, Chef du Service de Surveillance des moyens de paiement scripturaux de la Banque de France,  nous avait concocté une dense présentation, dans l’objectif de faire réagir les parties prenantes. Le constat est simple: la quasi-totalité des porteurs de carte sont enrollés (oui de toute façon on vous demande pas votre avis) alors que seulement 10% des transactions se font sous 3D Secure tandis que 30% des commerçant seraient équipés. Il y a donc un problème de pénétration de la solution sur le marché français. Mais avant d’aller plus loin, faisons un rappel sur 3D Secure.

Le protocole 3D Secure

L’objectif est multiple:

• le premier, renforcer l’identification du porteur de carte
• Ensuite, déplacer la responsabilité de cette identification depuis le commerçant vers la banque du porteur
• Et finalement, pour les faiseurs que sont Visa, Mastercard, le GIE CB, sortir d’une situation dans laquelle ils auraient pu être financièrement impliqués

3D, c’est tout simplement qu’une troisième partie s’insère dans la validation de la transaction. 3 parties, d’où le nom 3D Secure.

• Le site marchand, via ses solutions ou celles du prestataire qu’il missionne pour ce faire, lance l’acquisition et le contrôle du numéro de CB pour déclencher le paiement
• Le porteur de carte saisit ses identifications
• Et, nouveauté du protocole, la banque du porteur de carte demande à ce dernier une information qu’ils partagent

La cinématique d’un paiement s’en trouve donc changée:

1. Validation du panier
2. Saisie du numéro de CB sur la fenêtre ad hoc
3. Saisie d’un mot de passe complémentaire sur une nouvelle fenêtre, affichée par la banque du porter

Vous aurez plus d’informations en cliquant sur le schéma ci-contre, info via Atos.

Rendre 3D Secure opérationnel pour juin 2010

Marc Andries l’a confirmé, l’objectif est de généraliser la solution pour juin 2010. La situation, tant du point de vue de la pénétration de la solution, que des solutions techniques choisies n’est pas satisfaisante.

Côte déploiement de 3D Secure, sites marchands et banquiers se renvoient la balle, chacun considérant que c’est à l’autre d’expliquer au client final cette nouvelle solution. De plus, les sites marchands constatent à l’activation de 3D Secure une baisse allant jusqu’à 30% des taux de transformation. Je cite une gros faiseur de la vente privée: On ne vas pas perdre 20% de commandes pour résoudre 0.2% de nos problèmes. Moralité, les e-marchands prendront le train quand il sera suffisament lancé, et limiteront leurs risques avant. Les professionnels de la banque font montre d’une précipitation mesurée, et cela est compréhensible. Le transfert de responsabilité fera que les banquiers auront à supporter le coût de la fraude, car c’est eux qui assument la charge d’authentification du porteur de carte. Pourquoi pousseraient-ils un système qui les défavorisent?

L’impact financier de 3D Secure

Du point de vue du consommateur, cela sera a peu près neutre. A l’heure actuelle la fraude et sa gestion impactent le prix de vente, du fait de leur évaluation directe par le site marchand. Le transfert de responsabilité, et donc le transfert d’une partie des coûts sur les banques, induira une facturation en retour de ces services, au prévisionnel imputée au site marchand. Qui l’intégrera dans son prix de vente. La conclusion est que 3D Secure ne devrait pas diminuer le prix de vente au consommateur.

De ce point de vue là, pas de farouche opposition des sites marchands, comme le disait un discounteur électroménager lyonnais: « je préfère voir une somme investie dans la technologie plutôt que dans la fraude« .

Le lien entre 3D Secure et la banque en ligne

La recommandation de la Banque de France a été claire. L’authentification forte lors de l’utilisation des banques en ligne est à installer. Il en va de même pour les paiements en ligne. Réunir ces deux projets sous les mêmes technologies est donc essentiel. Cela permet de lisser les coûts de bascule sur les deux projets et de faciliter leur explication aux porteurs de carte et clients de banques en ligne.

La compatibilité entre 3D Secure et la nouvelle norme FEVAD

La norme FEVAD du paiement à l’expédition

Rappel des faits. La FEVAD, sur demande de Luc Châtel, a réalisé une étude visant à limiter l’impact sur le consommateur et l’image de la profession des défaillances d’e-commerçants. Les faits générateurs furent la CAMIF et Showroom 2001.

Pour limiter les encaissements lors de défaillance, la principale des recommandations de la FEVAD est de n’encaisser l’argent qu’à expédition. Pour plus d’informations, voir mon précédent article sur le sujet.

Les interférences entre la norme FEVAD et 3D Secure

3D Secure demande une authentification forte et non rejouable. Cela exclue déjà de fait 1/3 des paiements (récurrents, facilité de paiement, …). De plus, le principe est de limiter le temps d’acquisition. A l’heure actuelle, un paiment CB simple peut se faire en 6+1 jours, et peut être déclenché après la saisie du numéro, ou rejoué. C’est ce qui permet de donner son numéro à la commande et de n’être débité que deux mois après.

3D Secure limitera ce délai à 3 jours à compter de la saisie du numéro, et non rejouable. Moralité, dans le cas d’un réassort du stock, par exemple de deux semaines, un site marchand ne pourra pas appliquer, dans la situation actuelle, et la norme FEVAD, et le protocole 3D Secure.

De plus, et cela a été confirmé par le GIE CB, il est impossible, dès lors qu’une transaction a été initiée en 3D Secure, de la requalifier en paiement carte bancaire traditionnel.

A l’heure actuelle, un risque de conflits entre la norme FEVAD, poussée par le Ministère de l’Industrie, et 3D Secure, fortement recommandé par le Gouverneur de la  Banque de France. Des sessions de travail sont prévues pour analyser cette opposition et voir par quels moyens techniques ou fonctionels elle peut être contournée. En revanche, cela risque de ne pas favoriser l’adoption de 3D Secure par les sites marchands, et de perturber la perception de la norme FEVAD. Il est possible qu’à un moment la non adoption de 3D Secure puisse passer pour un argument commercial.

Conclusion: 3D Secure ou norme FEVAD?

A terme, pas d’impossibilité à réconcilier les deux. Un fort travail d’évangélisation reste à faire entre banquiers et sites marchands. La contrainte de la Banque de France du moins de juin 2010 est suffisamment forte pour faire bouger les lignes. De plus l’évolution des pays européens vers des utilisations d’authentification forte et de moyens alternatifs à la carte bancaire poussera le marché français à réagir.

Du point de vue de l’activité de Cards Off, je ne suis pas inquiet, l’évolution des mentalités et les constats réalisés montrent que des solutions alternatives à la carte bancaire ont leur place et apportent par leur spécificité et leur adapation à le-commerce des solutions. Je dirai par un plat truisme que nativement les problèmes de la carte bancaire ne se posent pas.