Quelques questions à ceux qui savent, juste pour mon édification personnelle et l'élévation mentale du tout Internet.
Comme chacun sait, Sarko s'est fait pirater son compte en banque. Hormis le côté anecdotique de la chose qui fait ricaner tout le monde ( ) j'entendais ce midi un "spécialiste" sur France Inter qui expliquait que nul n'est à l'abri et résumait les différents bons plans pour se faire arnaquer
D'abord, il a parlé du cas classique où c'est vous qui communiquez de votre plein gré le n° de votre carte de crédit à un malandrin. Logique.
Ensuite, le cas presque aussi classique du phishing où c'est encore vous qui communiquez les données sensibles, mais à l'insu de votre plein gré, cette fois.
Et puis, il a parlé du piratage et du vol de données de sites marchands sur lesquels il a pu vous arriver de régler des achats par paiement électronique. Et là, ça m'interpelle, parce qu'il me semblait qu'au moment de la transaction on est transféré vers un site sécurisé d'un organisme financier de façon, précisément, à ce que les informations bancaires et autres ne soient jamais conservées sur le site du vendeur. N'est-ce donc pas (ou pas toujours) le cas?
Maintenant que j'y pense, c'est vrai qu'on m'a déjà remboursé des achats annulés effectués par carte de crédit, donc il faut croire que le vendeur a conservé une trace de la transaction, mais je pensais que c'était plutôt un n° de compte qu'un n° de carte (ou c'est la même chose pour une carte de crédit? )
Puis il y a aussi le 1-click™ machin sur Amazon où on se dit qu'ils doivent forcément garder des données sensibles dans le profil du client.
Enfin, si quelqu'un a des éclaircissements ou des réflexions bien senties sur ces questions, je suis avide de les lire.

La plupart des sites sont en effet prévus pour ne tourner que avec l'utilisation d'un tiers sécurisé qui ne permet que de passer les transactions par lui (Ogone est surement le plus connu par ici). Dans ce cas le commerçant reçoit seulement, pour faire simple, la confirmation d'une transaction et différents paramètres, mais pas les données bancaires du client, ce qui est à mon sens une chose bien normale qui ne le regarde pas non plus.

Par contre il y a en effet certaines autres sociétés, et c'est surement là que le bas blesse qui ont la grosse tête et / ou veulent tout gérer tout seul. Sans citer de noms de gros sites on se retrouve alors avec certaines dérives possibles et surtout un système de règlement restant sur le site d'achat et ou les données bancaires restent enregistrées et traitées en interne, sur internet dans le meilleur des cas. Une autre option de ce dernier mode de fonctionnement est d'engager des téléphonistes pour les gens qui ne se servent pas d'internet ou qui veulent avoir une personne au téléphone ... et ou n'importe quel type venu se voit donner le numéro de carte (donc par téléphone) pour passer une simple commande à la dite société.

Je ne sais rien de l'affaire Sarko dont tu parles, mais j'ai des notions de sécurité du paiement électronique...

L'utilisation de la carte de crédit est liée à une signature. Pendant des années, il n'existait que la signature "papier".
Avec la vente par téléphone puis la vente par internet, il a fallu que les vendeurs prennent le risque d'accepter des paiements sans signature, car le détenteur d'une carte de crédit a toujours le droit de contester un paiement non signé. Mais en cas de fraude, l'émetteur de la carte de crédit est finalement responsable.

C'est pour cela que les cartes de crédit avec PIN et maintenant les cartes avec numéro à usage unique sur internet sont promues par les émetteurs (Visa/MasterCard) puisque leurs conditions d'utilisation les rendent aussi authentiques qu'une vraie signature. En fait la sécurité couvre plus l'émetteur et moins le porteur (qui ne peut plus contester un paiement avec une telle carte même non signé à la main).

En général les sites d'e-commerce transfèrent la partie paiement vers un site tiers sécurisé. Mais rien ne les y oblige, et si des clients ne voient pas de problème à donner leurs données de carte de crédit en clair sur un site qui conserve toutes ces données, que peut-on faire ? Mais dans ce cas-là en cas de fraude, la société émettrice de la carte se retournera vraisemblablement contre le site à l'origine de la fraude. C'est pour cela qu'il existe des règles PCI DSS qui disent ce qu'on peut et ne peut pas faire avec des données sensibles. Leur raison d'être est de déterminer finalement qui va payer pour la fraude...

merci philfr pour les informations.

Pour parler le langage du mortel pour H2G2... Oui, il y a des sites qui gardent ton numéro de carte pour pouvoir te faire une facturation à la livraison (ton paiement ne peut être réservé que X jours après quoi ils perdent sinon le droit d'effectuer le paiement), ou pour faire des abonnements, etc, etc... Ou parce qu'ils n'ont pas de système connecté avec les banques et qu'ils font du batch ensuite le soir.

Qu'il y ait de l'HTTPS est une chose mais cela n'indique en rien que tes données ne seront pas conservées.

Comme l'indique philfr, la transaction (dans ces cas ci non signée, c'est impossible) tu pourras toujours la contester donc de mon point de vue j'achète sans trop de crainte sur la toile

Marcel: suis claqué, faudra que je me relise demain pour voir si j'ai pas dit de connerie

Merci pour cet éclairage. Mon édification personnelle vous en sait gré.

Se marier..

Honorés confrères,

Le plus simple est d'utiliser une carte de crédit prépayée pour vos achats sur Internet. Il suffit d'y transférer le montant adéquat et d'effectuer le payement. Ainsi, impossible de se faire voler de l'argent ou tout au plus un montant ridicule en veillant à ne laisser que quelques € pour les frais bancaires.

Ce au cas où vous ne bénéficierez pas d'une protection comme en Belgique grâce à l'usage généralisé de "Digipass" qui vous permettent sécuriser chaque transaction lors d'un achat.

Il en est de même pour toutes les transactions avec les administrations grâce à la carte identité électronique européenne.

Salutations confraternelles,

Digipass bancaires :
http://www.bing.com/images/search?q=digipass+belgique&FORM=HDRSC2

EU Electronic ID Card :
http://www.bing.com/images/search?q=electronic20card%20europe&qs=n&form=QBIR&pq=- electronic20card%20europe&sc=6-14&sp=-1&sk=

Ah ! La France, toujours à la pointe...

Wouuuuh le déterrage (suite à un probable spammeur viré le slip sur la tête)