Cela fait quelques semaines que sur Whatsapp un message recommande lors d’un retrait de fonds à un guichet automatique, d’appuyer deux fois sur le bouton « annuler » avant d’insérer la carte bancaire. La recommandation est faite pour prévenir les usagers de cartes bancaire contre de potentiels duplication et vol de leurs codes secrets à 4 chiffres.  « Si quelqu'un a configuré le clavier pour voler votre code PIN, cela annulera cette configuration » peut-on lire.

Snopes, un site web américain de fact checking situe l’apparition de ce message viral à novembre 2018; il est à l’époque en anglais et est diffusé sur les réseaux sociaux Facebook et Twitter. Rédigé dans sa version française, il est cité pour la première fois, 1 mois plus tard (le 2 décembre 2018) sur le forum de discussion de Hoastbuster.com, un site web sur les hoax. L’internaute qui le divulgue indique qu’il s’agit d’un message d’un banquier qui ne proviendrait par ailleurs d’aucune source bancaire mais plutôt d’un forum de discussion sur le site web www.ilboursa.com .

Bien que la technique de fraude bancaire évoquée dans ce message puisse s’assimiler à du skimming, il s’agit cependant d’un conseil erroné.

Le skimming est une technique qui consiste pour un criminel à utiliser certains dispositifs pour dupliquer illégalement les données bancaires stockées sur la bande magnétique des cartes de crédit et parfois le code secret à 4 chiffres utilisées aux guichets automatiques de banques (GAB) et autres terminaux. Les détails copiés sur la carte sont ensuite re-encodés sur une carte de débit ou de crédit vierge, créant ainsi une copie exacte. La carte clonée est ensuite utilisée par le fraudeur pour effectuer des transactions en utilisant le code à 4 chiffres volé.

Curt Binns, le directeur de l’ATM Industry Association pour le Canada, une association représentant l’industrie des distributeurs automatiques dans le monde confie à l’AFP que « Cela fait longtemps que le ‘skimming’ existe. [Toutefois], ce type de fraude (...)est désormais davantage un problème dans les pays en développement, où cette technique est relativement nouvelle ».

Des dispositifs divers

Un dispositif de skimming peut être composé selon Midi Libre qui rapporte en janvier 2018, un cas de skimming jugé à Bordeaux (France), d’« une "réglette" munie d'une caméra-stylo et d'un lecteur MP3, apposée sur la partie supérieure du distributeur automatique (…), quasi-indécelable ». Ce dispositif capterait à la fois l'image du code tapé lors du retrait et la "fréquence son" de la piste magnétique de la carte.

Snopes, un site web de fact checking américain qui traite le sujet de ce message viral de mise en garde, évoque en plus de la caméra cachée pour enregistrer les frappes de l'utilisateur, 4 autres dispositifs de GAB compromis. Il s’agit entre autres de l'installation d'une fausse façade sur un guichet automatique ; de celui d'un dispositif attaché à une fente de lecteur de carte qui copie l'information ; celui d'une pointe qui retient une carte dans la machine et enfin, celui du recouvrement du clavier du GAB par un faux clavier amovible. Ce dispositif de faux clavier amovible est celui qui se rapproche le plus de la mise en garde décrite dans le message viral.

Selon Tom’s guide un site web d’actualité sur le multimédia, le dispositif le plus basique de skimming possède au moins un mécanisme de stockage de données alimenté par batterie et doté d'une mémoire flash; les plus sophistiqués seraient sans fils ou avec de petites puces de réseau cellulaire qui peuvent envoyer des messages texte aux téléphones mobiles des criminels.

Du point de vue du magazine de cybersécurité Hack in sight, il n'est pas aussi simple de superposer un faux clavier ATM à un vrai. En plus de devoir ressembler à une partie légitime du guichet automatique, ce faux clavier a besoin d'alimentation, de stockage et de capacités de téléchargement pour être efficace. Selon le guide de référence sur la détection du Skimming élaboré par Connexus, une entreprises spécialisée dans les logiciels, il se poserait avec du ruban adhésif double-face d’où la nécessité de l’usager ATM de toujours tester sa pression et faire attention aux détails comme la présence de contours inhabituels ou de couleurs et de textures différentes ...

Comme moyens les plus efficaces pour se prémunir du skimming, le site web américain Shieldyourpin.org  documenté contre cette pratique recommande entre autre de  toujours utiliser la main pour protéger le code à 4 chiffres lorsqu’il est entré ; d’observer le lecteur de cartes pour déceler si quelque chose semble anormal (couleur différente, air endommagée, s’il contient de la colle ou d'autres substances adhésives)  et de le secouer. S’il  bouge, c'est probablement parce que quelque chose ne va pas. Un vrai lecteur de cartes ne devrait pas bouger lorsqu'il est manipulé ou secoué.

Shieldyourpin.org recommande par ailleurs  d’examiner le clavier ; de chercher les caméras cachées; il s'agit d'inspecter tout ce qui, autour du clavier, pourrait avoir un trou ou une fente pour qu'une petite caméra puisse y être placée…

Quelques exemples de faux claviers ATM ici

R.S