Apple Pay et la fraude en ligne

Bonjour, vous lisez la newsletter de Memo Bank, la nouvelle banque indépendante pour les PME. Si vous nous suivez déjà depuis quelque temps, merci beaucoup. Et si vous nous découvrez tout juste, bienvenue à vous.

Quel est le problème avec Apple Pay ?

Le Stratège est un film américain dans lequel Brad Pitt interprète un président de club de baseball qui passe son temps à demander « Quel est le problème ? ». Lassé de voir son staff débattre à côté de la plaque, Brad Pitt joue le rôle du dirigeant pragmatique qui rappelle à ses collaborateurs que la résolution d’un problème commence par sa bonne compréhension. Sans consensus sur la nature du problème, pas de solution possible. L’ennui, c’est que certains problèmes sont compliqués à définir, surtout quand ils sont inédits. D’où la tentation, pour les vieux de la vieille qui entourent Brad Pitt, d’aller piocher dans le catalogue des vieilles solutions quand un nouveau problème surgit. Pour contraindre ses ouailles à poser un regard neuf sur les nouveaux problèmes, Brad Pitt en est donc réduit à répéter « Quel est vraiment le problème ici ? ». Tout le reste du film montre que sa méthode paye.

Appliquons la méthode Brad Pitt aux arnaques liées à Apple Pay. Quel est le problème avec Apple Pay ? Avec Apple Pay, les possesseurs d’iPhone peuvent ajouter leur carte bancaire dans l’application Cartes, ce qui leur permet ensuite de payer avec leur carte, par le biais de leur iPhone, en boutique ou en ligne. Apple Pay n’est pas un service bancaire proposé par une banque, c’est un service de paiement proposé par Apple. Avec Apple Pay, Apple ne remplace pas votre banque, mais votre carte. Au lieu de payer avec votre carte directement, vous payez avec votre iPhone — sans que votre numéro de carte soit stocké sur votre iPhone ou chez Apple pour autant. L’intérêt du dispositif tient au fait que vous pouvez ajouter plusieurs cartes dans votre iPhone, ce qui vous évite de traîner toutes vos cartes dans les magasins, et ce qui vous dispense de saisir votre numéro de carte quand vous payez en ligne avec Apple Pay.

Autre intérêt du service de paiement proposé par Apple : les achats que vous réalisez avec Apple Pay sont authentifiés. À chaque fois que vous utilisez Apple Pay, votre iPhone vous demande de confirmer votre dépense avec votre empreinte (Touch ID), votre visage (Face ID), ou le code de votre iPhone. Ce mécanisme d’authentification systématique explique pourquoi les paiements réalisés par le biais d’Apple Pay ne sont pas soumis au plafond des paiements sans contact (50 € par paiement). Le plafond qui s’applique lors d’un paiement par Apple Pay est le plafond global de la carte. Et c’est précisément ce plafond qui attire les fraudeurs. Que vous ayez un iPhone ou non, si votre carte bancaire est compatible avec Apple Pay, n’importe quel fraudeur peut théoriquement l’ajouter sur son iPhone, et payer avec jusqu’à épuisement de votre plafond. Quelles sont les barrières mises en place par Apple pour limiter ce genre de fraude ? Premièrement, les fraudeurs doivent avoir accès à votre numéro de carte pour l’ajouter sur leur iPhone. Deuxièmement, les pirates doivent avoir accès au SMS de validation que votre banque vous envoie au moment où votre carte est ajoutée dans l’application Cartes sur un iPhone. En théorie, seul le titulaire de la carte peut accéder à ces deux informations, mais les fraudeurs sont malins…

Comment les fraudeurs accèdent-ils à votre carte et au SMS de vérification ? Deux cas de figure possibles : ou bien vous avez utilisé votre carte pour payer sur un site dont les bases de données ont entre-temps « fuité » sur Internet, ou bien les fraudeurs se débrouillent pour que vous leur donniez votre numéro de carte en se faisant passer pour une organisation respectable, comme votre banque, ou la Sécurité sociale. Une fois que les fraudeurs ont votre numéro de carte en main, ils l’ajoutent sur leur iPhone, ce qui déclenche l’envoi d’un SMS de validation sur votre mobile — que vous ayez un iPhone ou non. C’est généralement le moment que les pirates choisissent pour vous téléphoner. Leur but ? Récupérer le code contenu dans le SMS de validation que vous venez de recevoir. Pour vous persuader, les fraudeurs ne vont pas hésiter à évoquer la lutte contre la fraude. Sauf qu’en leur transmettant votre code de validation, vous leur permettez en réalité de boucler l’ajout de votre carte sur leur iPhone. La suite est hélas connue d’avance : le temps que vous vous rendiez compte de l’arnaque, les fraudeurs ont eu le temps de vider votre compte jusqu’à taper votre plafond. De son côté, votre banque vous dit qu’elle ne peut rien faire car vous avez servi votre carte aux fraudeurs sur un plateau d’argent.

Tout le monde semble d’accord pour dire que les arnaques sont moches. À partir de ce consensus, il est tentant d’enjamber le problème posé par Apple Pay spécifiquement pour sauter sur des solutions génériques. Apple Pay est une forme de paiement sans contact ? Verrouillons Apple Pay comme on a verrouillé le paiement sans contact ! Apple Pay est une forme de paiement en ligne ? Exigeons une validation par SMS à chaque paiement en ligne avec Apple Pay, en plus de l’authentification d’Apple ! Apple n’est pas une banque ? Demandons à chaque banque de créer sa propre version d’Apple Pay ! Bien que tentantes sur le papier, toutes ces solutions ont l’inconvénient de taper à côté du problème posé par Apple Pay. Revenons à la question initiale : quel est le problème avec Apple Pay ? Le problème avec Apple Pay tient au fait que ce service combine des instruments et des acteurs qui n’avaient jamais été combinés jusque-là, à savoir : les cartes bancaires et les téléphones, les banques et les géants du numérique. Avant Apple Pay, les téléphones servaient à téléphoner, et les cartes de paiement servaient à payer. Avec Apple Pay, les téléphones permettent de payer. Cette confusion dans les rôles des uns et des autres crée une brèche qui profite aux pirates.

La bonne nouvelle, c’est que les banques ont déjà tout ce dont elles ont besoin pour compliquer la vie des fraudeurs qui abusent d’Apple Pay. Il leur suffirait pour cela de généraliser deux choses : les cartes virtuelles et l’affichage des paiements par carte en temps réel. Quand une banque met deux jours à vous afficher le détail de vos paiements par carte sur votre compte, elle donne indirectement deux jours d’avance aux fraudeurs. Si vous pouviez suivre en temps réel les dépenses réalisées avec votre carte, vous réagiriez sans doute plus vite en cas de fraude. Pour les cartes virtuelle, la mécanique est la même : si vous créez une carte virtuelles à chaque fois que vous payez en ligne (sans Apple Pay), vous ne vous exposez qu’à hauteur du montant de votre achat — et pas à hauteur de votre plafond global. Ce n’est pas l’ajout de votre carte physique dans Apple Pay qui vous expose à la fraude, c’est l’utilisation de votre carte physique pour des achats en ligne sur des sites plus ou moins fiables — un problème que cherche justement à résoudre… Apple Pay.

La crise sanitaire n’a pas coulé les PME

La crise sanitaire a-t-elle contribué à l’augmentation de l’endettement des petites et moyennes entreprises (PME) françaises ? Oui, répond la Banque de France dans son dernier article de blog, mais pas autant que ce qu’on pourrait craindre. Pour arriver à cette conclusion, la Banque de France s’est penchée sur les comptes de 800 000 PME. En comparant ce que les PME avaient emprunté (leurs prêts), avec les fonds dont elles disposaient (leurs dépôts), les analystes de la Banque de France ont pu calculer l’endettement net des PME.

L’endettement net est un indicateur intéressant car il renseigne sur la part de crédit que les PME ont vraiment mobilisé durant la crise sanitaire. Si vous empruntez 200 000 € et que vous laissez 170 000 € dormir sur votre compte courant, votre endettement brut s’élèvera à 200 000 €, mais votre endettement net ne s’élèvera qu’à 30 000 €, lui. Ce que montre la Banque de France, c’est que la distribution de l’endettement net des PME n’a pas trop changé entre fin 2019 et mars 2022. La part des PME dont l’endettement est élevé est passée de 25 % fin 2019 à 28 % en mars 2022. Dans le même temps, la part des PME dont l’endettement net est jugé faible est passée de 25 % à 31 %.

Dit autrement, la crise sanitaire n’a fait qu’exacerber des tendances qui étaient déjà visibles fin 2019 : les entreprises qui sont entrées dans la crise avec un fort endettement net… sont ressorties de la crise avec un endettement net encore plus fort. Et les PME qui maîtrisaient déjà leur endettement avant la crise ont su contrôler leur niveau de dette durant la crise au point d’en sortir avec un endettement plus faible. Pour la Banque de France, la relative stabilité de la distribution des niveaux d’endettement net montre que les mesures de soutien aux entreprises ont permis à la plupart des PME de tenir sans trop subir.

Qu’en est-il des cotations Banque de France, ces fameuses notes que la Banque de France attribue aux entreprises pour évaluer leur capacité de remboursement ? Après un exercice de cotation compliqué en 2020, la Banque de France semble avoir repris un rythme de cotation normal en 2021. La bonne nouvelle, c’est que le nombre d’entreprises ayant reçu une cotation relativement faible, synonyme de capacité de remboursement compromise, est en baisse — de 42 % à la fin 2020, leur part est passée à 40 % à la fin 2021. Prudence tout de même : ces chiffres rassurants ne tiennent pas compte du retour de l’inflation.

Le cabinet Magelan, avec qui nous avons réalisé notre premier bilan carbone en 2021, vient de lancer une newsletter consacrée au changement climatique. Son titre : 55 degrés à l’ombre. blog.magelan.tech

Nous organisons une conférence en ligne mardi 27 septembre à 11 h 30 sur le thème des fonctionnalités bancaires qui peuvent vous faire gagner du temps. Inscription gratuite sur notre site. memo.bank

C’est le « cybermois », un mois durant lequel les spécialistes de la cyber-sécurité redoublent d’efforts pour que vous cessiez d’utiliser le même mot de passe partout. Et à ce petit jeu, les Néo-Zélandais sont forts. cert.govt.nz (campagne en anglais)

Les Chambres de commerce et d’industrie ont établi une liste de 20 conseils pour aider les dirigeants d’entreprise à réduire leurs factures énergétiques. cciwebfactory.net

Le gouvernement prévoit de créer une « obligation de dépôt de plainte » en cas de cyber-attaque, ce qui ouvrirait la voie au remboursement des rançons par les assureurs. Cybermois oblige, rappelons que les spécialistes de la cyber-sécurité sont plutôt défavorables au versement de rançons. latribune.fr

81 % des dirigeants de TPE/PME considèrent que le numérique peut leur être bénéfique dans la gestion de leur entreprise, une part en hausse de 13 points par rapport à 2020. Ce chiffre est issu de l’édition 2022 du baromètre annuel de l’agence gouvernementale France Num.

“The best leadership is by example.”

— Yvon Chouinard (2005). Let my people go surfing.

Commercial. — Nous cherchons un ou une account executive pour rejoindre notre équipe commerciale. Venez nous aider à faire connaître Memo Bank auprès des dirigeants qui ne passent pas leur dimanches à chercher une alternative à leur banque traditionnelle.

Design. — Nous recrutons un ou une product designer pour avoir un avis de plus sur le rachat de Figma par Adobe.

Finance. — Nous avons un poste de responsable ALM à pourvoir. Avoir un avis sur le rachat de Figma par Adobe est facultatif pour ce poste, mais si c’est votre cas, vous aurez d’emblée des interlocuteurs en interne.