Faut-il se méfier du paiement sans contact ?

Ouvrir son porte-monnaie, tendre un billet et vérifier qu’on récupère bien la monnaie, ou scruter ses petites pièces pour faire l’appoint : ces gestes pourraient bien être relégués au rang de souvenirs, remplacés par le paiement sans contact. Cette technologie se déploie rapidement sur les cartes bancaires, et plus timidement sur les téléphones mais peine à entrer dans les habitudes des Français et suscite des inquiétudes. Explications.

Comment fonctionne le paiement sans contact ?

Le système, développé sur les cartes bancaires, s’appuie sur la technologie NFC (« Near Field Communication » ou communication en champ proche). Il suffit d’approcher sa carte de 3 ou 4 centimètres d’une borne ou d’un terminal de paiement chez le commerçant pour régler instantanément des petits achats – dans la limite de 20 euros par transaction. Pas de code à composer, pas de monnaie à rendre. L’objectif affiché par le groupement des cartes bancaires est de rendre le paiement « pratique, rapide et sécurisé ».

Ce système n’est pas sans rappeler Moneo, le « porte-monnaie électronique » lancé en 1999, dont l’abandon a été décidé en avril 2015. La différence, qui lui a sans doute été fatale, c’est que Moneo obligeait les utilisateurs à recharger leur portefeuille, alors que le paiement sans contact peut se faire directement à partir du compte en banque.

Qui est concerné ?

34,7 millions de cartes

C’est le nombre de cartes bancaires qui intègrent la norme NFC en mars 2015, selon les données de l’Observatoire du NFC et du sans-contact. Cela correspond à plus de la moitié (54 %) des cartes en circulation en France. Une progression très rapide encouragée par les banques, puisque seulement 11 millions de cartes étaient équipées en 2013, et 21 millions début 2014. A cela s’ajoutent 700 000 personnes équipées de téléphones mobiles acceptant la norme NFC (présente sur 81 appareils).

21,5 % des terminaux de paiement

Si la majorité des consommateurs disposent désormais d’une carte NFC, seuls 280 000 points de vente (soit 21,5 %) sont équipés pour accepter ce type de paiement en mars 2015. Le service est proposé gratuitement aux commerçants pour le moment, mais pourrait devenir payant par la suite. L’objectif est d’atteindre un taux de couverture de 100 % en 2020. Mais ces ambitions sont freinées par le manque d’enthousiasme des utilisateurs français.

18 % d’utilisateurs

Parmi les consommateurs français équipés de cartes NFC, moins d’un sur cinq utilise cette fonctionnalité, selon le groupement des cartes bancaires. Les transactions sans contact représentent à peine plus d’1 % des transactions effectuées en 2014, loin de la Pologne (33 %) ou de la République tchèque (50 %).

Malgré les efforts de déploiement réalisés par les banques, qui espèrent à terme réduire les frais liés à l’usage d’espèces, les Français restent circonspects sur l’intérêt du paiement NCF. Selon un sondage Odoxa pour Syntec numérique, réalisé en janvier 2015, 57 % d’entre eux estiment cette technologie « inutile ». La plupart ne l’utilisent pas par méconnaissance (43 %) et une partie des consommateurs craignent les bugs (14 %)

Quels sont les risques ?

Le développement des cartes bancaires NFC en France a suscité rapidement des craintes de piratage, dues à l’absence de cryptage. En avril 2012, Renaud Lifchitz, un consultant français en sécurité de BT, a démontré qu’il était possible avec un simple boîtier ou un téléphone d’aspirer les données (nom, numéro et date de validité, historique de paiement) d’une carte située à quelques centimètres. Des informations qui peuvent suffire à régler des achats sur certains sites Internet, même si la plupart exigent le cryptogramme à trois chiffres situé au verso de la carte.

Depuis septembre 2012, le nom du titulaire de la carte n’est plus lisible, et l’historique des paiements ne peut pas non plus être connu depuis juin 2013. Mais les cartes émises avant cette date continuent à délivrer ces informations. Toutefois, aucune fraude d’ampleur n’a été constatée jusqu’à présent.

« Il serait opportun de mettre en œuvre le chiffrement des communications entre la carte sans contact et le terminal de paiement ou d’utiliser un numéro de carte dédié aux paiements NFC, explique au Monde Gaston Gautreneau, ingénieur expert à la Commission nationale de l’informatique et des libertés (CNIL). Ces recommandations, également émises par l’Observatoire de la sécurité des cartes de paiement, n’ont pas été retenues. »

L’expert de la CNIL ne déconseille pas le système NFC, et précise d’ailleurs que les technologies qui se développent sur mobile paraissent plus sécurisées (code d’identification à usage unique, authentification du porteur). Il pointe toutefois le fait que certaines personnes s’inquiètent de l’utilisation possible de la norme NFC à des fins de géorepérage des déplacements des clients dans les rayonnages des magasins et d’analyse de leurs comportements d’achat. « Mais on est davantage traqués par les informations que l’on laisse sur les sites d’e-commerce ou par les cartes de fidélité dans les magasins physiques. »

Comment se prémunir de ces risques ?

Selon une enquête de l’UFC-Que choisir (lien payant), quasiment toutes les banques équipent systématiquement les nouvelles cartes bancaires du système NFC – hormis LCL qui est « en position d’attente » sur la question. Les clients peuvent demander à le désactiver, mais la démarche n’est pas toujours aisée. Si certains établissements permettent de le faire d’un simple clic, pour d’autres, il faut insister davantage. L’UFC-Que choisir rapporte ainsi les témoignages de consommateurs qui ont dû payer une nouvelle carte pour qu’elle n’inclut pas cette option.

Le déploiement des cartes NFC fait partie des thématiques prioritaires des contrôles de la CNIL pour 2015. En 2014, une trentaine de requêtes à ce sujet ont été recensées sur les 5 825 enregistrées sur l’année. « Les clients se plaignent d’être peu informés et de ne pouvoir s’opposer à ce nouveau dispositif de paiement », explique Gaston Gautreneau, qui précise qu’aucune fraude n’a pour l’heure été signalée.

Pour les consommateurs qui ne souhaitent ou ne peuvent pas désactiver leur carte NFC mais qui craignent les piratages, il est possible de se procurer un étui qui agit comme une cage de Faraday et empêche la carte d’émettre des informations lorsqu’elle est dans une poche par exemple (mais pas lors du paiement). Ce gadget d’un coût modique est parfois distribué par les agences bancaires.