Le saviez-vous ? Le piratage des cartes cadeaux électroniques fait partie des activités de Noël préférées des hackers ! Si bien que des millions d’euros s’évanouissent chaque année dans la nature via la fraude à la carte cadeau… Comment les hackers s’y prennent-ils pour détourner les cartes cadeaux électroniques destinées à vos clients ? Comment expliquer que ce phénomène ait pris une telle ampleur ? Et surtout, comment votre entreprise peut-elle se protéger contre leurs attaques ? On vous explique l’essentiel à savoir pour que vos clients puissent profiter sereinement des fêtes de fin d’année !
La fraude à la carte cadeau : une zone grise dont profitent les criminels en tous genres
Vous vous demandez pourquoi les hackers s’en donnent à cœur joie avec les cartes cadeaux électroniques ? Alors que le montant de chacune d’entre elles reste limité ? La réponse est simple : elles sont (trop) souvent faciles à détourner et en plus, les risques d’être sanctionnés sont quasiment nuls pour les pirates informatiques.
En effet, les cartes cadeaux sont beaucoup moins bien protégées par la réglementation que les cartes de crédit. A ce problème s’ajoute le fait que l’argent récupéré grâce aux cartes cadeaux disparaît dans la nature beaucoup trop vite…
« Dans la plupart des pays, les réglementations fédérales protègent les consommateurs contre la fraude à la carte de crédit. Mais les cartes cadeaux existent dans une zone grise réglementaire. Même lorsque les autorités identifient des escroqueries liées aux cartes cadeaux, la rapidité avec laquelle elles sont converties en argent rend leur récupération improbable, surtout lorsque cette conversion a lieu dans un autre pays. »
Source : DataDome
Bref : les criminels ont un véritable sentiment d’impunité. C’est pourquoi ils s’en prennent aux cartes cadeaux tout au long de l’année et plus encore durant la période la plus « faste » pour ces précieuses petites cartes. A comprendre : la période de Noël.
Ne négligez surtout pas l’ampleur de ce phénomène : un véritable trafic s’est organisé, avec des escrocs spécialisés dans le vol de numéros de cartes cadeaux, d’autres qui les monétisent sur les places de marché en ligne… Sans parler de ceux qui achètent des cartes cadeaux avec de l’argent sale pour les revendre ensuite. C’est vraiment une technique de blanchiment d’argent couramment utilisée par les réseaux criminels internationaux !
Comment les hackers s’y prennent-ils pour pirater les cartes cadeaux en ligne ?
Le piratage automatisé des cartes cadeaux électroniques ou « énumération par force brute »
De nos jours, les entreprises peuvent automatiser de nombreuses tâches grâce à l’IA, ce qui leur permet de gagner un temps précieux. Mais c’est malheureusement aussi le cas des hackers. Même les « débutants » parviennent à lancer des attaques efficaces contre les entreprises avec le soutien de l’intelligence artificielle. C’est d’ailleurs l’une des raisons qui expliquent l’explosion massive du nombre de cyberattaques en tous genres (ex. : ransomwares, arnaques par deepfake, etc.) au cours des dernières années.
Sans grande surprise, on retrouve donc des bots boostés à l’IA derrière le piratage automatisé des cartes cadeaux électroniques. Le principe ? Les hackers laissent simplement les bots tester différentes combinaisons de numéros et de codes PIN sur les sites e-commerce. Sachant que ces bots peuvent essayer des millions de combinaisons différentes en une poignée de minutes, ils n’ont pas grand mal à « détourner » le montant des cartes cadeaux à leur profit. Du moins quand le système gérant les cartes cadeaux n’est pas suffisamment sécurisé, ce qui est souvent le cas…
Les injections SQL, une porte d’entrée directe vers votre système
Les injections SQL permettent aux fraudeurs d’exploiter des failles dans les formulaires, les champs de recherche ou les API mal sécurisées des sites e-commerce. En y injectant des requêtes malveillantes, ils peuvent forcer le site à exécuter des commandes non prévues et ainsi accéder aux bases de données qui centralisent l’ensemble des informations sensibles de votre marque.
Une fois « à l’intérieur », les cybercriminels sont en mesure de consulter, modifier ou extraire des données critiques. Dont :
- les comptes clients ;
- l’historique de commandes ;
- les soldes et les numéros de cartes cadeaux, ainsi que les codes PIN associés.
Pire encore : ils peuvent accéder directement aux règles de génération des cartes. Ce qui va leur permettre d’altérer les prix, de créer ou de créditer frauduleusement des cartes cadeaux, puis de les utiliser – ou les revendre – avant même que votre entreprise ne détecte l’intrusion. Ce type d’attaque est d’autant plus redoutable qu’elle peut rester invisible un certain temps, laissant aux hackers le champ libre pour siphonner des montants importants.
Les demandes de remboursement par cartes cadeaux, une autre technique utilisée par les hackers
Plus inventif : certains cybercriminels utilisent les données des cartes bancaires qu’ils viennent de pirater pour acheter des produits sur votre site e-commerce. Ils vous les retournent immédiatement, en vous demandant expressément de les rembourser sous forme de cartes cadeaux… Qu’ils s’empressent ensuite de revendre à des particuliers sur internet. Peu importe pour eux que le vol des données bancaires ait été signalé : ils ont touché leur argent et ils se sont déjà évanouis dans la nature…
Autres techniques que les hackers utilisent pour exploiter le filon des cartes cadeaux
Enfin, sachez que les cybercriminels peuvent aussi :
- se faire passer pour un membre de votre service client au téléphone, afin d’inciter vos clients à leur confier les données de leur carte cadeau à des « fins de vérification » ou « par mesure de sécurité contre les fraudes », par exemple ;
- envoyer de faux e-mails ou SMS (phishing) imitant vos communications officielles, demandant aux clients de « confirmer » ou « réactiver » leur carte cadeau via un lien frauduleux.
Soyez aussi vigilants dans vos points de vente physiques…
Vous vendez également des cartes cadeaux en magasin ? Prudence ! Les escrocs ont aussi une technique bien rodée pour « détourner » les cartes cadeaux physiques. Ils ont juste besoin de pouvoir s’approcher du présentoir pour récupérer les numéros des cartes… Et même se procurer leur code PIN dissimulé sous la zone à gratter : une fois leur méfait accompli, ils recollent tout simplement un panneau de grattage par-dessus.
Ensuite, ils remettent les cartes en place et patientent… Un client finira bien par en acheter une et à y ajouter de l’argent. Un beau cadeau pour les escrocs, qui utiliseront les informations volées pour faire leurs emplettes en premier ! Ils n’ont même pas besoin de faire les vérifications manuellement : généralement, un bot se charge à leur place de vérifier que la carte a bien été activée. Au passage, il les informe aussi du montant de son solde…
Quels sont les principaux risques pour votre marque ?
Quelle que soit la technique employée par les hackers, votre image de marque risque d’en pâtir. Même s’il s’agit d’une campagne de phishing dans laquelle vous n’avez rien à voir ! En effet, les clients mécontents ont généralement le réflexe de se tourner vers la marque pour obtenir des explications ou des remboursements. Et malheur à vous si vous ne faites pas un geste commercial en leur faveur ! Vous risquez fort de « ressentir » leur mécontentement sur les réseaux sociaux et les plateformes d’avis.
Et si la faille venait vraiment de vos services ? Cela peut tourner au véritable bad buzz, avec une perte durable de la confiance que vos clients avaient envers vous.
En complément, les fraudes à la carte cadeau peuvent aussi générer des :
- pertes financières directes. Gardez bien à l’esprit que lorsqu’un cybercriminel utilise ou revend des cartes cadeaux obtenues illégalement, la valeur de ces cartes est généralement perdue pour votre entreprise. Cela va très vite. Trop vite. Pour ne rien arranger, les cybercriminels multiplient les tentatives sur de petits montants, pour passer sous les radars le plus longtemps possible. Mais quand on cumule les sommes, cela représente des pertes substantielles, en une poignée d’heures seulement ;
- pertes financières indirectes. Comme celles liées à la perte de clients mécontents ou qui ont vraiment perdu confiance en votre marque, par exemple.
Autre risque auquel on ne pense pas toujours mais qui existe bel et bien : passer pour une « proie facile » aux yeux des hackers. En effet, un manque de sécurité autour de vos cartes cadeaux peut inciter les cybercriminels à cibler davantage votre site ou vos services en ligne, à la recherche d’autres failles exploitables…
Mieux vaut éviter de vendre des cartes cadeaux alors ?
Certes, les cartes cadeaux électroniques et physiques peuvent exposer votre marque à des risques importants. Mais si et seulement si rien n’est mis en place pour vous défendre contre les criminels ! Il serait dommage de vous en priver, car les cartes cadeaux sont un formidable outil commercial. En particulier durant la période de Noël. Cela reste :
- une valeur sûre pour toutes les personnes qui ne savent pas exactement quoi offrir à leurs proches ;
- la solution de secours parfaite quand on n’a plus le temps de courir les magasins ou de se faire livrer quelque chose. Une e-carte cadeau, ça prend 3 minutes à acheter et à imprimer chez soi !
Hors de question donc de tirer un trait sur les cartes cadeaux électroniques ou physiques. Mieux vaut plutôt bâtir une solide stratégie de défense pour les protéger en ligne et en magasin !
Comment protéger vos cartes cadeaux contre les hackers et autres escrocs à la petite semaine ?
Les mesures à mettre en place pour protéger vos cartes cadeaux physiques en magasin
Mesure numéro 1 : empêcher les criminels de mettre facilement la main sur les cartes, ou de les prendre en photo. Un présentoir sécurisé, muni de vitrines verrouillées, peut très bien faire l’affaire par exemple. Cela étant dit, les cartes cadeaux peuvent aussi être placées derrière le comptoir !
Mesure numéro 2 : former vos équipes à identifier les comportements suspects. Comme l’achat de plusieurs cartes cadeaux de grande valeur avec des cartes bancaires différentes, par exemple. Cela sent la tentative de blanchiment d’argent ou l’achat de cartes cadeaux avec plusieurs cartes bancaires volées.
Source : DataDome
Mesure numéro 3 : mettre en garde vos clients contre les tentatives d’escroquerie, via des pancartes affichées dans votre magasin par exemple.
Comment sécuriser la vente d’e-cartes cadeaux ?
Première bonne chose à savoir : plusieurs solutions de cybersécurité permettent de protéger vos cartes cadeaux électroniques des manœuvres des hackers. Nous pensons par exemple à :
- F5 Distributed Cloud Bot Defense, qui protège les applications de cartes cadeaux contre les tentatives d’énumération par force brute des bots ;
- DataDome, capable également d’identifier et de bloquer de nombreuses attaques automatisées contre votre système de cartes cadeaux ;
Mais il en existe encore bien d’autres ! Prenez le temps de comparer les différents outils avant d’arrêter votre choix.
En complément, il est aussi vivement recommandé :
- de faire appel à l’authentification multifacteurs (MFA) pour mieux sécuriser l’utilisation des cartes cadeaux électroniques (ex. : envoyer aussi une demande d’authentification par SMS avant de pouvoir utiliser le solde de la carte) ;
- d’utiliser un chiffrement de bout en bout pour les numéros de cartes ;
- de mettre en place une procédure claire de signalement des fraudes aux cartes cadeaux, afin que chaque employé puisse donner rapidement l’alerte en cas de souci ;
- d’informer votre clientèle sur les risques de phishing, sur le fait que jamais aucun membre de votre entreprise ne leur demandera le numéro de leur carte cadeau (et encore moins celui de leur carte bancaire), sur ce qu’ils doivent faire s’ils pensent avoir été victimes d’une arnaque, etc.
Les cybercriminels ne s’attaquent pas qu’aux cartes cadeaux…
Protéger vos cartes cadeaux, c’est bien ! Surtout à l’approche de Noël… Mais n’oubliez pas que les hackers restent actifs en toutes saisons et qu’ils ont bien d’autres occasions de s’en prendre à votre entreprise. Bien souvent avec la complicité involontaire de vos collaborateurs, d’ailleurs. Mot de passe trop faible ou utilisé sur de nombreux sites, clic sur un lien dangereux dans un mail…. Les erreurs humaines restent en effet la principale voie d’accès des hackers.
D’où l’intérêt de former vos équipes aux bonnes pratiques de la cybersécurité pour réduire les risques de vol de vos données !
En complément, vous avez bien entendu besoin également d’une politique de cybersécurité au top ! Quitte au besoin à suivre une formation – ou à la faire suivre à l’un de vos collaborateurs, comme l’Executive Mastère Management de la Cybersécurité, par exemple. De la conception d’architectures sécurisées à la sécurisation des postes de travail, elle donne toutes les clés pour mettre votre entreprise à l’abri des hackers !
Bref : qu’il s’agisse de sécuriser vos cartes cadeaux ou de renforcer la cybersécurité globale de votre entreprise, investir dans les compétences reste l’un des leviers les plus efficaces pour faire face aux menaces actuelles.
Bonne nouvelle : des dispositifs de financement existent pour vous accompagner dans cette démarche ! Comme le CPF (Compte Personnel de Formation) ou les aides régionales par exemple. N’hésitez pas à consulter notre page dédiée aux solutions de financement pour identifier celles auxquelles vous pouvez prétendre !
Vous pouvez également contacter directement nos conseillers pour être accompagné(e) dans votre projet !
