Les cinq arnaques que tout commerçant finira par rencontrer
Les commerçants font face à leur propre économie de la fraude : des arnaques au trop-perçu qui transforment votre remboursement en le vrai versement, des skimmers installés sur des lecteurs sans surveillance, de l'hameçonnage qui arrive par courriel, texto et appel téléphonique, des robots de test de cartes qui épuisent votre caisse, et de la fraude au remboursement qui exploite votre bonne foi. Chacune a une contre-mesure ennuyeuse et fiable, et la plupart se résument à la même règle : l'argent qui sort ne voyage que sur le chemin par lequel l'argent est arrivé.
Portée : Pour les propriétaires d'entreprise et le personnel qui gère les paiements, les remboursements et les appels « urgents » de la banque qui ne viennent pas de la banque.
1. L'arnaque au trop-perçu : votre remboursement est le vrai versement
La mise en scène est désarmante : un client paie trop, par « erreur », un chèque supérieur à la facture, un paiement par carte doublé, un virement électronique avec un chiffre en trop, et vous demande de rembourser la différence, souvent avec urgence et souvent par une méthode différente. Vous envoyez le remboursement. Quelques jours plus tard, le paiement original s'effondre : le chèque rebondit, le débit de carte est contesté comme fraude, le virement est renversé. Le « trop-perçu » n'a jamais existé; votre remboursement était tout l'enjeu.
La défense est une seule règle inviolable : les remboursements voyagent en sens inverse sur le rail par lequel le paiement est arrivé, vers le même instrument, et seulement après que le paiement original s'est réellement réglé. Un vrai client avec un vrai trop-perçu ne perd rien à attendre le règlement ou à recevoir le remboursement sur la même carte. Un fraudeur perd tout le stratagème. Toute pression pour rembourser plus vite ou différemment est le signe révélateur, pas un désagrément.
2. Les skimmers : l'attaque contre votre matériel
Un skimmer est un parasite installé sur ou dans un lecteur de carte qui copie les données de carte pendant que les clients paient. Les cryptogrammes de puce ont tué l'âge d'or du skimming, mais les bandes magnétiques existent encore, les terminaux sans surveillance se font encore trafiquer, et un lecteur compromis chez votre entreprise met en jeu votre réputation, peu importe qui l'a installé.
Les contre-mesures sont physiques et prennent quelques secondes. Sachez à quoi ressemblent vos terminaux : soupesez-les, vérifiez les joints, notez les numéros de série. Inspectez quotidiennement les unités sans surveillance et destinées aux clients : tout ce qui est lâche, volumineux, mal aligné ou fraîchement égratigné fait retirer le terminal du service et appeler votre fournisseur. Verrouillez les appareils après les heures, contrôlez qui peut « entretenir » un terminal, et traitez tout « technicien de terminal » non annoncé comme un incident jusqu'à vérification. Les terminaux certifiés modernes intègrent aussi une détection d'altération qui bloque l'appareil s'il est ouvert, ce qui constitue l'un des arguments discrets en faveur du matériel actuel.
3. Hameçonnage, hameçonnage par texto et hameçonnage vocal : une seule arnaque, trois canaux
L'hameçonnage est le courriel frauduleux, le hameçonnage par texto le message texte, le hameçonnage vocal l'appel téléphonique, et pour les commerçants, la charge utile est constante : quelque chose d'urgent concernant votre compte marchand, vos dépôts sont gelés, votre terminal a besoin d'une mise à jour de sécurité, vérifiez votre connexion maintenant, ce qui vous dirige vers une page de collecte d'identifiants ou extrait des codes par téléphone. Avec les identifiants de votre tableau de bord, un attaquant redirige les dépôts, exploite les données clients enregistrées ou lance une fraude au remboursement de l'intérieur.
Le schéma à enseigner au personnel est urgence plus identifiants : tout contact qui fabrique une pression temporelle et demande un mot de passe, un code à usage unique ou une « confirmation » de renseignements bancaires est hostile jusqu'à preuve du contraire. Les vrais fournisseurs ne demandent jamais votre mot de passe, sur aucun canal. Le réflexe sûr coûte trente secondes : raccrochez ou fermez le courriel, et contactez votre fournisseur par le numéro ou le tableau de bord que vous connaissez déjà. Ajoutez l'authentification à deux facteurs et des connexions par employé avec des rôles à privilège minimal, et un mot de passe volé cesse d'être un compte volé.
4. Le test de cartes : des robots qui utilisent votre caisse comme laboratoire
Les fraudeurs détenant des milliers de numéros de carte volés doivent apprendre lesquels fonctionnent encore, alors ils les font passer par la caisse de quelqu'un en petites transactions rapides. Si c'est la vôtre, vous héritez des dégâts : des frais d'autorisation sur des flots de refus, un taux d'échec en flèche qui dégrade votre réputation auprès des émetteurs, et des litiges provenant des rares qui ont réussi.
Affamez le laboratoire : des règles de fréquence qui plafonnent les tentatives par carte, par IP et par session; un CAPTCHA déclenché par des séries d'échecs de paiement plutôt que pénalisant chaque client; CVV et AVS exigés pour que les numéros nus échouent à bon marché; et des alertes sur les pics de taux de refus pour qu'une exécution de robots à 3 h du matin alerte quelqu'un au lieu de facturer quelqu'un. Une caisse coûteuse à tester est rayée de la liste, parce que les robots ont des laboratoires moins chers à visiter.
5. La fraude au remboursement et au retour : l'abus de votre bonne foi
La fraude au remboursement couvre le wardrobing (l'utiliser, le retourner), les jeux de reçus, les retours de boîtes vides et, de plus en plus, des opérateurs de « remboursement comme service » qui contestent ou retournent des achats au nom de clients pour une part. Individuellement petite, elle s'accumule en une véritable fuite de marge pour le commerce de détail.
La politique est la défense, appliquée uniformément : reçu ou recherche de commande exigé, remboursements uniquement vers le mode de paiement original, numéros de série vérifiés sur les biens de grande valeur, et fenêtres de retour généreuses mais finies. La règle « méthode originale seulement » fait double emploi ici, elle brise aussi l'arnaque au trop-perçu, ce pour quoi elle appartient par écrit, au comptoir et dans les conditions de la caisse.
Derrière les cinq arnaques se trouve la même architecture : des règles claires, de petites habitudes quotidiennes et des outils qui surveillent les schémas que les humains manquent. Les comptes RapidCents sont livrés avec des contrôles de fréquence, l'application d'AVS et de CVV, des terminaux sensibles à l'altération et des rôles de tableau de bord avec authentification à deux facteurs, et la couche antifraude évalue ce que les règles seules ne peuvent voir.
Questions fréquentes
Qu'est-ce que l'arnaque au trop-perçu?
Un fraudeur vous paie en trop avec un paiement qui échouera plus tard, un mauvais chèque, une carte volée, un virement réversible, puis demande le retour de l'excédent immédiatement, habituellement par une méthode différente. Le remboursement que vous envoyez est réel; le paiement qu'il rembourse n'a jamais été bon. Ne rembourser que vers l'instrument original après règlement le déjoue complètement.
Comment vérifier mon terminal pour un skimmer?
Quotidiennement, physiquement : tirez doucement sur le boîtier du lecteur, vérifiez les joints et les claviers pour des surcouches, comparez avec l'apparence et le poids normaux de l'appareil, et vérifiez les numéros de série. Tout ce qui est lâche ou inhabituel retire le terminal du service et fait appeler votre fournisseur. Les unités sans surveillance méritent l'attention la plus étroite.
Quelle est la différence entre l'hameçonnage, le hameçonnage par texto et le hameçonnage vocal?
Le canal : courriel, texto et appel vocal respectivement. L'arnaque est la même, urgence plus une demande d'identifiants, de codes ou de changements bancaires. Aucun fournisseur légitime ne demande votre mot de passe sur aucun canal; vérifiez par des coordonnées que vous connaissez déjà, jamais celles du message.
Comment savoir si ma caisse fait l'objet d'un test de cartes?
La signature est une rafale de petites transactions rapides avec un taux de refus très élevé, souvent à des heures inhabituelles depuis des IP regroupées. Surveillez vos indicateurs de taux de refus et configurez des alertes; ajoutez ensuite des limites de fréquence, l'application de CVV et d'AVS, et un CAPTCHA déclenché par les échecs pour rendre le schéma non rentable.
Puis-je refuser un remboursement que je soupçonne d'être frauduleux?
Vous pouvez maintenir la ligne fixée par votre politique publiée : vérification du reçu ou de la commande, mode de paiement original, contrôles d'état et fenêtres de temps. Une politique écrite constante appliquée à tous est à la fois juste et défendable; les exceptions ponctuelles sous pression sont exactement ce que la fraude au remboursement est conçue pour extraire.
