Vous voulez ruiner un concurrent ? Une attaque par fraude au paiement avec des cartes bancaires volées

• Des attaques frauduleuses consistant à effectuer à répétition des paiements avec des cartes bancaires volées auprès du processeur de paiement d’un concurrent touchent actuellement de petits éditeurs SaaS
• Malgré une relation commerciale de 10 ans avec PayPal et de 7 ans avec Stripe, et un chiffre d’affaires total de plus de 500 000 dollars, le compte a été restreint sans préavis
• Les grandes plateformes de paiement génèrent des milliards de dollars de revenus tout en ne disposant pas de véritables équipes de support client
• Pour un développeur SaaS solo, il devient de plus en plus difficile d’assurer la stabilité de son activité dans un tel environnement
• Sur Hacker News et Reddit aussi, les plaintes contre les plateformes de paiement sont fréquentes, illustrant le risque de dépendance aux plateformes pour les petites entreprises

---

Une méthode d’attaque contre les concurrents avec des cartes bancaires volées

• Elle consiste à payer des escrocs avec des cartes bancaires volées afin de générer des paiements répétés via le processeur de paiement d’un concurrent
• Cela entraîne l’accumulation de signalements de transactions frauduleuses (fraud) sur le compte de paiement de l’entreprise ciblée, aboutissant à une restriction du compte

Situation réelle de la victime

• L’entreprise entretenait une relation commerciale depuis 10 ans avec PayPal et depuis 7 ans avec Stripe, pour un chiffre d’affaires cumulé de plus de 500 000 dollars sur les deux plateformes
• Malgré cela, les plateformes ont restreint le compte sans préavis
• Cette attaque est toujours en cours et porte gravement atteinte aux opérations de l’entreprise

Absence de support client chez les grandes plateformes de paiement

• Bien qu’il s’agisse de grandes entreprises générant des milliards de dollars de revenus, elles ne disposent pas de véritable personnel de support
• Sur Hacker News et Reddit, les plaintes à l’égard de ces plateformes sont fréquentes

L’instabilité des éditeurs SaaS solo

• En tant que créateur SaaS solo, il devient de plus en plus difficile de préserver la stabilité de son activité (job security)
• Il existe une vulnérabilité structurelle : une relation commerciale de longue durée peut être rompue du jour au lendemain sur décision unilatérale de la plateforme

[GN⁺]

Réactions sur Hacker News

• Le fait qu’il n’existe aucun moyen d’éviter ce type de plateformes m’inquiète toujours. La boulangerie que j’exploite a soudainement été suspendue sur Google Maps, et comme c’est le principal moyen par lequel les gens nous trouvent, l’impact est énorme
  Il y a 7 jours, nous avons reçu d’un coup une notification disant que « le compte a été suspendu pour non-respect des consignes pour les entreprises », alors que le seul changement récent concernait les horaires d’ouverture. La fiche était en ligne sans problème depuis 2 ans, mais on ne nous dit pas ce qui pose problème, on nous demande seulement de corriger puis de demander la réactivation
  On nous dit que cela peut prendre jusqu’à 2 semaines, mais 7 jours sont déjà passés, et si la demande est rejetée, il n’y a apparemment pas d’autre option que de supprimer la fiche. Dans ce cas, les avis accumulés en 2 ans disparaissent aussi
  La veille de la suspension, un touriste coréen est venu et, d’après un employé, a affirmé que nous étions un faux magasin ; comme il communiquait mal en anglais, il n’a sans doute pas réussi à comprendre qu’il s’agissait bien de notre véritable emplacement. Ou bien il cherchait peut-être un autre endroit. Il est très probable qu’il ait laissé un avis négatif et signalé l’emplacement comme faux
  En fin de compte, 2 ans de présence, une note de 4,9 et plus de 100 avis positifs se sont envolés pour une raison inconnue : un touriste désorienté, une modification des horaires d’ouverture, ou un contrôle anti-spam automatique. J’aimerais que la prochaine loi de l’UE traite ce genre de problème plutôt que la vie privée ; pour les petites entreprises, c’est tout aussi grave

  • Le fleuriste de ma femme a lui aussi perdu l’accès aux publicités Facebook et s’est vu imposer une restriction permanente sur sa manière de communiquer avec ses clients, parce qu’un bot l’a suspendu en croyant à un commerce d’animaux exotiques
    Le prétendu « animal exotique » en question était Aphelandra squarrosa, autrement dit une plante aux feuilles zébrées. Il n’existe aucun moyen d’annuler cette sanction ni d’obtenir un examen humain, ce qui continue d’affecter notre capacité à communiquer avec notre clientèle
  • À mon avis, ce problème est bien plus grave que celui de la vie privée. La vie privée, on peut encore l’éviter dans une certaine mesure en n’utilisant pas le service, mais ici, un seul système d’alerte défaillant d’un géant de la donnée peut détruire toute une entreprise
    Des plateformes comme Google ne devraient pas avoir le droit de retirer une fiche sans preuve, et si elles le font sans pouvoir le justifier, elles devraient être légalement tenues d’indemniser les dommages causés. C’est la seule façon qu’elles prennent cela au sérieux
  • En Allemagne, on peut demander contre Google une ordonnance en référé (Einstweilige Verfügung), et cela fonctionne généralement, avec un coût relativement faible de quelques centaines d’euros
    Il serait bon d’en parler à un avocat, et il est probable qu’il existe des dispositifs similaires dans la plupart des pays de l’UE. Cela dit, il faudra peut-être engager la procédure à la fois contre le siège européen de Google à Dublin, en Irlande, et contre le bureau local de Google dans son propre pays
  • Même si l’on ne veut pas être référencé sur Google Maps, Google crée parfois de fausses fiches de lui-même. J’ai été confronté à cela en tant que client : le lien de commande à emporter renvoyait vers un site qui n’était pas réellement partenaire du restaurant
    J’ai aussi vu des restaurants aux noms similaires réserver l’URL d’un autre établissement. Il est étrange que Google publie ce type d’informations sans vérifier l’entreprise, et cela semble causer de vrais préjudices tout en créant un environnement favorable aux escrocs
  • À l’inverse, du point de vue d’un utilisateur qui laisse des avis sur Google Maps, il m’est déjà arrivé qu’un avis négatif laissé sur un restaurant soit supprimé sans raison particulière. L’établissement l’a probablement signalé comme « faux »
    C’était un avis long et réfléchi, qui mentionnait aussi les points positifs et des recommandations, et il a disparu en entier, ce qui m’a vraiment mis en colère. Le pire, c’est que ce restaurant est en réalité assez médiocre tout en conservant une note de 4,5, et que tous les avis récents à basse note soupçonnent eux aussi que cette note est artificielle

• On peut blâmer un concurrent malveillant, mais le vrai problème, c’est que la carte de crédit n’est pas un outil adapté pour payer sur Internet à des inconnus
  À chaque transaction par carte, on remet en substance à l’autre des informations qui lui permettent de créer arbitrairement de grosses transactions en notre nom chez n’importe quel commerçant, ce qui est absurde
  L’usage d’Apple Pay a récemment augmenté sur les sites web, et si cela fonctionne comme Apple Pay le fait habituellement, il s’agit techniquement d’un échange de jetons à usage unique, cryptographiquement sûr et vérifiable, donc plus sûr. Même si je n’aime pas donner encore plus de pouvoir à Apple
  PayPal non plus ne plaît pas à tout le monde, mais au moins on ne transmet pas directement le numéro de carte bancaire. Cela dit, PayPal semble lui aussi verrouiller de nombreux commerçants
  Du point de vue du consommateur aussi, les cartes de crédit ne sont pas idéales. Il m’est déjà arrivé de voir ma carte bloquée pour avoir dépensé environ 20 dollars chez un commerçant inhabituel en me déplaçant dans la même ville, et aussi à cause d’un paiement mensuel de 5 dollars pour un service web déjà confirmé deux mois de suite

  • Dans une transaction classique par carte, on ne donne pas à un inconnu des informations lui permettant d’effectuer en notre nom des transactions auprès d’autres commerçants. En réalité, on fournit les données de la carte au prestataire de services de paiement (PSP) avec lequel le commerçant a un contrat, et le PSP remet un jeton qui permet à ce commerçant d’envoyer des demandes de facturation uniquement via un compte acquéreur préalablement approuvé
    Le commerçant ne peut rien faire d’autre avec ce jeton. Si la base de données de jetons d’un commerçant fuit, c’est embarrassant mais les dégâts restent limités ; si la base de données de numéros de carte d’un PSP est compromise, ce sera gênant pour les titulaires de carte, mais pour le PSP c’est un incident d’une gravité telle qu’une violation de conformité PCI DSS https://en.wikipedia.org/wiki/Payment_Card_Industry_Data_Sec... pourrait l’obliger à cesser son activité
    En résumé, un paiement classique par carte est intrinsèquement aussi sûr qu’Apple Pay. La différence, c’est que d’un côté on fait confiance à une grande marque tech qui exerce cette activité annexe du paiement depuis 2014, et de l’autre à des entreprises comme Adyen, Braintree, WePay ou Worldline, peut-être moins connues, mais dont le cœur de métier est depuis bien plus longtemps le traitement sécurisé des paiements
  • Avec Skype, cela arrive presque à chaque fois qu’ils facturent. J’utilise à la fois ma banque et Skype depuis plus de dix ans, et les paiements sont réguliers comme une horloge, mais pendant plus de la moitié de cette période, malgré mes contestations, le support client n’a rien pu faire
    Du coup, chaque fois que j’entends parler de « détection de fraude assistée par IA », voire de « sécurité assistée par IA », je repense à ça. Si je n’avais pas eu une autre carte de crédit, j’aurais probablement vécu en craignant en permanence qu’une transaction soit refusée au hasard. Ma banque dispose de dix ans d’historique et agit pourtant comme si elle ignorait mon cycle de paiement
    Il est évident qu’ils se contentent de vendre mon historique au plus offrant, sans l’utiliser pour m’aider. Cela me rappelle aussi à quel point la recherche exacte de sous-chaînes dans Gmail est aussi médiocre que la recherche web de Google. Ces entreprises qui promettaient de nous indexer pour créer de la « valeur » à partir de modèles de consommateurs haute résolution nous soumettent à une surveillance généralisée tout en étant incapables de faire correctement les choses les plus élémentaires
    Le fait que la vie privée soit détruite est devenu une sorte de normalité moderne à laquelle on s’attend presque, mais ce qui surprend davantage aujourd’hui, c’est qu’en échange on n’obtient même pas le moindre confort, aussi insignifiant soit-il
  • Il est regrettable qu’on n’ait pas corrigé ce problème lors du passage au sans contact. Les paiements NFC restent eux aussi enfermés dans une architecture où le client ne peut pas créer directement le paiement et doit confier des informations secrètes au terminal présenté par le commerçant
    Le sens de la transaction aurait dû être inverse. Le commerçant n’aurait dû faire que transmettre les détails du paiement, puis le téléphone du client aurait dû vérifier et initier le paiement. Le fait que cela ne soit toujours pas la norme est absurde, et il est encore plus étrange que les paiements sur Internet n’aient pas effectué cette transition depuis longtemps
  • Je suis d’accord sur le fait qu’il faut une refonte complète du système, mais lorsqu’on paie aujourd’hui des inconnus, la carte de crédit reste l’un des meilleurs outils. L’argent dépensé avec une carte de crédit n’est pas celui de mon compte de dépôt, et il y a en plus une protection contre la fraude
    Pour une transaction suspecte, j’estime qu’il vaut mieux utiliser une carte de crédit qu’un moyen relié à un compte courant. Si le numéro de carte finit malgré tout par être volé, c’est pénible, mais les paiements NFC et autres améliorent peu à peu la situation
    Beaucoup de gens comprennent mal les cartes de crédit. Si l’on rembourse le solde intégral chaque mois, on obtient généralement aussi des récompenses, et cela crée une importante barrière de protection entre ses finances personnelles et la fraude. Bien sûr, j’attends toujours qu’un système de carte de crédit plus sûr se généralise
  • Si nous utilisons encore les cartes de crédit, c’est parce que les grands réseaux comme Mastercard et Visa, ainsi que les banques émettrices et acquéreuses, dépensent des sommes énormes en publicité et en lobbying
    Même dans des régions comme l’UE où les frais de paiement sont plafonnés, le plafond des frais des cartes de crédit reste plus élevé que celui des cartes de débit ou des frais SEPA, si bien que tous les maillons de la chaîne de paiement ont un intérêt évident à pousser l’usage des cartes de crédit. Les banques émettrices gagnent aussi beaucoup d’argent sur les intérêts, ce qui renforce encore leur motivation à encourager l’usage des cartes de crédit

• Comme il n’y a pas d’informations sur ce qui s’est réellement passé ici, je vais me concentrer sur le comportement du fournisseur de services
  À une époque où les sociétés de services payants dont le seul « support client » consiste à espérer qu’un problème devienne viral sur les réseaux sociaux se multiplient, il faut réfléchir à la manière d’imposer légalement une alternative autre que « l’ordinateur a dit non, alors créez un nouveau compte et espérez ne plus vous faire repérer ». Cela semble clairement relever d’un organisme de protection des consommateurs
  En Australie, l’autorité de protection des consommateurs fait respecter les droits de manière assez active dans ce genre d’affaires. Je me demande s’il n’existe pas d’équivalent aux États-Unis, ou si ces organismes ont été capturés par les entreprises qu’ils sont censés réguler
  Ces entreprises réalisent d’énormes profits tout en balayant d’un revers de main les procédures d’assistance et de communication qu’une entreprise normale devrait avoir, au motif que « ce n’est pas possible à cette échelle ». Du point de vue du recours des consommateurs, ce type de réponse ne devrait pas être acceptable

  • Les prestataires de paiement sont proches d’un monopole naturel et devraient donc être régulés comme des services d’utilité publique, avec interdiction de refuser un service sans motif valable
    Malheureusement, le gouvernement semble beaucoup apprécier les moyens de détruire les moyens de subsistance de personnes qui lui déplaisent, sans la moindre procédure régulière contraignante
  • Il nous faut un terme nouveau, court et percutant pour décrire ce que font ces fournisseurs de services
    On peut dire qu’il suffirait d’appliquer des concepts juridiques déjà existants, mais si la presse veut attirer l’attention des responsables politiques, il faut un mot court et précis pour désigner un phénomène particulier
    Comme swatting, phishing, slamming, gaslighting ou boofing, des mots que tout le monde connaît, qui passent bien dans les articles et se référencent facilement, je me demande comment appeler ce comportement typique du XXIe siècle pour pouvoir écrire des billets, des articles et exiger des politiques qu’ils agissent
  • Il existe bien un tel organisme aux États-Unis, mais il est encore relativement récent et fait face à une forte opposition, à la fois politique et patronale
    Peut-être qu’il finira par fonctionner dans 20 ou 30 ans, une fois les procès et les règlements stabilisés, mais pour l’instant il en est au stade infantile, où tout le monde semble tester jusqu’où l’on peut pousser un bébé avant qu’il ne tombe
  • L’application de la loi est aussi un gros problème. Beaucoup de ces pratiques, peut-être même toutes, pourraient déjà être traitées avec le droit existant. Les lois antitrust fédérales et diverses lois des États rendent déjà ce genre de comportement illégal sur le papier
    Le problème, c’est qu’il est vraiment difficile d’agir contre une grande entreprise. Même en tant que consommateur, si vous voulez obtenir réparation pour un problème comme des mensonges sur l’étanchéité d’un téléphone, les frais juridiques peuvent atteindre plusieurs centaines de milliers de dollars
    Sans moyens financiers suffisants, il est presque impossible pour un particulier de demander des comptes à une entreprise, et les organismes chargés de faire appliquer ces lois soit ne le font pas, soit n’en sont pas capables
  • Le gouvernement australien a lui aussi des problèmes du type « créez sans cesse de nouveaux comptes », façon culture d’entreprise. La différence, c’est qu’il dispose au moins de centres d’appel et d’équipes de support
    Je me demande s’il existera encore une véritable incitation à corriger ces problèmes si les frictions constantes et le bruit technique peuvent être résolus plus facilement et de manière plus séduisante avec des solutions comme l’identification biométrique
    Honnêtement, le gouvernement australien peut certes taper sur les entreprises, mais au fond il joue au même jeu et, sur le long terme, se soucie assez peu d’une opposition réelle

• Si l’on est prêt à agir sans éthique, il y a beaucoup de choses à faire
  Cibler directement des personnes peut être efficace. Envoyer au conjoint une lettre anonyme évoquant une liaison peut suffire à faire annuler des déplacements professionnels de cadres dirigeants et à provoquer un stress considérable dans leur vie privée, pour le simple prix d’un timbre. Dans des pays comme la Suède, où les adresses et les informations de cohabitation sont publiques, c’est particulièrement facile
  On peut aussi fabriquer des montages racistes liés à une entreprise ou à un produit, puis acheter des centaines de comptes bots pour les faire apparaître à chaque mention de cette entreprise ou de ce produit
  Je ne suis ni une célébrité ni dans un secteur particulièrement concurrentiel, et pourtant j’ai déjà subi les deux

• J’espère sincèrement que ce type d’attaque deviendra plus courant
  Cela pourrait au moins pousser les régulateurs à faire quelque chose contre ces parasites financiers que nous appelons des « prestataires de paiement ». Un système de traitement des paiements qui ne se comporte pas comme un service d’utilité publique est défaillant et doit être réparé
  Il est assez amer de constater qu’à l’heure actuelle, le seul système de paiement numérique qui fonctionne à peu près comme un service public est la cryptomonnaie
  Ce n’est pas une solution complète, mais on peut atténuer un peu le problème en permettant aux clients de payer autrement, par exemple en cryptomonnaie ou par virement bancaire. Lorsque l’industrie du porno et d’autres activités légales se retrouvent dans cette situation, c’est ce qu’elles finissent par faire
  Si les clients veulent suffisamment le produit, une partie d’entre eux apprendra à utiliser ces moyens de paiement, et l’entreprise devra peut-être apprendre à survivre avec cette seule fraction de clientèle

  • Le système de paiement brésilien Pix est en pratique très proche d’un service public, et c’est le payeur, non le bénéficiaire, qui autorise le paiement. Les frictions sont extrêmement faibles et tout le monde l’utilise, mais il faut une connexion Internet
    J’ai le sentiment qu’Algorand était bien placé pour jouer ce rôle, mais il aurait fallu que tous les éléments soient réunis pour que cela marche. Des frais de transaction de 0,001 ALGO suffisent à limiter les transactions absurdes tout en rendant possibles des transactions de 0,1 ALGO, et le système pourrait aussi soutenir des échanges en stablecoins ou en monnaie numérique de banque centrale s’ils se développaient
    Les transactions peuvent être finalisées en quelques millisecondes, et même des acteurs de taille moyenne peuvent facilement contribuer au maintien de l’ensemble du réseau. Mais cela n’a pas trouvé de traction, probablement parce que ce n’était pas un bon actif à HODL
  • Je ne vois pas très bien pourquoi c’est triste. Sur HN, beaucoup se disent libertariens, favorables à la décentralisation et opposés aux oligopoles d’entreprise, tout en répétant jusqu’à leur dernier souffle que « la cryptomonnaie ne sert à rien »
    Il a fallu près de 70 ans à l’intelligence artificielle pour vraiment s’installer, alors que la cryptomonnaie a pénétré plusieurs domaines en une dizaine d’années et reste une technologie naissante avec le potentiel de résoudre de gros problèmes
    J’y vois le cas typique où des gens « qui avaient tort ou qui étaient idiots » se sont lancés les premiers avec les escrocs, ce qui a donné à la chose une apparence contaminée aux yeux des personnes plus intelligentes. Mais nous devrions quand même être capables de distinguer le bon du mauvais
    Je suis toujours surpris de voir à quel point la capacité à discuter prudemment de ce sujet fait défaut ici. Des conversations qui pourraient être vraiment intéressantes sont sans cesse évincées par le tribalisme

• Quand je travaillais dans une agence média française de taille intermédiaire, il nous est arrivé quelque chose de similaire avec un compte Google AdWords, et grâce au support direct de Google, le service juridique a récupéré le compte en environ deux semaines
  En gros, après quelques courriers d’avocat expliquant que « notre représentant légal serait heureux de discuter de ce regrettable incident dans les bureaux de Google France », Google a simplement rétabli le compte
  Les honoraires d’avocat, autour de 2 500 à 5 000 euros, n’étaient pas négligeables, mais restaient très inférieurs à l’argent que nous étions en train de perdre. Je me demande si les entreprises basées aux États-Unis n’ont pas cette possibilité. J’ai déjà vu plusieurs récits d’horreur comme celui de l’article original, mais presque jamais de cas où une voie similaire a été tentée

  • Bien sûr que c’est aussi une option pour les entreprises basées aux États-Unis. C’est simplement que certaines choisissent de ne pas l’emprunter, pour des raisons financières, de principe, d’effort nécessaire, etc.
  • Oui, c’est possible. Il suffit de voir que ces histoires n’incluent presque jamais « puis j’ai consulté un avocat »

• Il ne faut pas se tromper en pensant que des chiffres comme « 10 ans de relation commerciale avec PayPal, 7 ans avec Stripe » sont importants. On n’est plus en 1973, à l’époque où l’on serrait la main de son banquier
  Le seul chiffre important, c’est le montant en dollars qui transite par Stripe ou PayPal grâce à votre activité

  • En plus, 500 000 dollars n’est absolument pas un volume assez important pour que Stripe s’en préoccupe. Stripe n’en prend de toute façon qu’une fraction

• J’ai déjà subi ça. Ça peut être un concurrent, ou des escrocs qui veulent voir ce qu’ils peuvent obtenir gratuitement avec un lot de numéros de carte bancaire volés ou achetés sur un forum
  Quand votre marketing entre dans le radar de ce genre de groupes, ils se transmettent les informations sur votre service. Le commerçant doit soit élaborer ses propres méthodes d’examen de la fraude, soit payer quelqu’un pour le faire
  Je ne blâme pas la victime, mais la structure du secteur fait que la responsabilité de détecter et de traiter la fraude repose surtout sur le commerçant. Objectivement, ce n’est peut-être pas une si mauvaise décision. Le commerçant dispose de plusieurs moyens pour détecter et bloquer ce type d’actions
  Quand ce problème a éclaté dans ma première startup, nous sommes passés de 5 000 cas par mois à 50 par mois, et je déteste vraiment ce type de criminalité. Mais les intermédiaires des cartes de crédit externalisent le risque vers les commerçants et montrent peu d’intérêt pour une amélioration progressive des outils à leur disposition
  C’était frustrant de ne pas avoir de tiers permettant, lorsqu’on reçoit une requête frauduleuse, de signaler un soupçon avec un degré de confiance, ou de le comparer avec les soupçons enregistrés par d’autres commerçants. J’ai l’impression avoir vu ce type de service quelques années plus tard, mais je ne le retrouve plus maintenant
  En cherchant aujourd’hui, j’ai retrouvé une liste bien organisée de conseils anti-fraude pour commerçants, que personne ne m’avait indiquée à l’époque et que j’avais dû découvrir moi-même, avec pas mal de succès : https://support.authorize.net/knowledgebase/Knowledgearticle...
  Bonne chance. Ils sont tenaces. Dans mon cas, la plupart venaient de pays pauvres, et pour eux, frauder 1 dollar vaut bien plus de temps investi que pour nous. Ils continueront jusqu’à ce que vous les arrêtiez complètement

  • Je serais curieux de savoir quelle défense a été la plus efficace contre ce type d’attaque

• J’ai entendu dire que beaucoup de sites Shopify désactivent le traitement automatique des cartes bancaires pour les nouvelles commandes. Un humain vérifie d’abord la commande avant de l’envoyer vers Stripe ou un service équivalent
  En général, les commandes frauduleuses sont assez faciles à repérer rien qu’en regardant l’adresse de livraison, et on prend vite le coup d’œil. Ce n’est pas aussi difficile que de sexer des poussins
  La conclusion provocatrice est peut-être que la meilleure façon de ruiner son activité est d’automatiser les cartes bancaires

  • On peut repérer certaines commandes frauduleuses via l’adresse de livraison. Il suffit de chercher l’adresse pour voir s’il s’agit d’un service de réexpédition de fret ou d’une maison manifestement vide avec des photos de pièces vacantes sur le MLS. Ces destinations ont un taux de fraude assez élevé
    En revanche, si vous voulez dire par là que l’AVS indique une non-correspondance entre l’adresse de livraison et l’adresse de facturation de la carte, c’est plus compliqué. Surtout en B2B, où il est courant qu’un dirigeant paie avec une carte liée à son adresse personnelle et se fasse livrer sur son lieu de travail
  • Ou alors, il faudrait peut-être que ces prestataires de paiement entraînent une IA à détecter le type de schémas dont vous parlez