secu-interieure: La fraude aux cartes bancaires sur le Net : une refonte du cadre légal pour mieux affronter ce cyberdélit

Un nouveau chantier est lancé en vue de réformer le cadre légal concernant la fraude aux cartes sur la Toile. Une proposition de directive a été présentée à cet effet.

Il faut dire que ce type de fraude revêt une très forte dimension internationale. Un cas typique est celui de la copie des données de la carte dans un pays de l’UE, la création ensuite d’une fausse carte à l’aide de ces données et le retrait de sommes d’argent avec cette fausse carte en dehors de l’UE pour contourner les normes de sécurité élevées.
Ces délits ont de plus en plus souvent une dimension virtuelle. La situation est urgente car le phénomène s’est aggravé ces dernières années.

D’où vient-on ?

La législation actuelle de l’UE qui établit des règles minimales communes pour incriminer la fraude aux moyens de paiements autres qu’en espèces est la décision-cadre du 28 mai 2001.
Le programme européen en matière de sécurité reconnaît que la décision-cadre n'est plus en phase avec les réalités d’aujourd’hui et ne suffit plus pour faire face aux nouveaux défis et aux évolutions technologiques comme les monnaies virtuelles et les paiements mobiles.

Pourquoi cette proposition ?

En 2013, les fraudes aux cartes émises dans l'espace unique de paiement en euros (SEPA) ont atteint 1,44 milliard d’euros, soit une augmentation de 8 % par rapport à l’année précédente. Bien que les données relatives aux fraudes existent seulement pour les cartes de paiement, les cartes constituent le moyen de paiement autre que les espèces le plus important dans l’UE en termes de nombre de transactions.

Il importe de combattre efficacement la fraude aux cartes car elle représente une menace pour la sécurité. Elle est source de revenus pour la criminalité organisée et donc propice à d’autres activités criminelles comme le terrorisme, le trafic de stupéfiants et la traite des êtres humains.

Selon Europol, les revenus générés par ce type de fraude servent à financer notamment les billets d’avions et l'hébergement. A ce propos, la fraude aux cartes est également utilisée pour faciliter d’autres infractions qui nécessitent un hébergement provisoire, comme la traite des êtres humains, l’immigration clandestine ou le trafic de stupéfiants.
Or, la fraude aux moyens de paiement autres que les espèces entrave le développement du marché unique numérique de deux manières:

elle cause des pertes économiques directes considérables : 1,44 milliard d’euros estimé pour la fraude aux cartes de crédit. Par exemple, les compagnies aériennes imputent une perte annuelle à l'échelle mondiale d’environ 1 milliard de dollars à la fraude aux cartes ;
elle réduit la confiance des consommateurs.

Selon le dernier Eurobaromètre sur la cybersécurité, la grande majorité des utilisateurs d'internet (85 %) a le sentiment que le risque de devenir victime de cybercriminalité ne cesse d’augmenter.

Que prévoit cette proposition ?

Concrètement, ce texte :

définit les instruments de paiement d’une manière plus large et plus rigoureuse qui englobe également les instruments de paiement non matériels, ainsi que les instruments d’échange numériques;
érige en infraction autonome, parallèlement à l’utilisation de ces instruments, la possession, la vente, l’obtention aux fins d’utilisation, l’importation, la diffusion ou toute autre forme de mise à disposition d'un instrument de paiement faux ou falsifié, volé ou approprié par d’autres moyens illégaux.
Le texte englobe toutes les infractions impliquant des instruments de paiement, matériels ou non, et concerne donc aussi les agissements tels que le commerce d’authentifiants volés («carding») et l’hameçonnage («phishing») ;
élargit le champ des infractions pour y inclure toutes les opérations de paiement, y compris celles réalisées au moyen d’instruments d’échange numériques.
Sont incriminées des agissements tels que le piratage de l’ordinateur ou d’un appareil d’une victime en vue de la rediriger vers un faux site web bancaire en ligne, de sorte que la victime effectue un paiement sur un compte bancaire contrôlé par le fraudeur (et devienne ainsi une «mule»).
La proposition couvre également le dévoiement («pharming»), qui exploite les systèmes d’information pour procurer un gain illicite à l’auteur ou à une autre personne.
introduit des règles relatives au niveau des peines. La peine maximale à l’encontre des personnes physiques prévue par le droit national doit être d’au moins trois ans de prison ;
prévoit des infractions aggravées pour les situations où l’acte délictueux cause un préjudice global considérable ou procure à ses auteurs un avantage économique considérable. Cette mesure vise à réprimer les cas où la fraude cause un faible préjudice individuel mais à un grand nombre de victimes, en particulier dans les transactions à distance («card-not-present»);
répond au besoin d’établir des statistiques sur la fraude aux cartes, en obligeant les États membres à veiller à la mise en place d’un système adapté pour enregistrer des statistiques sur ces infractions;
offre aux victimes la possibilité d’obtenir des informations sur leurs droits et sur l’aide disponible, même si leur pays de résidence est différent de celui de l’auteur de la fraude ou de celui dans lequel l’enquête judiciaire est menée.

La proposition précise la portée de la compétence juridictionnelle au regard des effets de l’infraction, en permettant aux États membres d’exercer leur compétence si l’infraction cause un préjudice sur leur territoire, par exemple à la suite d’une usurpation d'identité.

Le but est de régir les situations qui ne relèvent pas de la directive de 2013 relative aux attaques contre les systèmes d’information, et qui sont communes aux fraudes aux cartes.
Il s’agit notamment des cas dans lesquels aucune des infractions associées à l’infraction en cause (par exemple, le vol des authentifiants d’une carte, le clonage d’une carte, un retrait illégal à un guichet automatique) n’a été commise dans l’État membre où le préjudice survient (par exemple, là où la victime a le compte bancaire sur lequel l’argent a été volé).
Dans ces cas, la victime signalera le plus souvent l’incident aux autorités de l’État membre dans lequel le préjudice économique a été découvert. Cet État membre doit pouvoir exercer sa compétence pour qu’il y ait bien enquête et poursuites, comme point de départ d’investigations qui pourraient s’étendre à de multiples États membres.

En outre, lorsqu’une fraude a lieu en ligne, l’infraction est susceptible de s’étendre sur plusieurs pays: elle est souvent commise à l’aide de systèmes d’information situés hors du territoire sur lequel l’auteur est physiquement présent et elle a des conséquences dans un autre pays dans lequel les preuves peuvent également se trouver.
La proposition vise donc à garantir que la compétence territoriale couvre les situations dans lesquelles l’auteur et le système d’information qu’il a utilisé pour commettre l’infraction sont situés sur des territoires différents.

(synthèse du texte par securiteinterieure.fr)