Faux formulaire de paiement : le reconnaître et le bloquer

Le faux formulaire de paiement est une arnaque dans laquelle un code malveillant dessine, sur la page de paiement d'une boutique légitime, un formulaire de carte qui imite le vrai. Le client y saisit ses données, voit un message d'erreur ou est redirigé vers le vrai formulaire, puis ressaisit tout. L'achat est accepté, mais les données de la première saisie sont déjà entre les mains du fraudeur. Pour le bloquer, il faut garantir que le seul formulaire de carte affiché est le légitime, et le vérifier sur l'écran de l'acheteur, pas seulement sur le serveur.

Comment fonctionne l'arnaque

1. Le fraudeur place du code sur la page : via une faille de la plateforme, d'un thème ou d'une extension, un accès administrateur volé ou le script compromis d'un partenaire.
2. Quand le client arrive au paiement ou clique pour valider sa commande, le code affiche un faux formulaire, par-dessus le vrai ou avant lui, avec cadenas, couleurs et textes qui semblent ceux de la boutique.
3. Le client saisit numéro, date d'expiration et cryptogramme, et une copie part vers une adresse contrôlée par le fraudeur.
4. Le code affiche une erreur, ou ferme simplement la fenêtre, et conduit le client au vrai formulaire.
5. Le client ressaisit tout, l'achat est accepté et personne ne fait le lien.

Le guide du PCI Security Standards Council sur la sécurité des pages de paiement, publié en mars 2025, appelle ce scénario une attaque à double saisie. Elle présente un avantage pour le fraudeur : elle fonctionne même lorsque le vrai formulaire appartient au prestataire de paiement et que le code de la page ne peut pas lire ce qui y est saisi. Le faux formulaire n'a pas besoin de toucher au vrai ; il lui suffit d'apparaître en premier.

Deux cas de 2026

En février 2026, la société de recherche Sansec a décrit le cas d'une chaîne de supermarchés présente à l'international. Le code injecté dans sa boutique affichait un faux formulaire de carte dans la langue du client puis, après l'envoi, le vrai formulaire du prestataire de paiement. Avant d'agir, il vérifiait si le visiteur était un administrateur connecté et, dans ce cas, ne faisait rien : quiconque testait son propre tunnel de paiement ne voyait jamais la fraude. Sansec indique avoir alerté l'entreprise six fois sans réponse et souligne que les outils d'intelligence artificielle permettent de produire de faux formulaires dans n'importe quelle langue et n'importe quel style en quelques minutes.

En avril 2026, Sansec a décrit une campagne touchant 99 boutiques. Au clic sur le bouton de validation, le client voyait une fenêtre plein écran intitulée « Secure Checkout », avec un cadenas, qui vérifiait le numéro de carte en temps réel et demandait l'adresse de facturation. Après l'envoi, elle renvoyait le client vers le vrai paiement et marquait le navigateur pour ne pas solliciter deux fois la même personne.

Reconnaître les signaux

Le PCI SSC note que la double saisie est généralement découverte plus vite que la copie silencieuse, parce que le client s'en étonne ou que le commerçant la remarque en testant. Le cas de février montre que cette seconde voie peut échouer. Soyez attentif :

• aux clients qui disent avoir dû saisir leur carte deux fois, ou avoir vu une erreur avant de pouvoir payer ;
• aux remarques sur une fenêtre de paiement inhabituelle, dans une autre langue ou avec des champs en plus ;
• aux alertes de fraude des banques ou de votre acquéreur sur des cartes utilisées chez vous ;
• aux champs de carte présents sur la page qui ne sont ni les vôtres ni ceux de votre prestataire ;
• aux envois de données de la page vers des adresses que vous ne reconnaissez pas.

Pour vos tests, comportez-vous comme un client ordinaire : déconnecté, en navigation privée, depuis un autre appareil et un autre réseau.

Bloquer l'arnaque : la liste de contrôle

• Allégez la page. Ne gardez que les scripts indispensables sur les pages de paiement et sur celles qui affichent le formulaire du prestataire.
• Fermez les accès. Mettez à jour plateforme, thème et extensions, supprimez ce qui ne sert pas et exigez la vérification en deux étapes pour l'administration.
• Limitez provenances et destinations. Configurez la page pour qu'elle ne charge du code et n'envoie des données qu'à des adresses autorisées.
• Surveillez en continu. L'exigence 11.6.1 du PCI DSS impose un contrôle des modifications au moins hebdomadaire, mais le PCI SSC recommande lui-même une surveillance fréquente, voire en temps réel, lorsque c'est possible. Un faux formulaire actif pendant une semaine touche tous les clients de la semaine.
• Vérifiez le formulaire sur l'écran de l'acheteur. La protection la plus directe contrôle, dans le navigateur, que le seul formulaire de carte est le légitime et bloque toute couche superposée avant la saisie.
• Préparez votre service client. « J'ai dû saisir ma carte deux fois » est une alerte de sécurité, pas un détail d'ergonomie ; décidez à qui ce signalement doit remonter.

Proteside protège précisément ce moment : il vérifie, dans le navigateur de l'acheteur, les formulaires de paiement affichés sur la page et arrête le formulaire superposé avant que le client ne livre ses données. Découvrez la protection des paiements par carte et essayez-la gratuitement pendant 14 jours.