Vol de données de carte au paiement : comment la copie se fait

Le vol de données de carte au moment du paiement fonctionne ainsi : un morceau de code malveillant, caché sur la page de paiement d'une boutique légitime, lit ce que le client saisit (numéro, date d'expiration, cryptogramme) et en envoie une copie au fraudeur pendant que l'achat se déroule normalement. La boutique est payée, le client reçoit sa commande et personne ne remarque rien jusqu'à ce que des opérations inconnues apparaissent sur le relevé.

Ce qui se passe sur l'écran du client

Chaque page de paiement est assemblée dans le navigateur de l'acheteur à partir de nombreux morceaux de code : ceux de la boutique, de la plateforme e-commerce, des extensions et de partenaires comme les outils de mesure d'audience, de chat ou d'avis clients. Tous tournent ensemble, dans la même page. C'est pratique (c'est ce qui permet de signaler immédiatement qu'un numéro de carte est incomplet), mais cela signifie aussi que n'importe quel code présent peut voir ce qui est saisi dans les champs.

L'attaque exploite précisément cela. Le fraudeur glisse son propre code dans la page, en s'introduisant dans l'espace d'administration, en exploitant une faille de la plateforme ou d'une extension, ou en compromettant un partenaire qui fournit un script. Ensuite, le scénario est presque toujours le même :

1. Le client remplit le formulaire de carte, comme pour n'importe quel achat.
2. Le code malveillant lit les champs pendant la saisie ou au moment du clic sur « Payer ».
3. Une copie des données part vers une adresse contrôlée par le fraudeur, souvent baptisée comme un service de statistiques légitime.
4. L'achat continue et il est accepté. Pour la boutique comme pour le client, rien ne semble anormal.

Le guide publié par le PCI Security Standards Council en mars 2025 qualifie ce type d'attaque de silencieux : tout fonctionne comme prévu, du point de vue du client comme du commerçant, et il peut donc passer longtemps inaperçu.

Des cas réels qui montrent le schéma

Le cas le mieux documenté est celui de British Airways. Selon la décision de l'autorité britannique de protection des données (ICO), publiée en octobre 2020, un attaquant est entré dans le réseau de la compagnie avec des identifiants d'accès à distance compromis et a modifié un fichier de code du site. Pendant 15 jours, entre août et septembre 2018, chaque client qui saisissait ses données de carte en envoyait sans le savoir une copie vers un domaine ressemblant à celui de la compagnie, et la réservation se poursuivait sans interruption. Environ 430 000 personnes ont pu être touchées, et c'est un tiers, pas une alarme interne, qui a prévenu l'entreprise. L'ICO a ensuite sanctionné la compagnie d'une amende.

En 2019, l'équipe de lutte contre la fraude de Visa a décrit un code de ce type, baptisé Pipka. Il pouvait être réglé pour choisir les champs à copier (numéro, expiration, cryptogramme, nom et adresse) et s'effaçait de la page juste après son exécution pour compliquer l'enquête. Visa l'a trouvé sur au moins 17 boutiques.

Le problème n'est pas isolé. En décembre 2023, une opération coordonnée par Europol avec les polices de 17 pays a permis de prévenir 443 boutiques en ligne que les données de carte de leurs clients avaient été exposées, en deux mois seulement. En avril 2026, la société de recherche Sansec a signalé près de 100 boutiques portant un code caché dans un élément d'image invisible, qui envoyait les données vers des adresses déguisées en statistiques d'un réseau social.

Pourquoi les défenses classiques ne le voient pas

Pare-feu, antivirus sur le serveur et outils antifraude sont utiles, mais ils regardent ailleurs. L'antifraude vérifie si la transaction semble légitime, et elle l'est : le client est réel, la carte est la sienne et l'achat aussi. Le pare-feu protège l'entrée du serveur. La copie des données, elle, a lieu dans le navigateur de l'acheteur, une fois que la page a quitté le serveur.

Deux éléments aggravent la situation. Le code malveillant imite souvent des outils connus et passe inaperçu lors d'un contrôle rapide. Et relire le code stocké sur le serveur de la boutique ne montre pas ce qui a été ajouté ensuite, par un partenaire, par un gestionnaire de balises ou directement sur la page en ligne. C'est pourquoi la découverte vient presque toujours de l'extérieur : une banque qui repère des fraudes concentrées, le réseau de cartes, un chercheur.

Ce que vous pouvez faire

• Sachez ce qui tourne sur la page de paiement. Listez tous les scripts chargés, le responsable de chacun et la raison de sa présence.
• Supprimez le superflu. Les outils marketing, de chat ou d'avis ont rarement leur place sur la page où la carte est saisie.
• Fermez les portes d'entrée. Tenez plateforme, thème et extensions à jour, supprimez ce qui ne sert pas et exigez la vérification en deux étapes pour tout accès d'administration ou à distance.
• Limitez les destinations. Configurez la page pour qu'elle ne charge du code et n'envoie des données qu'à des adresses autorisées.
• Surveillez la page telle que le client la reçoit, pas seulement le code du serveur : un script nouveau ou modifié, ou un envoi vers une destination inconnue, doit déclencher une alerte immédiate.
• Préparez un plan. Décidez qui appeler (acquéreur, prestataire de paiement, équipe technique) en cas de doute et comment informer les clients.

Ces mesures sont aussi au cœur des exigences 6.4.3 et 11.6.1 du PCI DSS, devenues obligatoires le 31 mars 2025.

Proteside a été conçu pour ce moment : un script sur la page de paiement qui vérifie, dans le navigateur de l'acheteur, qui lit les champs de la carte et où partent les données, et bloque la copie avant qu'elle ne sorte. Découvrez la protection contre le vol de données de carte et essayez-la gratuitement pendant 14 jours.