Avis aux touristes: une petite révolution, le Fraud Liability Shift (États-Unis)

Au 01/10/2015 sont, en principe, entrées en vigueur aux USA de nouvelles dispositions appelées :

The Fraud Liability Shift

jusqu'à cette date la responsabilité en cas de fraude était, comme on le sait, portée par l'organisme ayant délivré la carte

ce qui n'incitait pas particulièrement les marchands à s'équiper en chip- and- pin , les cartes à puce

au 01/10/2015 la responsabilité a été théoriquement transférée au marchand et ou son acquéreur tenu(s) pour responsable (s) , SAUF si le marchand et son acquéreur utilisent la technologie EMV (la carte à puce) la plupart du temps de type à code personnel (chip and pin)

…. ceci ayant évidemment pour but d'accélérer la migration vers la dite carte à puce

mais dans la pratique ça va évidemment prendre… un certain temps ( comme aurait dit un humoriste de notre enfance)

note : '' l'acquéreur'' n'est évidemment pas l'acheteur mais l'institution financière qui – intermédiaire entre le marchand et la banque émettrice- autorise la transaction

Bonjour Cochize,

Les banques americaines nous ont envoye de nouvelles cartes l'an dernier mais pour l'instant presque toutes sont chip-and-signature et non pas chip-and-pin. J'ai essaye d'obtenir une carte chip-and-pin et la banque m'a dit que ce n'est pas possible. C'est genant parce qu'il y a pas mal de choses que je ne peux pas faire a l'etranger avec une carte chip-and-signature. Par example, les bornes libre-service de l'SNCF n'acceptent pas ma carte. Il faut que j'aille au guichet pour le retrait d'un billet ou l'achat d'un billet.

La pricipale raison du ''retard'' des banques américaines à adopter les méthodes modernes (tap and pay) est qu'il y a presque 10,000 différentes banques (en plus d'environ 6,000 petites ''crédit Union''), souvent isolées dans leurs petits village. Plusieurs de ces petits comptoirs ne peuvent (ou ne veulent) adopter la nouvelle technologie et demeurent dans leur isolation antique. C'est pour cela que les gros joeurs dans les cartes de crédit (VISA, Master Card) leur imposent la responsabilité des fraudes si ils n'utilisent pas la nouvelle techo... au moins le Chip-and-pin.

Et vive le Tap & pay"

bonjour Aquilegia,

Comme je disais çà va vous prendre…. un certain temps à généraliser ce qui est pour nous la vraie carte à puce = la chip-and-pin….

je ne pensais pas que le frein de certaines banques émettrices soit aussi important...

…. mais si des émetteurs majeurs persistent à freiner la démarche en adoptant d'abord une sorte d'hybride, la puce à signature ( chip and signature) pour éliminer risque de skimming

sans vouloir passer au chip-and-pin peut-être sous le prétexte (entre autres) que le vol et la perte de la carte ne représentent qu'une petite partie de la fraude….je pense et surtout j'espère que comme on dit en France ''c'est reculer pour mieux sauter ''

tu viens d'ailleurs de nous montrer une autre limite de la chip and signature

encore un peu de patience😛

Ça fait deja un moment que toutes nos cartes comportent maintenant une puce (je suis chez Chase debit card et credit card), cependant la manière de les utiliser n'a pas vraiment changé.

Dans les stations services, c'est toujours le zip code qui m'est demandé et concernant les autres achats (restos ou magasins), on me demande de signer le reçu. Comme avant. En gros, rien a changé depuis l'arrivée des puces sur les cartes, le seul endroit où un code à 4 chiffres m'a été demandé, c'est quand je suis allé retirer des espèces dans un ATM.

Ça fait deja un moment que toutes nos cartes comportent maintenant une puce (je suis chez Chase debit card et credit card), cependant la manière de les utiliser n'a pas vraiment changé.

Dans les stations services, c'est toujours le zip code qui m'est demandé et concernant les autres achats (restos ou magasins), on me demande de signer le reçu. Comme avant. En gros, rien a changé depuis l'arrivée des puces sur les cartes, le seul endroit où un code à 4 chiffres m'a été demandé, c'est quand je suis allé retirer des espèces dans un ATM.

Ça me rappelle ce voyageur chinois à Roissy qui avait fait plein d'achat de produits de gastronomie. Il était devant moi à la caisse et la caissière tentait de lui faire comprendre qu'il devait taper son code de carte. Il ne l'avait manifestement jamais fait nulle part, ce devait être la première fois. Au bout d'un moment assez long de tentative d'explication, elle prend le terminal de paiement et tape 0000. Quand je passe moi aussi, elle m'explique que la plupart des voyageurs chinois n'utilisent jamais ce système et que le code par défaut est toujours le même pour éviter qu'ils soient bloqués à l'étranger !

La guerre des deux chips

pour apporter un éclairage récent sur la rivalité entre chip-and-pin et chip and signature à ceux qui voudraient suivre d'un peu plus près l'évolution de la sécurité des transactions (sujet qui fait beaucoup couler d'encre ou plutôt qui use beaucoup les touches des claviers ces derniers temps ) voici un épisode récent de la guérilla récurrente que se livrent commerçants et institutions financières sur les divers aspects des cartes de paiement

tout çà n'est pas toujours facile à suivre pour les Européens et peut évidemment nous laisser perplexes, nous pour qui carte à puce est synonyme de code à 4 chiffres chez le marchand

l'Angleterre a eu la guerre des deux Roses au XVéme siècle, les Etats Unis ont la guerre des deux Chips au XXIème siècle

c'est beaucoup moins sanglant mais çà remue beaucoup plus d'argent🙂

si j'ai bien compris... 🙂

les faits : à la suite de l'entrée en vigueur du Fraud Liability Shift le 1er octobre dernier tout n'est pas réglé, comme on pouvait s'en douter, mais en plus les grands émetteurs croisent le fer avec le commerce pour retarder la généralisation de la vraie carte à puce, celle que nous connaissons en Europe . C'est maintenant entre les deux variantes de carte à puce que la guérilla s'est déplacée...

- d'un côté les grandes chaînes de magasins, WAL-Mart, KROGER , Home Depot…., poussent en avant le chip-and-pin , attaquent VISA en justice, - de l'autre les émetteurs de carte VISA, Mastercard s'accrochent au chip and signature

entre les deux : les tribunaux

donc…

les chaînes de magasins rendues responsables des fraudes à venir depuis le 1er octobre 2015 accusent VISA et Mastercard de freiner le chip-and-pin et de privilégier le chip and signature, moins sécurisée par certains aspects mais qui leur rapporte d'avantage en demandant moins d'investissements et parce qu'ils considèrent que le vol et la perte de la carte ne représentent qu'une petite partie de la fraude

résumé du dernier épisode : la lutte juridique que se livrent les deux super-lourds VISA et Wal-Mart...

- il y a de çà environ deux mois Wal-Mart attaque VISA. Wal Mart accuse VISA de freiner le développement de la carte chip-and-pin en obligeant ses adhérents à utiliser la chip and signature qui lui est plus profitable. - il y a quelques jours VISA attaque à son tour Wal-Mart en prétendant que ce dernier a sans les en avertir commencer à utiliser le chip-and-pin ONLY et que cette procédure a fait chuter l'utilisation de leur carte dans les magasins de la chaîne en rendant impossible l'utilisation du chip and signature

Le 1er octobre .. c'était vraiment une petite révolution... pour la vraie révolution, une vraie mise à niveau dans le domaine de la carte de paiement on dirait que les Américains vont effectivement devoir attendre… un certain temps et même un peu plus



lire : Visa countersues Wal-Mart in debit card PIN vs signature case |

Des infos très intéressantes, merci.

Bonjour,

Comme d'habitude, on ne peut pas ne pas passer à côté de vos posts jamais insignifiants.

Dans cette guerre des Chips le Canada est à l'heure européenne.

En autres liens celui-ci:

http://www.theglobeandmail.com/report-on-business/international-business/shift-to-chip-credit-cards-brings-us-in-line-with-canada-and-europe/article26590985/

bonjour,

intéressant lien aussi le Globe and Mail,

l'attitude de VISA, MASTERCAD aux Etats Unis peut nous paraître ici d'autant plus surprenante que le Canada a résolument adopté le chip- and-pin

peut-être l'idée lancée par le journaliste en est-elle la raison??

quand j'achète sur Internet j'ai par exemple, ici, la possibilité d'obtenir de ma banque française sur mon téléphone portable instantanément un numéro de transaction unique, réellement valable une seule fois...

un système inspiré de ce dispositif serait-il l'avenir pour toutes les transactions... je veux dire sur Internet et chez le commerçant???

Ça me rappelle ce voyageur chinois à Roissy qui avait fait plein d'achat de produits de gastronomie. Il était devant moi à la caisse et la caissière tentait de lui faire comprendre qu'il devait taper son code de carte. Il ne l'avait manifestement jamais fait nulle part, ce devait être la première fois. Au bout d'un moment assez long de tentative d'explication, elle prend le terminal de paiement et tape 0000. Quand je passe moi aussi, elle m'explique que la plupart des voyageurs chinois n'utilisent jamais ce système et que le code par défaut est toujours le même pour éviter qu'ils soient bloqués à l'étranger !

Ca vaut bien le coup 😎...

Ca fait déjà bien quelques années que bien des magasins me demandent d'insérer la carte quand par habitude , je veux utiliser "swipe" .

Les petits commerces indépendants ainsi que les restaurants sont encore généralement en méthode swipe .

Par contre , j'ai vu que parfois , pour ceux qui utilisent la puce , des stickers type "chip ready " sont affichés sur la vitrine mais effectivement , la généralisation ne doit pas être pour demain .

Le cas Wendy's ou le refus de s'adapter…....

l'actualité en matière de fraude à la carte bancaire c'est chez Wendy's qu'on la trouve, - trois ans après TARGET - deux ans après Home Depot - Wendy's qui il y a trois ans de çà, affirmait que la fraude n'était pas un vrai risque , que çà ne valait pas le coup d'investir dans la carte à puce et qu'elle préfèrerait payer des amendes le cas échéant…..

… va être servie selon ses souhaits

… la compagnie vient d'être la cible d'un piratage massif qu'on appelle breach aux Etats Unis

Rappel 1. The TARGET breach en chiffres , 18 jours fin 2013 - 0 ingénieur en sécurité informatique au moment de la - 0 % le pourcentage de migration vers la carte à puce - 40 millions de cartes (debit ou credit) piratées entre le 27 novembre et le 15 décembre 2013 ( pendant la saison des fêtes) - 70 millions transactions avec coordonnées du client - 3 millions le nombre de cartes revendues sur le marché noir - 54 millions le bénéfice des pirates - 200 millions le coût de refaire une partie des cartes volées

et le plus drôle 😮!: - 55 millions (ou plus) le ticket d'au revoir que le CEO ( Chief Executive Officer) a dû ou prétendu recevoir quand on l'a poussé dehors

Rappel 2. The Home Depot breach 2014........ l'année suivante la malheureux record de TARGET est enfoncé par Home Depot chez qui 56 millions de cartes sont piratées cette année là a été annus horribilis pour le commerce :



passons sur 2015… on aurait pu croire avec la perspective de la date-butoir du 1er octobre les grands commerçants auraient compris la leçon… … ils l'ont comprise, mais pas tous pas , Wendy's en tous cas...

The Wendy's breach (octobre 2015- juin 2016) c'est la dernière grande fraude, décelée au début de cette année on n'en connaît pas encore toutes les conséquences. Minimisée au départ par la compagnie on sait depuis très récemment , quelques jours, qu'elle a touché pendant environ 6 mois au moins 1025 de ses restaurants et potentiellement des millions de cartes vu la durée de la fraude ( dans le cas TARGET la réaction avait été beaucoup plus rapide). Cette fraude, à terme, risque d'être plus coûteuse financièrement que n'importe laquelle des précédentes !!!

car il suffit pas que le client se présente au point de vente avec une carte à puce… il faut aussi que le commerce ait le bon lecteur et le bon software... SINON çà ne sert à rien.. Here's What You Should Know About The Wendy's Data Breach Money Magazine-7 juil. 2016

on n'a pas de données précises sur l'avancement de l'entreprise en équipement carte à puce mais apparemment elle en était restée, au moment de la fraude, à la bande magnétique. Elle va en tous cas maintenant faire face à des procès et risque aussi d'être la première grosse société à faire les frais du Liability shift du premier octobre 2015

le problème est que l'usage frauduleux d'une carte copiée peut ne se révéler que plusieurs mois plus tard

en date du 7 juillet Wendy's met donc à jour la liste des restaurants piratés et pour déceler rapidement des débits frauduleux , la compagnie offre aux victimes potentielles un suivi de leur carte de crédit pour UN AN here.

à suivre : malgré tout on progresse, le point selon un cabinet spécialisé

Début 2017…. on en termine avec la carte à bande magnétique.. (suite et fin)

repères…

Lancement du processus: - 9 août 2011 : Visa annonce son programme pour accélérer le passage de la bande magnétique à la puce et fixe les échéances pour les commerçants: a) 1er octobre 2015 : prise d'effet des dispositions du Fraud Liability Shift pour le commerce général b) 1er octobre 2016 : prise d'effet des dispositions du Fraud Liability Shift pour les ATM c) 1er octobre 2017 : date couperet pour les distributeurs de carburant donc les stations service

Avancement: selon un cabinet spécialisé dans le suivi de l'affaire, The Strawhecker Group, en dépit de la date couperet du 01 octobre 2015 le commerce de détail , surtout le petit commerce, a pris du retard par rapport aux premières estimations : - au 01 février 2016 seulement 37 % des commerces s'étaient équipés de la nouvelle technologie - en juin 2016 le taux de migration aurait dépasser 50 %

Date prévue pour atteindre le seuil des 90 %

- c'est vers le début 2017 que 90 % des commerçants devraient être équipés d'un lecteur de puce homologué ( Signature ou PIN)



à ce moment là le niveau de sécurité des transactions commerciales physiques (sauf en cas de perte ou vol) devrait donc être à 90 % celui de la France et du Canada rassurant pour le touriste qui pourra voyager plus léger (en cash) et pour celui qui avait l'habitude de planquer du cash dans ses chaussettes….ou ailleurs😛 !

on ne devrait plus voir ce signe:



on pourra par contre voir localement celui -ci :

. tout le monde ne fera donc plus que du '' chip dipping'' ou du ''chip and dip '' 🙂

pour le moment un simple jeu de mot…., d'un côté le geste banal associé au chip and dip et le l'autre l'acronyme DIP (Document Insertion Processor)

mais certainement rapidement détourné vers plus… comment dire… de licence comme son prédécesseur!

🙂Malgré que les USA en soient au chip and signature, pour les pleins d'essence la situation est régularisée en grande partie pour les canadiens avec une lecture du zip code qui tient compte des chiffres de notre code postal canadien plus deux chiffres zéro et le tour est joué.

En octobre dernier, cette manière ne fonctionnait pas en Californie et maintenant oui.

Exemple :

code postal canadien : J7G 3A8 devient 73800 en zip code et voilà.