EMV (Europay, Mastercard et Visa)
EMV est la norme mondiale relative aux cartes de paiement à puce, qui tire son nom d’Europay, Mastercard et Visa, les trois sociétés à l’origine de sa création, et qui est désormais gérée par EMVCo. Son principe de base est simple : la puce génère un cryptogramme unique pour chaque transaction, ce qui empêche l’utilisation des données enregistrées lors d’un paiement pour en autoriser un autre.
| Signifie | Europay, Mastercard, Visa |
| Géré par | EMVCo |
| Interface de contact | ISO/IEC 7816 |
| Interface sans contact | ISO/IEC 14443 |
| Mécanisme de base | Un cryptogramme unique par transaction |
| Type de carte | Carte à puce à microprocesseur |
| Remplacé | La bande magnétique comme principal moyen de paiement en présence de la carte |
Fonctionnement de la norme EMV
Une bande magnétique est statique. Toutes les informations nécessaires à l'autorisation d'un paiement y sont enregistrées en clair, ce qui signifie que quiconque la lit une seule fois peut la reproduire à l'infini. C'est précisément cette caractéristique qui a conduit à écrémage une activité tellement rentable.
Une puce EMV inverse ce principe. À chaque transaction, le terminal envoie à la puce les détails du paiement, et celle-ci renvoie un cryptogramme calculé à l'aide d'une clé qui n'a jamais quitté la puce. Ce cryptogramme n'est valable que pour cette transaction et aucune autre. Si on le capture et qu'on le rejoue, la transaction échoue.
La puce s'authentifie également auprès du terminal, ce qui permet de détecter une carte contrefaite contenant des données copiées. La norme EMV sans contact applique la même logique sur le ISO/IEC 14443 l'interface radio plutôt que les pastilles de contact.
Bande magnétique ou EMV ?
| Bande magnétique | Puce EMV | |
|---|---|---|
| Données | Statique, identique à chaque fois | Un cryptogramme unique par transaction |
| Attaque par rejeu | Anodin | Échecs |
| Authentification par carte | Aucun | Cryptographique |
| Clonage | Bon marché et fiable | Peu pratique |
| Exposition par écrémage | Élevé | Faible |
Pourquoi la norme EMV est importante — et ce qu'elle a fait évoluer plutôt que résolu
La norme EMV a porté ses fruits. La fraude par carte contrefaite en présence physique a fortement diminué sur tous les marchés qui l'ont adoptée, car la copie d'une carte n'était plus rentable.
Ce que cela n'a pas fait, c'est réduire la fraude dans son ensemble. Cela n'a fait que la déplacer. La puce protège la transaction au niveau du terminal, mais le numéro de carte, la date d'expiration et le code de sécurité sont toujours imprimés sur la carte et continuent d'être saisis dans les formulaires de paiement. La fraude a suivi la voie de la moindre résistance pour se diriger vers paiement sans présentation de la carte canaux, dans lesquels aucun circuit intégré n'intervient et aucun cryptogramme n'est généré.
C'est là la conséquence concrète pour quiconque gère le risque de paiement : une puce intégrée au portefeuille du client ne sert à rien lors d'une transaction en ligne. La vérification doit porter à la fois sur les données de la carte elles-mêmes et sur la personne qui les fournit ; c'est pourquoi la saisie des données de la carte, la détection des signaux de fraude et la vérification d'identité s'effectuent de plus en plus souvent au cours d'une même étape.
Ce que la norme EMV ne permet pas de faire
Il ne protège pas les paiements en ligne. Le cryptogramme nécessite une puce physique et un terminal. Or, les transactions de commerce électronique ne disposent ni de l'un ni de l'autre ; par conséquent, le modèle de sécurité EMV est totalement absent du canal où se produisent aujourd'hui la plupart des fraudes.
Il ne vérifie pas l'identité du titulaire de la carte. La norme EMV permet de vérifier l'authenticité de la carte. Quant à savoir si la personne qui la détient en est bien le titulaire légitime, il s'agit là d'une autre question à laquelle répondent le code PIN, les données biométriques ou une vérification renforcée.
Le PAN est toujours exposé. Le numéro de la carte reste imprimé, en relief et lisible. C'est la norme EMV qui a sécurisé la transaction, et non les informations d'identification imprimées sur la carte.
Le plan de secours l'affaiblit. De nombreuses cartes sont encore équipées d'une bande magnétique pour des raisons de compatibilité, et les attaques par « repli forcé » visent précisément à la déclencher. Cette bande constitue le maillon faible qui a été conservé par souci de commodité.
Foire aux questions
Que signifie l'acronyme EMV ?
Europay, Mastercard et Visa — les trois sociétés à l'origine de la spécification initiale. Celle-ci est désormais gérée par EMVCo, dont le nombre de membres s'est largement étendu au-delà de ces trois sociétés.
Le paiement sans contact, c'est la même chose que la norme EMV ?
Le paiement sans contact repose sur la norme EMV, qui utilise une interface radio à la place des contacts physiques. Dans les deux cas, le même cryptogramme est généré pour chaque transaction ; seule la couche physique diffère.
La norme EMV a-t-elle permis de réduire la fraude ?
Cette mesure a permis de réduire considérablement la fraude liée aux cartes en présence physique sur les marchés où elle a été mise en place. Le nombre total de fraudes n'a toutefois pas diminué dans les mêmes proportions, car l'activité s'est déplacée vers les canaux de paiement sans présence physique de la carte, où la puce ne joue aucun rôle.
Pourquoi les cartes EMV sont-elles encore équipées d'une bande magnétique ?
Compatibilité ascendante avec les terminaux et les régions qui n'ont pas encore effectué la migration. Il s'agit d'une faille connue : les attaques par « fallback forcé » provoquent délibérément l'utilisation du système Stripe afin de contourner la puce.
