Loading AI tools
De Wikipédia, l'encyclopédie libre
Ne doit pas être confondu avec Cryptographie visuelle.
Pour les articles homonymes, voir CVC.
Cryptogramme visuel désigne en général les trois derniers chiffres présents au dos d'une carte de paiement.
Le terme le plus couramment utilisé est cryptogramme visuel[1], mais on trouve également les termes code de sécurité (card security code ou CSC en anglais), ou CVV (pour Card Verification Value), ou CVC (pour Card Verification Code), Verification Code (V-Code ou V Code), ou Card Code Verification (CCV). Tous ces termes désignent des procédés servant à la sécurisation des transactions par carte de paiement et fournissant une protection accrue contre l'utilisation frauduleuse des cartes de paiement.
Il existe différents types de codes de sécurité :
Ces codes ne doivent pas être confondus avec le numéro de carte de crédit généralement apparaissant en relief sur la carte de paiement. Le numéro de carte de crédit lui-même fait l'objet d'un système de validation propre avec l'algorithme appelé formule de Luhn qui sert à déterminer si le numéro de la carte est valide.
Ces codes ne doivent pas non plus être confondus avec le code PIN ou le mot de passe 3-D Secure connu sous le nom "MasterCard SecureCode" ou "Verified by Visa". Ces codes ne sont pas imprimés ou mis en relief sur la carte mais sont entrés manuellement au moment de la transaction.
Le code de sécurité (CVV2 ou CVC2) est un groupe de 3 ou 4 chiffres imprimés au dos de la carte de paiement à droite de l'emplacement réservé à la signature, mais il n'est pas encodé dans la bande magnétique.
Comme le code de sécurité n'est pas inclus dans la bande magnétique, il n'est en général pas inclus dans une transaction qui a lieu en face à face chez un commerçant. Cependant aux États-Unis, quelques entreprises comme Sears ou Staples exigent ce code.
Pour les cartes American Express en Europe, l'usage du code de sécurité pour les transactions à distance a commencé en 2005. Ceci augmente le niveau de protection pour la banque et le titulaire de la carte, dans le sens où un commerçant mal intentionné ne peut pas simplement capturer les données de la bande magnétique pour les réutiliser dans le cadre d'un paiement à distance ultérieur. Pour cela, le commerçant devrait noter le code CVV2 au moment de la transaction où il souhaite capturer les données de la bande magnétique, ce qui éveillerait les soupçons du titulaire de la carte.
Aux États-Unis, Visa interdit aux commerçants de conserver le code CVV2 après la transaction. Ainsi, même en cas de vol d'un fichier de transactions, les codes CVV2 n'y figurant pas, les voleurs ne pourront pas utiliser les numéros de cartes pour effectuer des transactions frauduleuses.
La norme PCI DSS (DSS = norme de sécurité des données (data security standard) et PCI = Conseil des normes de sécurité (Payment Card Industry) interdit également le stockage du code de sécurité ainsi que d'autres données sensibles liées à l'autorisation de la transaction. Ceci, pour toute entité qui enregistre, traite, transmet des données de cartes de paiement[2].
Fournir un code de sécurité CSC a pour but de vérifier que le consommateur a bien la carte en sa possession. Connaître ce code prouve que le consommateur a vu la carte. À ce jour, aucun logiciel permettant de "craquer" ce système n'est connu.
La connaissance du cryptogramme visuel, jointe à la connaissance du numéro à 16 chiffres figurant au recto de la carte bancaire, permet au propriétaire de la carte, mais aussi à toute personne tierce, y compris délinquante, d'effectuer des achats en ligne depuis le compte bancaire du titulaire.
Il est donc conseillé d'apprendre par cœur ce cryptogramme avant de le faire disparaître par un léger « grattage » avec la pointe d'un couteau, d'une épingle ou d'un compas, avec obligation de ne pas dégrader la puce informatique ni la piste magnétique.[réf. nécessaire]
Les valeurs des codes CVC1, CVV1, CVC2 et CVV2 sont générées lorsque la carte est créée. Ces valeurs sont calculées en chiffrant le numéro de carte (PAN, Primary Account Number en anglais), la date d'expiration et le code de service avec une clé de déchiffrement (souvent appelée Card Verification Key ou CVK en anglais) seulement connue de la banque émettrice de la carte, puis en convertissant au format décimal le résultat[4],[5].
En 2015, des cartes à cryptogramme dynamique ont fait leur apparition sur le marché. Le cryptogramme statique, imprimé au verso de la carte, est remplacé par un mini écran e-paper intégré dans la carte, capable d'afficher trois ou quatre chiffres. Le cryptogramme est affiché de façon permanente mais change automatiquement, typiquement toutes les 20 minutes : il est calculé par une puce alimentée par une mini-batterie ultra-mince, les deux intégrées également au cœur de la carte.
Cette technologie ne change pas les habitudes d'achat, ne nécessite l'installation d'aucun plugin sur le navigateur, et fonctionne de façon transparente sur les sites marchands existants. Ce type de carte permet de lutter efficacement contre la fraude en ligne : si les informations de la carte sont volées (notamment par photo recto/verso de la carte par un point de vente indélicat[6]), elles deviennent inutilisables rapidement puisque le cryptogramme change régulièrement.
En l’état, un tel dispositif serait totalement inaccessible[7] aux personnes aveugles ou très malvoyantes (soit environ 1 300 000 personnes en France[8]) qui se trouveraient ainsi exclues des possibilités d’achat en ligne auxquelles elles ont aujourd’hui largement recours.
Plusieurs banques ont annoncé[9],[10],[11],[12] lancer des pilotes sur cette technologie en 2015 et visent des déploiements en 2016. La technologie est proposée par les sociétés françaises Oberthur Technologies ("Motion Code") et Gemalto ("DCV").
Seamless Wikipedia browsing. On steroids.
Every time you click a link to Wikipedia, Wiktionary or Wikiquote in your browser's search results, it will show the modern Wikiwand interface.
Wikiwand extension is a five stars, simple, with minimum permission required to keep your browsing private, safe and transparent.
