Dans quelle mesure les applications de paiement sont-elles sécurisées ?

L'argent liquide reste roi, pour l'instant. L'utilisation des applications de paiement électronique est en constante progression. Selon une récente enquête de la Réserve fédérale américaine , les paiements en espèces ne représentaient que 26 % de l'ensemble des paiements en 2020. Les cartes de paiement (crédit/débit) et les applications de paiement électronique ont été utilisées pour 65 % des transactions, les virements bancaires directs ne représentant que 9 % . La vague des paiements sans espèces et du commerce électronique a engendré la création de nombreuses applications de paiement. Apple Pay, Google Pay, PayPal, Venmo et Trello Pay figurent parmi les applications de paiement mobile les plus courantes. Cependant, ces applications comportent souvent des risques, les cybercriminels imaginant sans cesse de nouvelles arnaques pour nous soutirer de l'argent, qu'il soit virtuel ou physique.

Risques liés aux applications de paiement mobile

Comme tout autre appareil, les smartphones peuvent être la cible de logiciels malveillants . L'une des méthodes utilisées par les cybercriminels pour obtenir vos informations sensibles consiste à utiliser des enregistreurs de frappe ( keyloggers ). Ce type de logiciel malveillant enregistre et envoie chaque action (même un simple clic) effectuée sur votre smartphone (ou ordinateur) aux pirates informatiques, leur permettant ainsi de consulter les identifiants de compte que vous saisissez dans n'importe quelle application ou site web que vous consultez. Les pirates peuvent également utiliser de fausses applications se faisant passer pour légitimes et exploiter vos applications de paiement. Un exemple est présenté à la fin de cet article : les chercheurs d'ESET ont découvert un cheval de Troie déguisé en outil d'optimisation de la batterie , ciblant les utilisateurs de l'application PayPal officielle et tentant de transférer 1 000 € (1 200 $) vers le compte du pirate.

La plupart des pirates informatiques exploitent les appareils et déploient des logiciels malveillants via des courriels d'hameçonnage . Les rançongiciels, en particulier, peuvent être diffusés par ce biais, paralysant votre entreprise en bloquant vos données sensibles et en menaçant de les divulguer publiquement si vous ne payez pas la rançon. Les cyberattaques peuvent être dévastatrices non seulement pour votre entreprise, mais aussi pour votre vie personnelle.

Que faire?

Lorsque vous utilisez un smartphone, plusieurs mesures peuvent vous aider à rester en sécurité, notamment lors des paiements mobiles. Suivez les bonnes pratiques de CyberHoot pour la sécurité de votre smartphone : 

• N'utilisez pas de mots de passe faibles, voire aucun mot de passe, sur votre smartphone. Activez une combinaison de verrouillage biométrique (reconnaissance faciale ou empreinte digitale) ou une séquence de déverrouillage géométrique associée à un code complexe d'au moins 8 caractères. Il s'agit de l'authentification à deux facteurs.
• Ne perdez pas votre téléphone. Surveillez-le attentivement. L'accès physique permet aux pirates de s'introduire dans presque tous les appareils. 
• Activez les fonctionnalités « Localiser mon téléphone » disponibles sur Android et iPhone, vous donnant la possibilité de verrouiller ou d'effacer votre appareil en quelques secondes s'il est perdu ou volé.
• Maintenez toujours votre appareil mobile à jour en installant le dernier logiciel du système d'exploitation de votre fournisseur mobile rapidement après sa sortie.
• Permettre Authentification à deux facteurs sur tous les comptes critiques, y compris les e-mails, les services bancaires et les applications de paiement en ligne.
• Certaines applications de paiement vous permettent de « partager vos paiements » publiquement. Bien que cela puisse paraître intéressant, cela vous expose au risque d'être victime d'ingénierie sociale par des pirates informatiques. Ne partagez pas vos paiements publiquement.
• Activez les notifications pour les applications de paiement dès qu'une transaction est effectuée. Vous serez alerté en temps réel et pourrez réagir immédiatement en cas d'activité frauduleuse. 
• Évitez de télécharger des applications malveillantes. Vérifiez ce que vous installez. Identifiez les développeurs. Consultez cet article CyberHoot pour savoir comment évaluer la confidentialité des plugins de navigateur et comment vous renseigner sur la sécurité des logiciels et l'appliquer à votre smartphone.
• Installez uniquement des applications provenant du Play Store de Google et de l'App Store d'Apple. 
• Jamais évasion de prison ou rootez votre smartphone si vous avez des données sensibles dessus.

Il est important de comprendre les applications que vous utilisez, leur mode d'authentification et de désactiver le partage public des transactions. Le graphique ci-dessous présente les applications de paiement les plus courantes et les différentes manières dont elles tentent de garantir votre sécurité :

Définitions de la sécurité des paiements : Programme de primes aux bogues | Authentification à deux facteurs | Verrouillage des transactions

Recommandations de sécurité supplémentaires de CyberHoot

Bien que ces conseils soient essentiels pour l'utilisation de smartphones, vous devez également suivre ces pratiques supplémentaires pour l'utilisation d'ordinateurs, notamment au travail. CyberHoot recommande les bonnes pratiques suivantes pour se préparer aux cyberattaques, les limiter et parfois les éviter :

• Adoptez un Password Manager pour une meilleure hygiène des mots de passe personnels/professionnels
• Exiger des mots de passe de 14 caractères ou plus dans votre Politiques de gouvernance
• Suivez un Méthode de sauvegarde 3-2-1 pour toutes les données critiques et sensibles
• Former les employés pour repérer et éviter les e-mails phishing attaques
• Vérifiez que les employés peut repérer et éviter les e-mails de phishing en les testant
• Effectuer une évaluation des risques tous les deux à trois ans

Commencez dès aujourd'hui à élaborer votre plan de cybersécurité robuste et à défense en profondeur avec CyberHoot.

Un cheval de Troie Android vole des comptes PayPal, même avec l'authentification à deux facteurs activée :

Sources: 

WeLiveSecurity

TechCrunch

Nayax

NY Times – Recherche sur les paiements mobiles

Lectures supplémentaires : 

Des pirates informatiques diffusent de fausses applications de traçage des contacts

Smartphones ciblés par des logiciels malveillants intrusifs

Jeff Bezos et la faille de sécurité de WhatsApp