Paiements MOTO : le réajustement des recommandations du plan d’action de l’OSMP pour lutter contre la fraude

Un paiement MOTO (Mail Order Telephone Order) désigne un paiement par carte bancaire effectué à distance, mais sans passer par une interface e-commerce classique. Le client transmet ses coordonnées bancaires (numéro de carte, date de validité, cryptogramme) de vive voix par téléphone, ou par écrit via un bon de commande papier envoyé par courrier. L'agent saisit ensuite lui-même ces données dans son terminal de paiement virtuel.

Par définition, la transaction MOTO qui consiste à valider un paiement en dictant oralement ou par écrit ses coordonnés bancaires n'est pas sécurisée. Ces paiements sont par nature non authentifiés : le client n'interagit pas directement avec une interface bancaire, il ne saisit pas de code 3DS. C'est ce qui les rend particulièrement vulnérables à la fraude. Bien qu'elles ne représentent que 2% des transactions par carte, elles concentrent 9% de la fraude.

Le 3D Secure (ou « Three-Domain Secure ») est un protocole de sécurité qui protège vos paiements par carte en ligne. Concrètement, il ajoute une étape de vérification entre vous et votre banque au moment du paiement : un code SMS, une notification mobile, ou une empreinte digitale. Développé à l'origine par Visa sous le nom « Verified by Visa », il est aujourd'hui intégré par l'ensemble des réseaux de paiement. Le 3D Secure (3DS) est l'outil d'authentification forte le plus efficace pour sécuriser les paiements en ligne. L'OSMP a constaté que les transactions sans 3DS génèrent 4 fois plus de fraude que celles correctement authentifiées.

L'Observatoire de la Sécurité des Moyens de Paiement (OSMP) est un organisme piloté par la Banque de France. Il rassemble les acteurs du secteur (banques, PSP, commerçants, opérateurs télécoms) pour surveiller la fraude sur les paiements et émettre des recommandations contraignantes.

Son objectif : réduire la fraude sur l'ensemble des moyens de paiement scripturaux : carte, virement, prélèvement, chèque en fixant des normes de sécurité progressives.

L'Observatoire de la Sécurité des Moyens de Paiement (OSMP) restreint le MOTO car ce canal est techniquement exclu du dispositif d'authentification forte (3D Secure). Ne pouvant pas vérifier l'identité de l'acheteur (via une notification bancaire ou un code SMS), c'est un canal très exposé. Le MOTO concentre ainsi près de 9 % du montant global de la fraude en France, alors qu'il ne représente que 2 % des transactions par carte.

Les secteurs les plus touchés sont ceux qui utilisent massivement les paiements à distance sans authentification forte :

• Centres d'appels et télémarketing : paiements MOTO par téléphone

• Tourisme et hôtellerie : réservations par email ou téléphone

• Vente par correspondance (VPC) : commandes sans interface web sécurisée

• Abonnements presse et médias : renouvellements téléphoniques

• Recouvrement de créances : paiements collectés par agents

• Bailleurs sociaux: prise de loyers par téléphone

Le plafond standard imposé par l'OSMP est fixé à 500 € par carte, par marchand et par 24 heures glissantes. Si un client tente de réaliser une transaction MOTO supérieure à 500 €, ou si plusieurs achats cumulés sur le même outil dépassent ce montant en une journée, la transaction est automatiquement bloquée par la banque émettrice.

Pour encaisser des montants supérieurs à 500 € sans risquer un refus bancaire, les commerçants doivent abandonner la saisie manuelle des cartes et basculer sur des solutions alternatives comme l'envoi de liens de paiement sécurisés (Pay-by-Link). Le conseiller génère et envoie un paiement par lien par SMS ou email. Le client saisit ses coordonnés bancaire directement depuis son téléphone et règle son achat ce qui permet de déclencher l'authentification forte (3D Secure) et de lever les plafonds de vélocité de l'OSMP.

D'autres solutions alternatives existent comme:

• SVI de paiement (Serveur Vocal Interactif) : le client saisit ses coordonnées bancaires via le clavier de son téléphone, aucune donnée n'est communiquée à l'agent

• Authentification forte expérimentale sur MOTO : en cours de déploiement avec les émetteurs bancaires.

Ces solutions permettent de sortir le centre d'appels ou le commerçant du scope PCI-DSS tout en conformant aux recommandations OSMP.

Les recommandations de l'OSMP ont une portée contraignante pour les PSP (prestataires de services de paiement) régulés. En cas de non-respect :

• Les émetteurs bancaires peuvent refuser ou bloquer les transactions non conformes.

• Les PSP s'exposent à des risques de responsabilité accrue en cas de fraude : notamment si aucune authentification forte n'a été tentée.

• Les commerçants non conformes peuvent perdre le transfert de responsabilité vers l'émetteur en cas de chargeback.