Fraude liée aux transactions avec carte physique : définition et mesures de prévention

Nothing beats that crisp cha-ching or the happy ding of a successful card tap. It's the sound of sales closing, inventory turning over, and your business gaining real momentum.

Mais toutes les transactions validées ne se soldent pas forcément par le résultat escompté. Le même terminal peut très bien valider en toute discrétion une transaction frauduleuse : une carte volée utilisée en quelques secondes, une puce copiée et clonée pour créer une contrefaçon, ou encore un paiement sans contact effectué à la hâte. Tout semble légitime jusqu’à ce que le rejet de débit apparaisse sur votre tableau de bord.

This hidden threat is known as card-present transaction fraud. It's the persistent risk in face-to-face payments. Despite EMV chips and contactless technology reducing counterfeit fraud by up to 87% in mature markets, fraudsters adapt. Lost or stolen cards, shimming attacks, and low-value tap exploits...Card-present fraud accounts for $6, 10 billion in annual losses.

This article examines everything you must know about card-present fraud. We'll take you behind the counter to show you precisely how these heists work today and how to ensure your next approved transaction stays in your bank account. Card-present fraud is a distinct category of payment fraud that differs from online-only schemes.

Qu'est-ce que la fraude en présence physique de la carte (CP) ?

La fraude « carte présente » (CP) désigne une fraude de paiement en personne non autorisée, dans laquelle un malfaiteur utilise physiquement un support d'identification volé, contrefait ou cloné (carte EMV,stripe ou paiement par contact via un portefeuille numérique NFC) pour effectuer un achat frauduleux sur votre terminal de paiement, achat qui semble légitime en temps réel.

This is often referred to as a "proximity attack" because the fraud requires close physical access to the terminal. Here are the key characteristics of card-present fraud:

• The card (or token in a digital wallet) is "presented" in person through a swipe, insert (chip), tap (contactless/NFC), or even manual key entry in rare cases.
• La validation s'effectue en temps réel, souvent accompagnée d'un bip ou d'un signal sonore, ce qui donne à la transaction un caractère légitime.
• Les rétrofacturations apparaissent généralement plusieurs semaines plus tard, alors que le malfaiteur a depuis longtemps disparu avec les biens ou les services.

La fraude par carte de paiement se distingue de la fraude par carte en général (notamment la fraude à distance sans présentation de la carte) par son caractère physique et en face à face.

Comment fonctionnent les transactions avec carte physique

Une transaction CP standard se déroule selon les étapes suivantes :

1. À la caisse, le client effectue son paiement en insérant une carte à puce, en approchant une carte sans contact, un téléphone ou une montre, en passant sa carte dans le stripe magnétique ou en remettant sa carte pour qu'elle soit saisie manuellement.
2. Le terminal de point de vente lit les données.  
   
   • Pour les cartes à puce/sans contact : des données dynamiques cryptées (code à usage unique) sont générées.
   • Pour le passage de la carte (pratique désormais rare en raison des progrès technologiques) : le système lit stripe magnétique.
3. Le terminal envoie la demande d'autorisation de paiement, accompagnée des informations nécessaires, à votre acquéreur/prestataire de services de paiement, qui transmet ces informations au réseau de cartes (Visa, Mastercard, Amex ou Discover), puis à l'émetteur de la carte ou à la banque.
4. L'émetteur approuve ou refuse la transaction après avoir vérifié le solde, les règles anti-fraude et (pour les cartes à puce) validé le cryptogramme ; la réponse est renvoyée en quelques secondes.
5. La transaction est finalisée par l'impression d'un reçu, la remise des marchandises et le règlement ultérieur (idéalement sous 1 à 3 jours).

La fraude liée aux transactions en présence physique tire parti de la nécessité d'assurer une rapidité optimale et un passage en caisse fluide lors des transactions en personne.

Les fraudeurs utilisent des cartes perdues ou volées et effectuent des paiements sans contact sans code PIN, qui peuvent être réalisés en quelques secondes sans risque immédiat. Les commerçants sont confrontés à un dilemme entre commodité et sécurité. Toute vérification supplémentaire susceptible de mettre fin à ces attaques ralentirait chaque client légitime et nuirait à l'expérience rapide et fluide qui stimule les ventes en magasin.

Types courants de fraude liée aux transactions avec carte physique

Fraudsters have largely abandoned full card cloning. EMV's dynamic codes make it extremely difficult and rarely worth the effort anymore. Instead, they prefer low-effort, high-speed opportunism that preys on the very fabrics of a truly effortless checkout. Scaling brands are increasingly targeted by technical bypasses and social engineering designed to trick both the terminal and the human behind the counter. Here are the most common card-present fraud patterns worth noting:

1) Attaques par intercalation et par repli

Alors que les lecteurs de cartes (qui lisent les bandes magnétiques) ont pratiquement disparu du commerce de détail moderne, les Shimmers constituent la nouvelle frontière.

A shim is a paper-thin, microscopic device inserted into your terminal's chip slot. It doesn't steal the magnetic stripe. It intercepts the communication between your POS and the EMV chip.

The goal? To trigger a technical error. When the chip fails to read because of the shimmer, the criminal waits for your staff to say, "The chip isn't working, let's try swiping it." The moment that card is swiped, the liability shift flips, and you, the merchant, becomes 100% responsible for the fraudulent transaction.

2) Relais NFC et « ghost tapping »

Il s'agit sans doute de la menace la plus complexe à laquelle sont confrontés les showrooms très fréquentés et les événements éphémères.

À l'aide d'outils tels que NFCGate, un fraudeur retransmet un signal provenant d'une carte authentique située ailleurs (par exemple, dans la poche d'une personne se trouvant dans un café voisin) vers un téléphone relié à votre caisse.

The scammer then taps their phone (Apple/Google Pay), and the transaction is approved. To your system, it looks like a high-security mobile wallet tap. In reality, the person standing in front of you doesn't own the credentials. They are essentially mules beaming someone else's card into your store.

3) Saisie manuelle obligatoire

This is the low-tech version of card-present fraud. But don't be carried away by the mundane nature; it still costs scaling brands millions. It exploits human kindness and speed.

For social engineering CP frauds, the scammer presents a card they have intentionally damaged (scratched chip). They may even play the "damsel in distress" role, claiming they are in a rush or that this happens "all the time."

They convince your employee to manually key in the 16-digit card number and CVV on the terminal. The moment they do this, it's game over! Manually keyed transactions are processed as card-not-present (CNP) on a physical device, stripping away almost all your legal defenses during a dispute.

4) Utilisation abusive par le propriétaire

Pour de nombreux Chargeflow , la plus grande menace vient de leurs propres clients.

First-party misuse happens in card-present transactions. The customer visits your store, buys a high-value item, and then turns around two weeks later to dispute the transaction. Because the customer was physically in-store, they assume your evidence, often just a thermal receipt or signature, won't suffice in proving legitimate authorization.

In these cases, your strongest defense isn't the receipt. It's the data: EMV authentication records, POS logs, device verification, SKU-level proof of delivery, and any digital-physical linkage that ties the transaction to the cardholder.

Fraude avec carte physique vs fraude sans carte physique : principales différences

For many brands, the line between 'online' and 'in-store' is blurring due to the rise of Unified Commerce. Inventory, payment data, and customer identities are integrated into a single ecosystem to support hybrid behaviors, such as Buy Online, Pick In-store (BOPIS) and showrooming.

Cependant, les réseaux de paiement continuent de classer les transactions par canal. Les transactions avec et sans présentation de la carte sont soumises à des modèles de risque, des règles de responsabilité et des procédures de litige différents.

Alors que les commerçants ne voient qu'un seul parcours client, les réseaux perçoivent deux environnements de risque distincts.

Il est essentiel pour les commerçants opérant sur plusieurs canaux de bien comprendre le fossé structurel et la manière dont sont traitées les fraudes CP et CNP.

La variance fondamentale

Au fond, ce qui distingue la fraude avec carte physique de la fraude sans carte physique, c'est la preuve de la présence physique.

• Dans les cas de fraude au paiement en ligne, la preuve de la légitimité d'une transaction repose sur un ensemble de signaux numériques. Il s'agit notamment de l'adresse IP, du code CVV, du protocole 3DS, etc.
• Dans le CP, la vérification consiste en une poignée de main cryptographique physique entre une puce EMV et votre matériel.

Le transfert de responsabilité

The single most important concept for modern payment collection is who pays when things go wrong. The "Liability Shift" is a rule set by the card networks that determines which party is financially responsible for a fraudulent transaction.

• In the CP world, if you have an EMV-compliant terminal and a customer "dips" a stolen chip card, the bank or card issuer absorbs the loss. The exception to this rule is if you allow a "Fullback Swipe" (sliding the magnetic stripe because the chip failed) or a manual entry was used. You effectively waive your protection.
• Dans le cadre du CNP, c'est vous, le commerçant, qui êtes responsable par défaut en cas de fraude en ligne. La seule exception concerne les cas où vous mettez en place le système 3DS ou utilisez certains protocoles de portefeuille numérique.

Comment se produit la fraude par carte physique au point de vente

Here's what most merchants miss: the $8,000 fraudulent transaction that lands on your account didn't start at the register. It started with your training materials.

Every time you tell your staff to "create a frictionless experience" or "never let technical difficulties stand in the way of a sale," you're teaching them to bypass the security measures designed to protect you. You're inadvertently training them to ignore red flags.

Fraudsters understand this better than most business owners. They don't dress like criminals or act suspiciously. They present themselves as your ideal customer, so you don't suspect a thing.

Signes avant-coureurs de la fraude par carte physique pour les commerçants

Signaux d'alerte comportementaux

Formez votre personnel à repérer les cas où les procédures standard de passage en caisse sont contournées ou effectuées à la hâte. Voici les principaux signaux d'alerte indiquant une fraude lors des transactions en présence de la carte :

• Nécessité de contourner la vérification: exiger un passage de la carte ou une saisie manuelle immédiatement après une défaillance de la puce.
• Achats rapides de faible montant: plusieurs paiements sans contact inférieurs aux seuils de vérification, souvent effectués dans plusieurs établissements.
• Réaction immédiate après un refus: changer de carte, demander une saisie manuelle ou utiliser des cartes-cadeaux au lieu de suivre les procédures habituelles en cas de refus.
• Tentatives visant à contrôler le déroulement du paiement: créer des distractions, précipiter le processus ou dissuader la vérification.

Indicateurs physiques de la carte

Parfois, le risque réside dans la carte elle-même. Voici les indices physiques les plus courants permettant de détecter une fraude lors d'une transaction en présence de la carte :

• Une zone rayée ou endommagée qui semble avoir été faite exprès.
• Cards that appear old or worn despite being "newly issued."
• Demande de ne pas insérer la puce, mais de passer la carte dans le lecteur.
• Signes d'altération ou de signatures non concordantes.
• The customer presents a premium, heavy-metal card. But when chipped or tapped, your POS screen shows "DEBIT" or "PREPAID" instead of "CREDIT."

Remember, card-present transaction fraud seeks to exploit your culture, not necessarily your technology. That's why it mostly succeeds. When your team operates under the belief that friction equals poor service, fraudsters weaponize that assumption. They know you've trained your staff to find workarounds when chips fail or systems lag.

L'impact commercial de la fraude par carte physique

There's a reason most merchants don't worry much about card-present transaction fraud. The customer is standing right there with a physical card. What could go wrong?

En fait, c'est considérable. Les conséquences vont bien au-delà de la transaction elle-même.

Just like CNP fraud, card-present fraud doesn't cost you the transaction value. It costs you:

• Le produit qui s'est enfui
• Frais de rejet de débit lorsque le titulaire de la carte demande le remboursement
• 8 à 12 heures de travail consacrées par le personnel à l'examen et à la contestation du rejet de débit
• La marge sur les ventes légitimes dont vous avez besoin pour compenser la perte

Mais ce n'est pas tout.

Les frais annexes comprennent :

• Les perturbations opérationnelles, dues au fait que le personnel remet en question les transactions, allongent le temps d'attente à la caisse, frustrent les clients légitimes et nuisent au moral du personnel.
• Conséquences sur les stocks : les systèmes affichent des recettes qui ne figurent jamais dans votre bilan, des déclencheurs de réapprovisionnement se déclenchent sur la base d'une demande fictive, et les prévisions globales de la demande perdent en fiabilité.
• Atteinte à l'image de marque due à l'inefficacité des outils de détection des fraudes mis en place lors du paiement.
• Contraintes stratégiques et financières lorsque les transformateurs commencent à renforcer leur position dominante par le biais d'une augmentation des réserves, de règles plus strictes et d'un report des règlements.

When you do the math, you'll quickly realize why every $1 fraud costs you at least $4.61.

Les défis liés à la détection et à la prévention de la fraude à la carte de paiement

Spotting and stopping CP fraud at the POS can be a headache for merchants. The core problem is that you're trying to secure transactions that are built to happen lightning fast.

As indicated earlier, it's a classic Cash-22. Any extra stop risks killing the customer experience you work hard to deliver. But add too few controls? Fraudsters exploit gaps.

Voici quatre des principaux obstacles à la détection et à la prévention de la fraude à l'assurance automobile :

Le dilemme entre vitesse et sécurité

Transaction approvals are supposed to happen in seconds. That's the point of modern payments. And so, inserting meaningful checks, such as requesting ID or velocity flags, can create lines, annoy customers, and impact conversions.

Les fraudeurs ne cessent d'évoluer

Même si le clonage de cartes n'est plus aussi répandu qu'auparavant grâce à la norme EMV, les cartes perdues ou volées restent un problème. Un article de Forbes a révélé qu'au moins 14 millions de cartes de crédit avaient été volées l'année dernière, et qu'un million de numéros de carte avaient été mis en vente gratuitement sur le dark web.

Card-present transaction frauds, such as shimming and no-PIN contactless exploits under limits, persist because they're quick and low-risk. A thief taps before the owner reports it.

La rotation du personnel nuit à la cohérence

Le secteur de la vente au détail connaît un taux de rotation élevé. Les nouveaux employés passent souvent à côté des signes subtils de fraude, car leur formation est souvent négligée. Une seule mauvaise journée de travail peut ouvrir la voie à une fraude excessive au niveau des coûts de possession.

Fraudsters look for these gaps. They hit during rushes. They target new employees and understaffed locations. They're timing your security.

The Insider Threat You Can't Tech Your Way Out of

Some card-present fraud doesn't come from outside. Employees process fake returns. They keep customer card details, disable security prompts, or help suspicious transactions go through.

Because these transactions are processed by authorized users, they look completely legitimate to your system. You can monitor for anomalies, but that's not enough to eliminate the problem. You need fundamental trust to run a retail operation.

Now that you know how card-present fraud unfolds at the point of sale, the question is: How do you put practical, low-friction defenses in place to protect your revenue without turning every customer interaction into a security checkpoint? Let's examine that:

Meilleures pratiques en matière de prévention de la fraude par carte physique

La bonne nouvelle, c'est qu'en combinant quelques ajustements techniques simples, les bonnes pratiques du personnel et des mesures judicieuses, vous pouvez mettre un terme à la plupart des fraudes liées aux transactions en présentiel. Et vous pouvez y parvenir tout en garantissant un passage en caisse rapide et en satisfaisant vos clients.

Here's a proven, merchant-first playbook that focuses on high-impact actions with minimal disruption:

1) Faire du paiement par carte à puce et sans contact la norme

Gently guide customers toward inserting the chip or tapping NFC instead of swiping. Where and if the terminal allows, disable or discourage mag-stripe fallback. Why? It's slower, less secure, and often triggers liability shifts under EMV rules.

Le paiement sans contact est de toute façon plus rapide pour vos caisses. Il utilise également la tokenisation et des codes dynamiques, ce qui rend le vol de données bien plus difficile.

2) Mettre en place des procédures de formation du personnel cohérentes

Organisez des sessions courtes et régulières axées sur les signes concrets de fraude à la carte de paiement. Veillez à ce que tout le monde sache faire la différence entre un client qui traverse véritablement une mauvaise passe et un fraudeur qui tente de manipuler le processus.

De plus, veillez à former le personnel à demander poliment une pièce d'identité avec photo lors de transactions d'un montant élevé ou à risque, et intégrez les inspections quotidiennes des terminaux aux procédures d'ouverture et de fermeture, le cas échéant. Cela vous permettra de détecter les dispositifs de clonage ou de skimming installés sur les lecteurs ou les fentes.

Les équipes de vente au détail, caractérisées par un fort taux de rotation, obtiennent de meilleurs résultats lorsque la formation est rapide, visuelle et répétée.

3) Renforcez la sécurité de votre matériel de point de vente

Utilisez des terminaux dotés d'un dispositif anti-falsification qui signalent toute ouverture ou altération. Désactivez stripe magnétique, sauf en cas d'intervention manuelle du responsable. Le fait d'imposer le passage de la carte magnétique sur le même terminal qui a refusé la puce constitue la technique de fraude la plus courante, et les puces légitimement endommagées sont suffisamment rares pour être traitées comme des exceptions.

Most importantly, force PIN entry above your contactless limit. If your region allows $100 tap-to-pay, and you've noticed CP fraudsters exploiting this, set your threshold at $50. This inconvenience of entering a PIN is minor compared to the cost of not requiring one.

4) Renforcer la vérification de l'identité des clients et la surveillance des signaux d'alerte

For suspicious or high-value transactions, require full authorization on every transaction. Consider deploying Code 10 calls. If something feels off, quietly call the processor/issuer for a "Code 10" authorization request. This alerts the issuer discreetly without tipping off the customers.

Vérifiez si les cartes correspondent et soyez attentif aux schémas récurrents, tels que les tentatives répétées, les achats importants d'articles susceptibles de faire l'objet de fraudes ou le recours forcé à des moyens de paiement de secours.

5) Mettre en œuvre les nouvelles mesures de défense lorsque cela est possible

Dans les configurations hybrides (par exemple, le BOPIS), intégrez des outils CNP tels que Chargeflow , le cas échéant, et réduisez les risques liés à la transaction avant le traitement de la commande en magasin.

This structured approach keeps losses down without sacrificing sales velocity. In the next section, we'll cover how to respond when something does slip through.

Comment les commerçants doivent réagir face aux cas de fraude par carte physique

When a transaction feels off, the goal should be to move the transaction back into a safe harbor or terminate it without a scene. Here's the modern 3-phase protocol for scaling brands:

Phase 1 : Intervention immédiate

The moment a red flag appears, your staff should switch to "system-blame."

The script: "I'm so sorry, the terminal is giving me a security handshake error. Our system won't let me bypass this for a transaction of this size."

Why this works: It removes the personal element that scammers manipulate. The staff member isn't accusing the customer. The mean machine is just doing its job. And guess what, this prevents the aggressive distraction tactic fraudsters use to pressure staff.

Prochaines étapes :

• Lancez discrètement une procédure d'autorisation de code 10.
• Demandez poliment une pièce d'identité avec photo si le règlement le permet (vérifiez discrètement que le nom, la photo et la signature correspondent).
• If red flags escalate or the customer becomes aggressive, prioritize de-escalation. Involve a manager/security, decline politely ("This didn't go through, perhaps try another card?"). But never override a decline.

Phase 2 : Pivot terminal

If you suspect a device-level attack (like a Relay Attack or Shimming), don't just keep trying on the same register. Politely ask the customer to move to a different register: "Let's try this terminal. Register 1 has been acting up with NFC taps all morning."

Pourquoi c'est essentiel : si le décalage ou l'erreur disparaît sur le registre 2, cela signifie probablement que le registre 1 est endommagé. Si l'erreur persiste, le problème vient des identifiants, et non du matériel.

Phase 3 : Mesures de sécurité et reprise après incident

Dans les cas où une transaction suspecte a été approuvée, peut-être parce que le fraudeur a réussi à contourner les mesures de sécurité grâce à des techniques d'ingénierie sociale, vous devez mettre en place des mesures de protection. Signalez immédiatement la transaction. La plupart des systèmes modernes permettent d'ajouter des notes internes.

Mesures immédiates :

• Ajoutez une note interne à l'identifiant de la transaction dans votre système de point de vente : par exemple, «Le client a affirmé que la puce de sa carte de crédit était endommagée ; il a insisté pour que la transaction soit saisie manuellement. Le personnel a constaté qu'il agissait dans la précipitation et a dû recourir à une solution de secours. »
• Enregistrer l'heure exacte ou le signal sonore de validation, accompagné des remarques du personnel concernant ses observations.
• Extrayez et enregistrez un extrait vidéo de 15 à 30 secondes provenant de la caméra installée en magasin (si celle-ci est disponible et si cela est légal) montrant l'interaction et la présentation de la carte.
• Vérifiez que le terminal n'a pas été altéré (test de mobilité, présence éventuelle de caches ou de caméras) et signalez-le au gestionnaire.

This allows you to pull a 15-second video clip later when the chargeback lands. If none of these are applicable, and the chargeback is the only rude awakening to the card fraud, that's where Chargeflow comes in. Chargeflow helps merchants recover chargebacks on autopilot. And you only pay upon success.

Si votre activité comporte une composante en ligne, l'intégration Chargeflow incontournable. Ce service transforme les incidents potentiels liés aux transactions en présence de carte en litiges récupérables, avec des taux de recouvrement souvent quatre fois supérieurs.

Tendances en matière de fraude par carte physique et menaces émergentes

The fraud landscape is becoming more active by the day. According to the Kansas City Payments Research Systems Briefing, "the U.S. payments industry migrated to EMV chip-card technology in 2015 to mitigate card-present fraud. Since then, however, payment card fraud has continued to climb."

Les taux de CP aux États-Unis restent supérieurs à ceux d'autres régions telles que l'Australie (1,0 point de base) ou l'EEE (0,7 point de base), en partie en raison d'une adoption plus lente des technologies EMV et sans contact dans certains segments.

Voici quelques menaces émergentes qui méritent d'être soulignées :

Attaques par relais NFC

La menace est rare, mais bien réelle. Un fraudeur peut utiliser un équipement spécialisé pour rediriger un signal NFC provenant du téléphone d'une victime vers votre terminal. La transaction semble tout à fait légitime. Le portefeuille mobile crypté passe tous les contrôles de sécurité sans aucun problème.

Pourquoi c'est important: lorsque le véritable titulaire de la carte conteste le prélèvement, vous ne disposez d'aucune preuve matérielle permettant d'identifier la personne qui a passé sa carte à votre terminal de paiement. La complexité technique requise fait que ce cas de figure reste relativement rare.

À surveiller : les transactions sans contact qui s'effectuent anormalement lentement (avec un délai de 2 à 5 secondes) ou les clients qui semblent déconnectés de leur appareil de paiement.

Escroquerie BORIS : la version « carte cadeau »

Buy Online, Return In-Store has evolved. Fraudsters now specifically target gift card returns because they're untraceable and easily converted to cash on secondary markets.

Le mode opératoire : le malfaiteur achète en ligne des articles de grande valeur avec une carte volée, choisit le retrait en magasin, puis se rend immédiatement en voiture dans un autre magasin pour retourner les articles. L'escroc prétend avoir perdu le ticket de caisse et fait pression sur le personnel pour qu'il lui remette une carte-cadeau générique au lieu de rembourser le montant sur le moyen de paiement initial.

Les conséquences : vous devez prendre en charge le rejet de débit lié à l'achat initial, vous perdez le stock et vous remettez une carte cadeau qui sera vendue contre des cryptomonnaies en quelques heures.

Comment éviter cela : associez la mise à niveau de votre politique à Chargeflow afin que l'IA puisse filtrer ces escrocs hors de votre système. Formez votre personnel à signaler tout retour effectué sans justificatif de paiement initial.

Dispositifs de skimming compatibles Bluetooth

Les skimmers modernes sont plus petits, plus sophistiqués et plus difficiles à détecter. Ils sont dissimulés à l'intérieur de votre lecteur de cartes à puce et transmettent les données volées par connexion sans fil ; le malfaiteur n'a donc pas besoin de revenir sur place pour récupérer quoi que ce soit physiquement.

Vous ne vous en rendrez peut-être compte qu'une fois que vous aurez constaté une série de rétrofacturations liées à des fraudes sur des cartes utilisées sur un terminal spécifique. À ce moment-là, des dizaines de clients auront déjà été victimes d'une violation de données.

Comme nous l'avons indiqué précédemment, une inspection physique régulière des terminaux permet d'éviter ce genre de situation. Agissez rapidement pour identifier les causes sous-jacentes dès que vous constatez plusieurs signalements de fraude liés au même terminal.