Le skimming de carte bancaire : une technique qui ne date pas d’hier
Le skimming n’est pas une invention récente. Cette technique frauduleuse de clonage de carte bancaire existe depuis la fin des années 90, quand les premières cartes à bande magnétique ont commencé à circuler massivement en Europe. Le principe n’a pas vraiment changé depuis : un petit appareil placé au-dessus ou à l’intérieur du terminal de paiement capte les données de la carte au moment de la transaction. Ce qui a évolué, en revanche, c’est la sophistication du matériel et la vitesse à laquelle les données volées peuvent être exploitées.
Pendant longtemps, les skimmers ciblaient principalement les distributeurs automatiques de billets. Les banques ont réagi en durcissant les normes de sécurité physique sur les DAB, et les réseaux criminels sont passés à des cibles moins surveillées : bornes de péage, parkings automatiques, et depuis quelques années, les terminaux de paiement des stations-service. Autant de points d’entrée où la vigilance des usagers est réduite et les contrôles rares.
Pourquoi les stations-service sont une cible de choix
Les stations-service en libre-service sont une cible idéale pour la fraude bancaire, car elles combinent un fort passage, une surveillance limitée et un usage rapide, qui réduisent l’attention des clients. Les fraudeurs peuvent y installer des dispositifs discrets sur les terminaux de paiement en se faisant passer pour un client.
Les techniques choisies peuvent varier. Le skimming classique vise surtout la bande magnétique de la carte bancaire. Le dispositif est placé sur ou dans le lecteur capture les données quand la carte est glissée. Le shimming, lui, est une variante plus avancée qui vise la puce : un petit module inséré dans le terminal intercepte les données lorsque la carte est insérée.
Ce qui s’est passé à Vitry-sur-Seine
Début juin 2025, le Groupement d’Intérêt Économique Carte Bancaire (GIECB), qui surveille en continu les transactions suspectes sur l’ensemble du réseau français, détecte une anomalie sur une station-service de Vitry-sur-Seine, dans le Val-de-Marne. Le signal est suffisamment cohérent pour alerter la Brigade des Fraudes aux Moyens de Paiement (BFMP). Les enquêteurs se rendent sur place et découvrent un dispositif de skimming dissimulé à l’intérieur du terminal de paiement de l’une des pompes.
L’appareil n’est pas posé au-dessus le lecteur de carte, comme dans certaines attaques plus grossières sur les DAB. Il est intégré dans le boîtier, complètement invisible de l’extérieur. Aucun usager n’aurait pu le repérer. Les données captées sont ensuite transmises en temps réel, via Bluetooth ou réseau mobile, à des opérateurs à distance, qui peuvent ensuite les exploiter en temps record.
Dans ce cas précis, les retraits frauduleux ont été effectués depuis des distributeurs automatiques situés en Espagne, une pratique courante qui vise à rendre l’enquête plus complexe en introduisant une dimension transfrontalière.
Un réseau bien structuré
L’enquête a finalement conduit à l’interpellation de quatre hommes de nationalité roumaine, âgés de 43 à 56 ans, à Paray-Vieille-Poste dans l’Essonne. Les perquisitions menées à leurs domiciles ont permis de saisir du matériel de skimming ainsi qu’environ 9 000 euros en espèces. Le montant total des sommes dérobées reste à ce stade inconnu, et il n’est pas établi que cette station-service était la seule concernée.
Les réseaux spécialisés dans le skimming sont généralement organisés en cellules distinctes : un premier groupe installe les dispositifs, un autre récupère les données, et un dernier effectue les retraits. Cette division du travail rend le démantèlement particulièrement difficile. Europol et Interpol documentent depuis plusieurs années des réseaux opérant à l’échelle européenne, souvent avec des bases logistiques dans un pays et des opérations dans plusieurs autres afin de brouiller les pistes.
Selon les données publiées par l’Observatoire de la sécurité des moyens de paiement (OSMP), rattaché à la Banque de France, la fraude par skimming sur les points de vente physiques représentait encore plusieurs dizaines de millions d’euros de préjudice annuel en France avant la généralisation du paiement sans contact. Celui-ci a considérablement réduit la fraude, mais il ne protège malheureusement pas contre toutes les variantes de skimming.
Ce que vous pouvez faire concrètement
Malheureusement, un skimmer bien installé est indétectable à l’œil nu par un non-spécialiste. Un examen visuel rapide du terminal ne suffira pas à vous protéger d’une attaque frauduleuse. Cela dit, plusieurs précautions restent pertinentes :
Privilégiez les stations où un personnel en caisse est présent pour les paiements, plutôt que les bornes entièrement automatisées et isolées. Couvrez systématiquement le clavier de votre main lorsque vous saisissez votre code, et vérifiez régulièrement vos transactions de carte sur votre compte (activez les notifications de paiement en temps réel sur votre application bancaire). Si vous êtes loin de chez vous et passez par des stations qui vous sont inconnues, un bon réflexe consiste à établir un plafond de retrait et de paiement sur votre carte afin de limiter le préjudice en cas de fraude bancaire, surtout sur les retraits à l’étranger.
En cas de mouvement suspect sur votre compte, signalez-le immédiatement à votre banque et portez plainte. Les délais de remboursement sont encadrés par la réglementation européenne sur les services de paiement (DSP2), mais ils demandent une réaction rapide de votre part. Le remboursement n’est pas automatique dans tous les cas, mais la banque doit en principe rembourser une opération non autorisée. Plus tôt vous agissez, plus vite le préjudice peut être limité.