Les commerçants sont une cible fréquente des cybercriminels spécialisés dans le vol d’informations de cartes bancaires. Parfois, ces malfaiteurs n’ont besoin que d’appeler une entreprise en se faisant passer pour un technicien du prestataire de services de paiement pour récupérer les données clients au moment du règlement. En France, les paiements en magasin sont la catégorie la moins touchée par la fraude bancaire, avec un taux de fraude de 0,009 % au premier semestre 2025, selon l’Observatoire de la sécurité des moyens de paiement de la Banque de France. Pourtant, le rapport d’activité 2025 de Cybermalveillance.gouv.fr révèle une hausse de 45 % des tentatives de piratage visant les professionnels, sur un total de plus de 504 000 demandes d’assistance reçues en 2025 toutes cibles confondues. Les cybercriminels peuvent appeler des commerçants en se faisant passer pour un technicien de leur prestataire de services de paiement et demander une intervention à distance sur le terminal de paiement, via des logiciels comme AnyDesk. Ils peuvent aussi faire pression pour que le commerçant remplace son appareil. La banque LCL classe cette usurpation d’identité de technicien parmi les principales fraudes signalées par les commerçants français en 2025. Cybermalveillance.gouv.fr observe également une hausse de 159 % des fraudes impliquant de faux conseillers bancaires et une augmentation de 517 % des usurpations de numéros de téléphone en 2025. Les cybercriminels recourent de plus en plus à des méthodes comme WhatsApp pour appuyer leurs appels frauduleux avant de demander une intervention sur un terminal. Ils agissent aussi sans installer de logiciel : une personne distrait le personnel pendant qu’une autre remplace le terminal par un appareil identique, reprogrammé, pour détourner les transactions vers un autre compte. E-monétique, spécialiste des solutions de paiement, a recensé un cas où des cybercriminels ont dérobé 750 000 euros en moins de cinq mois, répartis sur plusieurs commerces. Ils utilisent souvent des cartes volées avec leurs codes confidentiels pour effectuer un achat, puis demandent un remboursement sur un autre moyen de paiement qu’ils contrôlent. LCL conseille aux commerçants de détecter les fraudes en repérant plusieurs achats onéreux effectués en succession rapide avec des cartes différentes. Jusqu’en 2024, plus de 600 opérateurs ont utilisé un kit de phishing appelé Magic Cat pour compromettre 884 000 cartes bancaires dans le monde, dont environ 9 000 en France, en sept mois. Ces opérateurs envoyaient des messages frauduleux par SMS, iMessage ou RCS, imitant des transporteurs comme La Poste ou Chronopost pour contourner les filtres anti-spam. Ils ne faisaient apparaître que des pages frauduleuses sur des appareils mobiles connectés en 4G pour échapper à la détection par les antivirus des ordinateurs. Treize millions de personnes ont cliqué sur ces liens frauduleux dans le monde. Les autorités françaises n’avaient ouvert aucune enquête judiciaire lorsque cette campagne a été évoquée. Selon Cybermalveillance.gouv.fr, cette économie souterraine a entraîné une hausse de 170 % de la fraude commerciale en 2025, portée par des sites de paiement frauduleux et des services usurpés. Ces réseaux vendent aussi des kits de phishing prêts à l’emploi et proposent des services de centres d’appels. Le site gouvernemental évoque une industrialisation croissante de ces arnaques. La fraude aux paiements par carte a représenté 234,3 millions d’euros en France au premier semestre 2025, soit une baisse de 9,8 % sur un an, selon l’Observatoire de la sécurité des moyens de paiement de la Banque de France. Une partie importante de cette diminution, précise la Banque de France, est due à l’authentification forte exigée par la réglementation européenne DSP2 pour les paiements à distance. Cette protection ne s’applique pas aux achats en magasin, donc les données volées lors des paiements en boutique peuvent encore être exploitées. Les commerçants sont invités à ne jamais laisser une personne inconnue manipuler leur terminal de paiement, même si l’appelant prétend qu’il s’agit d’une mise à jour urgente. Ils doivent vérifier l’identité du technicien en contactant directement leur prestataire via un numéro connu, et non celui fourni par l’appelant. Il leur est conseillé de refuser tout branchement d’équipement tiers sur leur réseau. Si possible, ils devraient isoler le réseau de leur terminal de celui du Wi-Fi qu’ils proposent à leurs clients pour limiter les conséquences d’une intrusion. Ils devraient éviter les portails captifs des magasins et hôtels et partager leur connexion depuis leur téléphone. L’Agence nationale pour la sécurité des systèmes d’information (ANSSI) prodigue ces recommandations dans son guide à destination des petites entreprises et des PME, publié fin 2024. Les commerçants sont invités à installer les mises à jour logicielles et système dès qu’elles sont disponibles, en privilégiant les téléchargements automatiques. Ils doivent choisir des mots de passe d’au moins quinze caractères pour les services critiques, en combinant majuscules, minuscules, chiffres et caractères spéciaux. Il leur est recommandé d’activer l’authentification multifacteur chaque fois que possible et d’utiliser un gestionnaire de mots de passe certifié. Ils doivent exiger de leurs prestataires qu’ils appliquent ces mises à jour via des contrats et privilégier les prestataires labellisés ExpertCyber. Ils devraient vérifier régulièrement leurs relevés bancaires et comparer les tickets de caisse avec les récapitulatifs de leur prestataire chaque soir. Ils doivent toujours demander une vérification d’identité bancaire avant de procéder à un remboursement client. Ils sont encouragés à former leur personnel à reconnaître les signaux d’alerte, en commençant par les appels non sollicités demandant un accès à distance aux terminaux. En complément, ils peuvent apposer une marque distinctive et facilement identifiable sur leurs terminaux de paiement pour repérer rapidement tout appareil substitué.