Singapour se classe au deuxième rang mondial pour les cartes de paiement volées, sur fond d’essor du marché du dark web

La forte adoption du numérique à Singapour accroît l’exposition, pas la vulnérabilité

Singapour se classe au deuxième rang mondial pour la proportion de cartes de paiement volées échangées sur les marchés du dark web, derrière les États-Unis et devant l’Espagne. Ce constat ressort de l’analyse d’environ 50 700 données de cartes recueillies en mai 2025 par une plateforme de veille sur les menaces. Plus de 60 % des cartes volées de l’échantillon appartenaient à des utilisateurs américains, environ 11 % à des utilisateurs singapouriens et quelque 10 % à des utilisateurs espagnols.

Les spécialistes de la sécurité soulignent que ce classement reflète l’ampleur des usages numériques, et non un système bancaire particulièrement peu sûr. Singapour affiche l’un des taux les plus élevés d’Asie en matière de paiements en ligne, d’utilisation de portefeuilles mobiles et de commerce électronique transfrontalier. Une empreinte numérique plus importante offre davantage d’occasions aux criminels de dérober des données de cartes, même lorsque les banques et les commerçants appliquent des mesures de protection rigoureuses.

Les prix pratiqués sur ces marchés ont augmenté au cours des deux dernières années. La Nouvelle-Zélande a connu la plus forte hausse, supérieure à 444 %, tandis que de fortes augmentations ont également été signalées en Argentine et en Pologne. Malgré cette hausse, les données de cartes volées restent bon marché pour les criminels de bas niveau. Une carte coûte souvent à peine le prix d’une place de cinéma. La moyenne mondiale avoisine 9 dollars américains, avec de fortes variations selon les pays. En Asie, les cartes japonaises atteignent le prix moyen le plus élevé, à environ 22,80 dollars, devant celles du Kazakhstan, à 16,87 dollars, et de la Thaïlande, à 15,08 dollars. Les cartes émises à Singapour se vendent en moyenne autour de 13,19 dollars, soit une hausse d’environ 29 % par rapport à 2023. En Europe, les prix se situent entre 11 et 12 dollars en Espagne, en France et en Suisse.

Le fonctionnement des marchés de cartes volées

Le dark web désigne un ensemble de services cachés qui utilisent des logiciels d’anonymisation pour masquer les identités et les emplacements. On y trouve des marchés où les vendeurs proposent des numéros de cartes volés, des dates d’expiration et parfois des données complètes comprenant le cryptogramme visuel (CVV), l’adresse de facturation et les empreintes numériques des appareils. Ces données proviennent de logiciels malveillants installés sur les appareils des consommateurs, de pages d’hameçonnage imitant des sites de banques et de commerçants, de piratages des systèmes marchands et de compromissions de prestataires tiers.

Sur ces marchés, les cartes sont vendues en gros ou à l’unité. Les vendeurs indiquent souvent la banque émettrice, le pays et la prise en charge ou non de l’authentification 3D Secure. Les acheteurs testent de petites transactions, puis tentent des achats plus importants de cartes-cadeaux, de billets d’avion ou de biens faciles à revendre. Selon des études sectorielles, une grande partie des données de cartes mises en vente restent utilisables pendant plusieurs mois. Les criminels ont donc tout le temps nécessaire pour encaisser leurs gains si les premières transactions de test ne déclenchent pas les règles de détection de la fraude.

Offre, demande et prix

Les prix suivent une logique simple d’offre et de demande. Lorsque l’offre est abondante ou que les banques appliquent des contrôles antifraude stricts, les cartes sont moins chères. Lorsque l’offre est limitée et les vérifications antifraude rigoureuses, elles coûtent plus cher, car réussir une fraude exige davantage de préparation et de patience. Cette dynamique explique pourquoi les cartes japonaises figurent parmi les plus chères et pourquoi, malgré leur forte proportion dans l’échantillon global, les cartes singapouriennes peuvent afficher un prix moyen modéré.

Pourquoi Singapour représente une part importante des cartes volées

Singapour est une place financière et logistique où la détention de cartes est très répandue et les paiements sans contact acceptés presque partout. Les consommateurs font leurs achats en ligne auprès de commerçants locaux et internationaux, règlent leurs transports et leurs repas avec des portefeuilles mobiles et voyagent fréquemment. Il en résulte un volume considérable de transactions légitimes et de profils de cartes enregistrés dans de nombreux services. Les criminels dérobent des données à grande échelle grâce à des kits d’hameçonnage visant les banques de la région et à des logiciels malveillants qui récupèrent les identifiants enregistrés et les données de saisie automatique des navigateurs.

La forte adoption des paiements mobiles tokenisés a également modifié les méthodes de fraude. Lorsque les banques et les commerçants bloquent les fraudes par carte non présente, les criminels se tournent vers d’autres méthodes, notamment l’ajout de cartes volées à des portefeuilles téléphoniques ou la manipulation de commerçants lors de transactions en personne. La part des cartes émises à Singapour dans les boutiques clandestines témoigne de cette vaste surface d’attaque, et non d’un manque de protections.

Les systèmes antifraude limitent la monétisation

Les banques de Singapour appliquent plusieurs niveaux de protection. La surveillance des transactions repère les catégories de commerçants ou les emplacements inhabituels. 3D Secure soumet de nombreux achats en ligne à une authentification renforcée. Les alertes sont envoyées en quelques secondes, ce qui permet aux titulaires de cartes et aux banques de les bloquer rapidement. Associés à de solides droits à la rétrofacturation, ces dispositifs augmentent le coût et les risques pour les criminels. C’est l’une des raisons pour lesquelles les cartes émises à Singapour, bien que courantes sur le dark web, ne figurent pas parmi les plus chères du marché.

De l’hameçonnage au « ghost tapping » : comment les fraudeurs encaissent leurs gains

L’hameçonnage reste le point d’entrée de nombreux cas. Les attaquants envoient de fausses notifications de livraison ou de prétendus messages de sécurité bancaire et attirent leurs victimes vers des pages de connexion qui récupèrent les données de carte et les identifiants de compte. Des familles de logiciels malveillants voleurs d’informations, comme Racoon, Azorult et d’autres, récupèrent discrètement les identifiants enregistrés et les données de formulaire des navigateurs. Des identités volées, notamment des numéros de carte d’identité nationale et des selfies recueillis dans le cadre des contrôles de connaissance du client, circulent sur des forums clandestins. Ces éléments permettent aux criminels d’ouvrir des comptes de mules, de blanchir de l’argent et de tenter des prises de contrôle de comptes.

Abus des portefeuilles mobiles et fraude en magasin

Une tactique en plein essor consiste à associer des données de cartes volées à Apple Pay ou Google Pay sur des téléphones jetables afin d’effectuer des achats en magasin. Les analystes qualifient une partie de cet écosystème de « ghost tapping » : les criminels peuvent relayer des signaux sans contact ou préenregistrer des cartes volées, puis remettre les téléphones à des acheteurs recrutés. Les réseaux criminels coordonnent toute la logistique, du recrutement de mules et de la planification des tournées d’achats à l’écoulement des marchandises sur Telegram ou des plateformes de commerce électronique. Des rapports font état d’importantes pertes dans le commerce de détail à Singapour, où des mules se font passer pour des touristes et passent rapidement d’un magasin à l’autre. Fin 2024, la police a recensé au moins 656 affaires et 1,2 million de dollars singapouriens de pertes liées à l’hameçonnage par carte bancaire et aux arnaques aux portefeuilles mobiles sur une période de trois mois.

Des affaires récentes à Singapour illustrent le mode opératoire

Plusieurs affaires reposant sur des méthodes similaires ont été examinées par les tribunaux. Dans l’une d’elles, un ressortissant chinois de 29 ans a été condamné à 30 mois de prison pour avoir utilisé des données de cartes volées afin d’acheter 20 iPhone 16 d’une valeur totale supérieure à 40 000 dollars singapouriens en trois jours. On lui avait remis un téléphone équipé d’une application permettant de charger à distance des données de cartes volées obtenues par hameçonnage. Les achats ont été effectués dans de grandes enseignes d’électronique, les téléphones revendus contre de l’argent liquide et le produit remis à des intermédiaires.

Dans une autre affaire, une Malaisienne de 25 ans a été condamnée pour avoir contribué à la vente d’iPhone achetés avec des données de cartes enregistrées dans un portefeuille mobile. Son partenaire avait effectué plusieurs achats dans des magasins Apple à l’aide de cartes virtuelles associées à des victimes. Les alertes bancaires ont averti les victimes et la police est intervenue avant que le couple ne puisse quitter le pays avec le reste du butin. Ces poursuites montrent comment des réseaux criminels transnationaux envoient des exécutants réaliser rapidement des achats de grande valeur.

Risques internes et mauvaise gestion des données

Des risques existent également au sein des organisations. À Singapour, un ancien employé de banque a été reconnu coupable d’avoir divulgué des informations concernant plus de 1 000 clients après avoir été trompé par des interlocuteurs se faisant passer pour des policiers étrangers. Dans un incident distinct chez un grand distributeur automobile, les numéros de cartes de crédit et de débit n’étaient pas concernés, mais une fuite ayant exposé les dossiers de 147 000 clients montre comment les informations personnelles circulent une fois que des attaquants ont obtenu un premier accès. Les documents et les données d’identité facilitent les fraudes en aidant les criminels à passer les contrôles de vérification ou à déjouer les questions de sécurité fondées sur l’ingénierie sociale.

La riposte des banques, des commerçants et des autorités de régulation

Les banques continuent de renforcer les contrôles liés à l’enregistrement de cartes dans les portefeuilles mobiles. L’analyse du risque associé à l’appareil vérifie si le téléphone qui demande un jeton a déjà été détecté, s’il est débridé et si la demande correspond au profil du client. Certains émetteurs demandent aux clients de confirmer l’ajout d’un nouveau portefeuille dans l’application bancaire plutôt que par SMS, afin de réduire les risques d’ingénierie sociale. L’analyse en temps réel et les modèles d’apprentissage automatique contribuent à bloquer les achats suspects au stade de l’autorisation.

Les commerçants renforcent leurs contrôles au point de vente. Les formations du personnel mettent en évidence les signaux d’alerte, comme les tentatives répétées qui échouent, les clients qui passent d’un téléphone ou d’une carte à l’autre et les efforts visant à fractionner des achats de grande valeur en nombreuses petites transactions. Les magasins peuvent demander une pièce d’identité pour les appareils électroniques coûteux, se coordonner étroitement avec les banques acquéreuses et conserver les images de vidéosurveillance afin de faciliter les enquêtes rapides. Les prestataires de paiement ajustent leurs règles pour repérer les associations à risque entre commerçants et appareils, susceptibles de révéler des tournées d’achats organisées.

Coopération policière et transfrontalière

Les opérations coordonnées réunissant banques, réseaux de cartes, compagnies aériennes et police se sont révélées efficaces contre certains types de fraude. Lors d’une précédente opération Airport Action Days, des agents ont interpellé des dizaines de voyageurs qui tentaient d’utiliser des données de cartes volées pour acheter des billets d’avion. INTERPOL a coordonné les opérations à travers l’Asie depuis son centre d’innovation de Singapour. Aujourd’hui, des opérations conjointes similaires avec les polices nationales visent à démanteler les kits d’hameçonnage, les filières de recrutement de mules et les marchés clandestins où les cartes volées sont échangées.

Les gestes à adopter dès maintenant

La plupart des émetteurs remboursent les achats non autorisés effectués par carte, mais la rapidité est essentielle. Une détection précoce limite les pertes et réduit le temps dont disposent les criminels pour tester et réutiliser vos données. Les mesures ci-dessous réduisent le risque de compromission et vous aident à repérer rapidement les fraudes.

• Activez les alertes de transaction en temps réel dans l’application de votre banque pour chacune de vos cartes, y compris les transactions par portefeuille mobile et les achats en ligne.
• Vérifiez vos relevés chaque semaine et contestez immédiatement toute opération que vous ne reconnaissez pas.
• Utilisez un mot de passe robuste et unique pour vos comptes bancaires et de cartes, et conservez-le dans un gestionnaire de mots de passe fiable.
• N’enregistrez pas vos numéros de carte ni vos mots de passe dans les navigateurs web. Les logiciels malveillants voleurs d’informations ciblent les données enregistrées par la saisie automatique des navigateurs.
• Activez l’authentification à deux facteurs pour vos comptes bancaires, de messagerie et d’achat. Privilégiez l’authentification par l’application de votre banque plutôt que par SMS.
• Utilisez des numéros de carte virtuels ou des jetons à usage unique lorsque votre banque le propose, en particulier pour les commerçants auxquels vous faites rarement appel.
• Verrouillez vos cartes, faites-les bloquer ou définissez des plafonds de transaction dans l’application de votre banque lorsque vous ne faites pas d’achats. Désactivez les transactions à l’étranger ou sans présentation de la carte, sauf si elles sont nécessaires.
• Maintenez vos téléphones et ordinateurs à jour, installez rapidement les correctifs de sécurité et évitez les boutiques d’applications et les téléchargements non officiels.
• Protégez vos comptes d’identité numérique nationale, comme SingPass. Changez vos mots de passe si vous soupçonnez une tentative d’hameçonnage et signalez rapidement toute compromission.
• Méfiez-vous des messages concernant des livraisons, des remboursements ou des alertes de sécurité. Accédez à votre banque en saisissant son adresse web officielle ou en ouvrant son application, sans cliquer sur les liens reçus par message.

À retenir

• Singapour représente environ 11 % des cartes de paiement volées échangées dans un ensemble de données recueilli en mai 2025, derrière les États-Unis et devant l’Espagne.
• Le prix moyen des cartes émises à Singapour est d’environ 13,19 dollars, en hausse d’environ 29 % par rapport à 2023, tandis que les cartes japonaises se vendent autour de 22,80 dollars.
• Selon les experts, le classement de Singapour s’explique par l’adoption élevée du numérique et le volume des transactions, plutôt que par la faiblesse des contrôles bancaires.
• Les techniques de fraude comprennent l’hameçonnage, les logiciels malveillants voleurs d’informations et l’utilisation abusive des portefeuilles mobiles, qui permet à des mules recrutées d’effectuer des achats en magasin.
• Des poursuites locales montrent que des réseaux criminels transnationaux achètent des iPhone et d’autres biens avec des données de cartes volées, puis les revendent contre de l’argent liquide.
• Les banques et les commerçants renforcent l’authentification lors de l’enregistrement des cartes dans les portefeuilles et les contrôles au point de vente, tandis que les forces de l’ordre coordonnent des opérations transfrontalières.
• Les consommateurs peuvent réduire les risques en activant les alertes, en choisissant soigneusement leurs mots de passe, en utilisant l’authentification à deux facteurs et en évitant d’enregistrer leurs données de carte dans les navigateurs.