Paiements sans surveillance : risques PCI et sécurité des appareils pour le stationnement, les carburants, la recharge de véhicules électriques et les kiosques

Les bornes de paiement de stationnement, les pompes à carburant, les bornes de recharge pour véhicules électriques, les distributeurs de billets et les kiosques libre-service ont un point commun : aucun employé ne se trouve à proximité du terminal de paiement. Cette commodité entraîne des risques de sécurité particuliers. Cet article examine les principales menaces pesant sur les paiements sans surveillance, les exigences des normes PCI et les mesures que les exploitants peuvent prendre.

Pourquoi les terminaux sans surveillance constituent des cibles attrayantes

Un terminal sans surveillance se trouve souvent à l’extérieur, est accessible en tout temps et n’est vérifié qu’à l’occasion. Un criminel peut ainsi passer du temps auprès de l’appareil sans être repéré. Les principaux risques sont les suivants :

• Piratage par capture de données (skimming) : un dispositif qui capture les données de carte est fixé sur ou à l’intérieur du lecteur de carte.
• Capture du NIP : des caméras cachées ou des surcouches de clavier enregistrent les NIP.
• Altération et substitution : le terminal est ouvert, modifié ou remplacé par un faux appareil.
• Attaques réseau et logicielles : les bornes de recharge et les kiosques modernes sont des ordinateurs connectés, souvent gérés à distance, ce qui ajoute les risques habituels liés aux mots de passe faibles, aux logiciels non corrigés et aux interfaces de gestion exposées.

Le piratage par capture de données demeure un problème bien réel

Les dispositifs de piratage par capture de données sur les pompes à essence continuent de faire la une. En février 2026, la police de Salina, au Kansas, a averti le public après la découverte d’un dispositif de piratage sur une pompe à diesel, à la suite d’un signalement de frais frauduleux sur une carte d’entreprise utilisée à la station. En novembre 2025, la police de la Louisiane recherchait un homme en lien avec un dispositif de piratage installé sur une pompe à essence. Il s’agit de cas survenus aux États-Unis, mais ces techniques ne connaissent pas de frontières, et les exploitants canadiens de pompes, de stationnements et de kiosques font face aux mêmes types de dispositifs.

Les cartes à puce, les paiements sans contact et les portefeuilles mobiles ont réduit la valeur des données de bande magnétique volées. Mais lorsqu’un terminal accepte encore les transactions de repli ou la saisie de NIP, le risque ne disparaît pas pour autant.

Ce qu’exigent les normes PCI

La norme PCI PTS pour l’appareil. Les terminaux de paiement acceptant la saisie du NIP sont évalués selon la norme PCI PIN Transaction Security (PTS) relative aux points d’interaction (POI). Les appareils sont approuvés selon une version donnée de cette norme, et ces approbations expirent avec le temps. En septembre 2025, le Conseil a prolongé l’expiration des approbations des appareils PTS POI v5 du 30 avril 2026 au 30 avril 2027. Cette prolongation ne s’applique qu’aux appareils déjà approuvés sous la version 5, et le Conseil encourage les organisations à échanger avec leurs fournisseurs d’appareils afin de déterminer les voies de mise à niveau appropriées. Si vous exploitez un parc de terminaux sans surveillance, c’est le moment de vérifier les versions des appareils et vos plans de remplacement.

La norme PCI DSS pour l’exploitant. L’exigence 9.5.1 de la norme PCI DSS impose aux commerçants de protéger les terminaux de paiement contre l’altération et la substitution non autorisée. Cela implique de tenir à jour une liste des appareils, de les inspecter périodiquement et de former le personnel à reconnaître les signes d’altération. Dans la version 4, la fréquence des inspections des appareils est déterminée au moyen d’une analyse de risque ciblée (exigence 9.5.1.2.1). Une pompe sans surveillance en bordure d’autoroute présente un profil de risque très différent de celui d’un kiosque situé dans un hall surveillé, et le calendrier d’inspection devrait en tenir compte.

Le reste de l’environnement. Si le terminal sans surveillance se connecte à un système central, à une application de paiement ou à une plateforme de gestion infonuagique, ces systèmes sont probablement aussi dans le périmètre. L’accès à distance utilisé pour gérer les appareils doit répondre aux exigences d’accès et d’authentification de la norme PCI DSS, y compris l’authentification multifacteur.

Mesures pratiques pour les exploitants

1. Connaissez votre parc d’appareils. Tenez un inventaire comprenant l’emplacement, la marque, le modèle, le numéro de série et le statut d’approbation PTS de chaque appareil.
2. Utilisez des dispositifs révélateurs de falsification. Les sceaux de sécurité, les verrous et les alarmes sur les armoires rendent l’altération plus difficile et plus facile à détecter.
3. Effectuez des inspections selon un calendrier fondé sur le risque. Documentez chaque inspection. Les bonnes pratiques de prévention du piratage par capture de données du Conseil offrent des conseils pratiques sur les éléments à surveiller.
4. Privilégiez le chiffrement au point d’interaction. Les solutions qui chiffrent les données de carte dès le lecteur, comme le P2PE validé, réduisent l’exposition du reste de votre réseau et peuvent simplifier votre validation.
5. Renforcez la gestion à distance. Modifiez les identifiants par défaut, appliquez l’authentification multifacteur, restreignez l’accès de gestion et maintenez le micrologiciel à jour.
6. Segmentez le réseau. Isolez les terminaux et les systèmes de paiement du Wi-Fi public, des systèmes du bâtiment et des réseaux de l’entreprise.
7. Planifiez la fin de vie des appareils. Suivez les dates d’expiration des approbations PTS et prévoyez un budget de remplacement avant qu’elles ne deviennent urgentes.

Un mot sur le débit et Interac

Au Canada, de nombreux terminaux sans surveillance acceptent également le débit Interac, qui repose sur la saisie d’un NIP. Cela peut ajouter des exigences de sécurité propres au réseau, en plus des exigences PCI. Les exploitants devraient confirmer auprès de leur acquéreur quelles évaluations s’appliquent à eux.

Pour en savoir plus sur les normes, consultez nos pages PCI DSS et Interac. Ubitrak réalise des évaluations liées aux cartes de paiement et à Interac ainsi que des tests de sécurité des appareils connectés et des plateformes de gestion. Contactez-nous pour examiner votre environnement de paiement sans surveillance.

Sources

• Compass IT Compliance : Maintenir des analyses de risque ciblées pour la conformité PCI DSS
• Bulletin du PCI SSC : Prolongation de l’expiration des appareils PCI PTS POI v5
• PCI SSC : Bonnes pratiques de prévention du piratage par capture de données pour les commerçants
• KWCH : La police de Salina alerte le public après la découverte d’un dispositif de piratage sur une pompe à essence
• WAFB : Un homme recherché en lien avec un dispositif de piratage sur une pompe à essence