Le numéro de carte, ça sert à quoi, déjà ?
Rien. En théorie.
Depuis des années, les experts en cybersécurité le répètent : le numéro de carte (celui qui commence par 4, 5 ou 6 chiffres) n’a aucun rôle dans la sécurisation d’un paiement. Il sert surtout à identifier la banque émettrice, et encore, pas toujours. Ce qui compte vraiment, c’est le cryptogramme à 3 chiffres au dos, et même lui, avec la généralisation du paiement sans contact, devient obsolète. Pourtant, les banques continuent de l’imprimer, comme si c’était un talisman contre la fraude.
La Banque Populaire, elle, saute le pas. Plus de numéro. Juste un QR code. En cas de transaction, le terminal lit le code, génère une demande de paiement instantanée via l’appli mobile liée à la carte. Pas de saisie manuelle. Pas de risque de copier-coller malencontreux sur un site peu sécurisé. En théorie, c’est propre.
Sauf que.
La sécurité, c’est dans la tête, et dans les failles des autres
Un QR code, c’est pratique. Mais c’est aussi une nouvelle cible. En 2023, une étude de l’ANSSI (Agence nationale de la sécurité des systèmes d’information) révélait que 42 % des fraudes liées aux paiements mobiles au Maroc passaient par des manipulations de codes QR ou de liens malveillants. Un commerçant mal intentionné peut modifier le code affiché pour rediriger vers un faux site de paiement. Votre banque ne vous préviendra même pas : le virement partira, et vous ne le saurez que trop tard.
La Banque Populaire assure avoir intégré des protocoles de vérification en temps réel. Mais qui vérifie les vérifications ? Quand un client se fait avoir via un QR piraté, qui est responsable ? La banque ? Le commerçant ? Le client lui-même, distrait ?
Le vrai problème, c’est que personne ne vous explique ça avant de vous vendre la carte.
Ce que les autres banques regardent en coin
Attendons-nous à une ruée vers les QR codes ? Pas vraiment.
À Paris, la BNP a testé des cartes sans numéro dès 2021, mais seulement pour une poignée de clients corporate. Résultat ? Abandon après 18 mois. Pourquoi ? Parce que les TPE (terminaux de paiement) des petits commerces, eux, n’étaient pas prêts. Un restaurateur à Marrakech doit-il investir 500 dirhams dans un nouveau terminal pour accepter vos QR codes ? La Banque Populaire ne le dit pas.
Et puis, il y a le côté pratique au quotidien. Vous êtes à la boulangerie, le terminal tombe en panne. Le boulanger vous dit : « Désolé, mais sans contact, c’est sans vous. » Avec une carte classique, vous sortez votre CB et vous payez. Avec un QR, vous êtes bloqué.
La Banque Populaire mise sur l’adoption progressive. Mais pour l’instant, aucun concurrent ne suit. Même Attijariwafa Bank, pourtant réputée pour son innovation, reste sur des cartes à puces classiques. Pourquoi ce retard ? Parce que le vrai enjeu n’est pas technologique, mais humain.
Le vrai jeu : qui contrôle vos données ?
Voici le détail que personne ne vous explique : avec une carte sans numéro, votre banque sait tout, tout de suite.
Plus de numéro à copier ? Plus de marché noir des données. Mais en échange, votre historique de paiements est traçable en temps réel. Un commerçant malveillant pourrait théoriquement croiser vos habitudes de consommation avec d’autres bases de données. La Banque Populaire affirme que les données sont chiffrées « de bout en bout ». Sauf que… qui vérifie ce chiffrement ?
En 2022, une faille dans le système de paiement mobile de CIH Bank (filiale du groupe Attijariwafa) avait permis à des fraudeurs de pirater 12 000 comptes via une faille dans le protocole de vérification. Résultat ? 8 millions de dirhams détournés en trois mois. Personne n’a été poursuivi. Personne n’a non plus expliqué comment ça s’était produit.
La Banque Populaire promet des « contrôles renforcés ». Mais quand la fraude arrive, qui paiera ? Vous.
Alors, faut-il sauter le pas ?
Si vous êtes du genre à perdre votre portefeuille tous les six mois, peut-être. Moins de numéro à voler = moins de risque de clonage.
Si vous voyagez souvent, non. Les terminaux à l’étranger ne sont pas tous équipés pour lire les QR codes. Et bonne chance pour expliquer ça à un hôtelier en Thaïlande.
Si vous payez un seul dirham en espèces par mois, absolument pas. Le QR code, c’est du tout numérique.
Le vrai problème, c’est que personne ne vous demande votre avis.
La Banque Populaire lance sa carte sans numéro comme une évidence. Mais l’évidence, c’est souvent un leurre.
Derrière le discours sur la sécurité, il y a une réalité : votre argent sera encore plus traçable, encore plus contrôlable. Et si un jour ça dérape ? Vous n’aurez même plus un numéro de carte à brandir pour prouver que le paiement était frauduleux.
Le choix n’est pas entre sécurité et insécurité. C’est entre deux façons de se faire avoir.
