Informer sa banque après un skimmer : le minimum utile
Dates, URL de checkout, volume de commandes, constat : le minimum utile. Votre prestataire de paiement a souvent un canal d'incident dédié. Ne passez pas seulement par le chat grand public ou l'agence de votre conseiller « pro ».
Dates, URL de checkout, volume de commandes, constat. Votre prestataire de paiement a souvent un canal d'incident. Ne passez pas par le chat grand public uniquement.
Banque, PSP, et qui prévenir en premier
Si les cartes passent par Stripe, PayPal, Adyen, Payplug : le PSP d'abord (ils ont les txn et le contrat PCI). La banque du compte pro ensuite, surtout si elle est aussi acquéreur (TPE + e-commerce chez la même enseigne) ou si des virements / un terminal magasin partagent le risque de marque. Un skimmer site n'est pas un TPE avalé ; dites-le pour éviter qu'on « fasse opposition au terminal ».
S'il n'y a que la banque (contrat e-commerce banque, Systempay, etc.), le service marchand / fraude e-com, pas le 0810 vitrine. Stripe, PayPal, PCI.
Copiez le site avant les coups de fil longs. Les preuves se figent ; les files d'attente, non.
Le paquet de pièces, une page pas vingt
Une page : identité du marchand, URL, PSP, fenêtre de dates (ce qui est établi / ce qui est incertain), nature (JS / redirect / module), volume (commandes ou sessions checkout), ce qui est déjà coupé, n° de ticket PSP si existant, contact technique. En pièces jointes : 2–3 captures URL, un extrait HTML, pas un dump SQL de 4 Go.
Ils demanderont plus s'ils en ont besoin. Noyer le premier message retarde le horodatage de votre déclaration — parfois utile pour vous.
- Fenêtre écrite, niveau de certitude.
- URL checkout + type de tunnel (iframe / redirect / champs).
- Ticket PSP déjà ouvert, s'il l'est.
Le canal qui n'est pas le chat
Espace marchand, email fraude documenté dans le contrat, account manager, parfois un numéro « incident sécurité » sur l'intranet banque. Le conseiller de clientèle qui gère votre prêt pro n'est pas le SOC. Il peut transmettre : donnez-lui le paquet déjà écrit, pas un oral confus.
Gardez un fil unique (un email, des réponses en dessous). Dix interlocuteurs = dix versions.
Ce que la banque peut faire (et ne fera pas)
Noter l'incident, parfois surveiller les chargebacks, poser des questions PCI, rarement « rembourser tous vos clients ». Elle ne nettoiera pas PrestaShop. Elle ne préviendra pas la CNIL à votre place. Elle ne confirmera pas « aucune carte vue » sans votre HTML.
Elle peut, si elle est acquéreur, durcir le contrat ou demander un nouveau SAQ. Anticipez PCI plutôt que de découvrir le questionnaire le mois suivant.
Acquéreur, émetteur, et la confusion des mots
Votre banque marchand (acquéreur) encaisse. La banque du client (émetteur) chargeback. Vous parlez à la première. Les clients parlent à la seconde. Vos messages aux clients (« surveillez vos relevés ») concernent l'émetteur. Ne promettez pas que « votre banque va annuler leurs débits » — ce n'est pas le même guichet. Que dire aux clients.
Délais et relances
Un accusé sous 24–72 h ouvrées est déjà bien. Relancez avec un complément (constat final, date de purge) plutôt qu'un « alors ? ». Les chargebacks arriveront des semaines plus tard : le premier mail sert précisément à ça.
Aligner banque, Stripe / PayPal, clients
Même fenêtre, mêmes mots (« possible » / « établi »). Un ticket Stripe « skimmer probable » et un email banque « simple bug d'affichage » est un problème de crédibilité. Le constat est la source ; les messages en sont des extraits.
Ce qu'il ne faut pas attendre d'un appel
Pas de « certificat de blanchiment » oral. Demandez un n° de dossier. Envoyez le paquet écrit après l'appel. Pour rédiger le constat à coller, créez un espace.
- PSP puis banque, canaux incident.
- Une page de faits + quelques captures.
- Fenêtre unique partout.
- N° de dossier conservé.
Assurance, plaine, et le même paquet de pièces
L'assurance cyber / RC pro demandera souvent les mêmes dates, captures, et le n° de ticket PSP. Envoyez le même paquet, pas une version « adoucie ». Une plainte (commissariat / cybergendarmerie) n'est pas un prérequis banque, mais le récépissé aide l'assureur. Figez les preuves avant : une plainte sans HTML de checkout sert moins.
Ne payez pas un « expert PCI » improvisé parce que le chatbot banque a dit « il faut un audit ». Relisez PCI-DSS : le PSP dira s'il veut un SAQ ou un PFI. Le constat web suffit le plus souvent.
Si la banque pose des questions que vous ne savez pas trancher (champs carte en clair ou iframe ?), dites l'incertitude et donnez le HTML. Inventer « iframe donc rien » alors que le source montre des `<input>` carte est pire qu'un « on vérifie ». Créer un compte pour ce constat-là.