Des commandes ou des comptes clients suspects apparaissent
Des commandes passées avec des cartes bancaires différentes en quelques minutes, ou des dizaines de comptes clients créés la même nuit : ce n’est presque jamais un afflux de trafic légitime, mais un test ou un abus automatisé.
Deux scénarios distincts, deux causes différentes
- Rafale de commandes échouées en quelques minutes, chacune avec un numéro de carte différent, souvent pour un panier au montant identique ou très faible
- Ces tentatives arrivent à toute heure, y compris en pleine nuit, à une fréquence qu’aucun visiteur humain ne peut atteindre en saisissant manuellement
- Le nom et l’adresse de facturation changent à chaque tentative, sans rapport avec l’adresse IP ou la géolocalisation apparente du visiteur
- Dizaines ou centaines de comptes clients créés en une seule nuit, avec des adresses e-mail à la structure très similaire (suite de chiffres, domaines jetables)
- Aucune de ces commandes ou de ces créations de compte n’est jamais suivie d’une navigation normale sur le catalogue
Le carding, et pourquoi votre boutique est utilisée pour ça
La rafale de commandes échouées avec des cartes différentes correspond à une pratique connue sous le nom de carding : un attaquant teste en masse des numéros de carte bancaire pour identifier lesquels sont encore valides, avant de les revendre ou de les utiliser ailleurs. Je ne détaille pas ici comment ces numéros sont obtenus, seulement le symptôme observable : votre page de paiement est utilisée comme outil de vérification, pas comme un moyen d’achat. Un petit commerçant est une cible attractive pour cet usage précisément parce que sa page de paiement est souvent moins protégée qu’un grand site marchand contre les tentatives automatisées répétées.
La création massive de faux comptes clients répond en général à une autre logique : accumuler des identifiants pour tester ensuite des combinaisons de mots de passe réutilisés ailleurs (une technique appelée credential stuffing), générer artificiellement du volume pour un système d’affiliation ou de parrainage mal protégé, ou simplement occuper une base de données pour la ralentir. Ces deux phénomènes n’ont pas la même cause technique, mais ils partagent un point commun : ils exploitent le fait qu’un formulaire de commande ou d’inscription accepte des soumissions automatisées à un rythme qu’un humain ne peut pas atteindre, sans limite ni vérification.
Sur PrestaShop, ce type d’abus est parfois facilité par une faille dans un module de paiement ou de gestion des comptes mal sécurisé, qui laisse par exemple un point d’entrée accessible sans passer par les vérifications normales du panier. Je reste général sur ce point faute d’un identifiant de faille précis à citer ici : ce qui compte pour un marchand est de vérifier si le module concerné a reçu une mise à jour récente et de considérer tout module de paiement tiers comme un point d’attention prioritaire.
Ce qu’il faut vérifier et faire
-
Isoler les commandes concernées sans les supprimer
Elles servent de preuve pour votre prestataire de paiement et, le cas échéant, pour une déclaration si votre compte marchand est mis en cause.
-
Contacter votre prestataire de paiement
Un pic de transactions refusées en peu de temps est un signal qu’il surveille aussi de son côté ; le signaler rapidement évite une suspension unilatérale de votre compte marchand.
-
Mettre en place une limite de tentatives sur le formulaire de paiement et d’inscription
Un nombre maximal de tentatives par adresse IP dans un intervalle donné bloque l’essentiel des scripts automatisés sans gêner un client légitime.
-
Ajouter une vérification anti-robot sur les formulaires exposés
Un contrôle de ce type, correctement configuré pour ne pas gêner un visiteur humain, réduit fortement le volume de soumissions automatisées.
-
Purger les faux comptes clients identifiés
Après avoir vérifié qu’aucun n’a effectué de commande légitime, ces comptes doivent être supprimés pour ne pas fausser vos statistiques ni rester exploitables.
Pour aller plus loin
Décrivez votre besoin en 1 minute
Quelques questions ciblées pour que je vous réponde avec une estimation, pas avec un questionnaire de plus.