Disponible pour missions & renforts d’agence · Réponse rapide, par la personne qui intervient

Des commandes ou des comptes clients suspects apparaissent

Des commandes passées avec des cartes bancaires différentes en quelques minutes, ou des dizaines de comptes clients créés la même nuit : ce n’est presque jamais un afflux de trafic légitime, mais un test ou un abus automatisé.

Décrire mon problème Discuter sur WhatsApp

Deux scénarios distincts, deux causes différentes

  • Rafale de commandes échouées en quelques minutes, chacune avec un numéro de carte différent, souvent pour un panier au montant identique ou très faible
  • Ces tentatives arrivent à toute heure, y compris en pleine nuit, à une fréquence qu’aucun visiteur humain ne peut atteindre en saisissant manuellement
  • Le nom et l’adresse de facturation changent à chaque tentative, sans rapport avec l’adresse IP ou la géolocalisation apparente du visiteur
  • Dizaines ou centaines de comptes clients créés en une seule nuit, avec des adresses e-mail à la structure très similaire (suite de chiffres, domaines jetables)
  • Aucune de ces commandes ou de ces créations de compte n’est jamais suivie d’une navigation normale sur le catalogue

Le carding, et pourquoi votre boutique est utilisée pour ça

La rafale de commandes échouées avec des cartes différentes correspond à une pratique connue sous le nom de carding : un attaquant teste en masse des numéros de carte bancaire pour identifier lesquels sont encore valides, avant de les revendre ou de les utiliser ailleurs. Je ne détaille pas ici comment ces numéros sont obtenus, seulement le symptôme observable : votre page de paiement est utilisée comme outil de vérification, pas comme un moyen d’achat. Un petit commerçant est une cible attractive pour cet usage précisément parce que sa page de paiement est souvent moins protégée qu’un grand site marchand contre les tentatives automatisées répétées.

La création massive de faux comptes clients répond en général à une autre logique : accumuler des identifiants pour tester ensuite des combinaisons de mots de passe réutilisés ailleurs (une technique appelée credential stuffing), générer artificiellement du volume pour un système d’affiliation ou de parrainage mal protégé, ou simplement occuper une base de données pour la ralentir. Ces deux phénomènes n’ont pas la même cause technique, mais ils partagent un point commun : ils exploitent le fait qu’un formulaire de commande ou d’inscription accepte des soumissions automatisées à un rythme qu’un humain ne peut pas atteindre, sans limite ni vérification.

Sur PrestaShop, ce type d’abus est parfois facilité par une faille dans un module de paiement ou de gestion des comptes mal sécurisé, qui laisse par exemple un point d’entrée accessible sans passer par les vérifications normales du panier. Je reste général sur ce point faute d’un identifiant de faille précis à citer ici : ce qui compte pour un marchand est de vérifier si le module concerné a reçu une mise à jour récente et de considérer tout module de paiement tiers comme un point d’attention prioritaire.

Ce qu’il faut vérifier et faire

  1. Isoler les commandes concernées sans les supprimer

    Elles servent de preuve pour votre prestataire de paiement et, le cas échéant, pour une déclaration si votre compte marchand est mis en cause.

  2. Contacter votre prestataire de paiement

    Un pic de transactions refusées en peu de temps est un signal qu’il surveille aussi de son côté ; le signaler rapidement évite une suspension unilatérale de votre compte marchand.

  3. Mettre en place une limite de tentatives sur le formulaire de paiement et d’inscription

    Un nombre maximal de tentatives par adresse IP dans un intervalle donné bloque l’essentiel des scripts automatisés sans gêner un client légitime.

  4. Ajouter une vérification anti-robot sur les formulaires exposés

    Un contrôle de ce type, correctement configuré pour ne pas gêner un visiteur humain, réduit fortement le volume de soumissions automatisées.

  5. Purger les faux comptes clients identifiés

    Après avoir vérifié qu’aucun n’a effectué de commande légitime, ces comptes doivent être supprimés pour ne pas fausser vos statistiques ni rester exploitables.

Pour aller plus loin

Décrivez votre besoin en 1 minute

Quelques questions ciblées pour que je vous réponde avec une estimation, pas avec un questionnaire de plus.

Qu’avez-vous constaté ?
Quelle plateforme ?
Depuis quand le problème est-il constaté ? (facultatif)

Plus l’infection est ancienne, plus elle a pu se propager dans les fichiers et la base de données.

Disposez-vous d’une sauvegarde saine ?

Une sauvegarde antérieure à l’infection change complètement la méthode de remise en état.

Indiquez au moins un e-mail ou un téléphone pour que je puisse vous répondre.

Indiquez au moins un e-mail ou un téléphone pour que je puisse vous répondre.

Questions fréquentes

Mon site a-t-il forcément été piraté si je vois du carding ?
Pas nécessairement. Le carding peut cibler un formulaire de paiement sans qu’aucune intrusion n’ait eu lieu ailleurs sur le site, simplement parce que ce formulaire est accessible publiquement et peu protégé contre les soumissions automatisées.
Ces tentatives de carding coûtent-elles réellement de l’argent si elles échouent ?
Oui, indirectement : un volume élevé de transactions refusées dégrade votre taux d’acceptation auprès du prestataire de paiement, ce qui peut entraîner des frais supplémentaires ou une surveillance renforcée de votre compte marchand.
Dois-je prévenir mes clients dont les vraies commandes se mélangent à ces tentatives ?
Seules les commandes réellement passées avec les données d’un vrai client sont concernées. Le tri entre commandes légitimes et tentatives de carding se fait en croisant les paiements réellement acceptés.
Les faux comptes clients peuvent-ils accéder aux commandes d’autres clients ?
Normalement non, sauf si une faille distincte du système de comptes existe. C’est un point à vérifier séparément si le volume de faux comptes est important.
Une simple limite de tentatives suffit-elle à arrêter ça durablement ?
Elle réduit fortement le volume, mais un attaquant déterminé peut répartir ses tentatives sur plusieurs adresses IP. C’est pour cela qu’elle se combine en général avec une vérification anti-robot et une surveillance continue.