Virtualis génère un numéro de carte virtuel à usage unique pour chaque transaction en ligne. Le numéro réel de la carte bancaire CMB n’est jamais transmis au commerçant, ce qui neutralise le risque de captation de données lors d’une fuite côté marchand. Le service, intégré à l’espace client du Crédit Mutuel de Bretagne, produit un triplet jetable (numéro, date d’expiration, cryptogramme) valable pour un seul achat ou pour un montant plafonné défini par le porteur.
Nous observons que la plupart des articles sur le sujet présentent Virtualis comme un bouclier absolu. La réalité est plus nuancée, surtout au regard de l’évolution récente des typologies de fraude.
Fraude par manipulation : la limite structurelle d’une carte virtuelle CMB
La fraude carte « technique » (numéro volé sur un site, skimming, piratage de base marchande) atteint un plancher historique. Selon l’Observatoire de la sécurité des moyens de paiement (Banque de France), le taux de fraude carte s’établit à 0,048 % au premier semestre 2025. Virtualis adresse précisément ce vecteur en rendant le numéro inutilisable après la transaction.
Le problème se situe ailleurs. La fraude par manipulation (faux conseiller bancaire, usurpation d’identité, incitation à valider soi-même une opération) représente désormais environ 40 % de la valeur totale de la fraude aux moyens de paiement, contre 32 % l’année précédente. Ce type de fraude contourne toute carte virtuelle : c’est le client lui-même qui autorise le paiement ou le virement, sous pression psychologique.
Virtualis protège le numéro de carte. Elle ne protège pas la décision du porteur. Un fraudeur qui se fait passer pour un conseiller CMB et obtient la validation d’un virement n’est pas bloqué par un numéro jetable.
Fonctionnement technique de Virtualis : ce que le numéro jetable couvre réellement
Le service repose sur la tokenisation côté émetteur. À chaque demande d’achat en ligne, le client se connecte à son espace CMB (application mobile ou site web), renseigne le montant prévu et obtient un jeu de coordonnées bancaires éphémères. Trois paramètres sont configurables :
- Le montant maximal autorisé sur le numéro virtuel, ce qui empêche un dépassement même en cas de faille côté commerçant
- La durée de validité du numéro, généralement limitée à quelques semaines, au-delà de laquelle le triplet expire automatiquement
- La restriction à une seule transaction ou à un usage récurrent (abonnement), selon le paramétrage choisi par le client
En pratique, la génération prend moins d’une minute. Le numéro virtuel est rattaché au compte courant du porteur, et le débit apparaît sur le relevé exactement comme un paiement carte classique.
Activation et prérequis
L’activation de Virtualis se fait depuis l’espace client CMB, rubrique « cartes ». Le service est accessible aux porteurs d’une carte bancaire CMB éligible. Aucune carte physique supplémentaire n’est envoyée.
Nous recommandons de vérifier que l’authentification forte (Sécur’Pass ou validation par SMS) est bien active sur le compte. Sans elle, la protection du numéro virtuel perd une partie de son intérêt : c’est l’authentification forte qui bloque les tentatives d’utilisation non autorisée, pas le numéro jetable seul.
Virtualis face aux autres dispositifs de sécurité en ligne
Le blocage internet de la carte physique, proposé aussi par le CMB, empêche toute utilisation du numéro réel sur un site marchand. Combiné à Virtualis, il crée une double couche : la carte physique est inutilisable en ligne, et seul le numéro virtuel permet de payer.
La différence avec les cartes virtuelles proposées par des néobanques ou des fintechs tient à l’intégration bancaire. Virtualis est adossée directement au compte CMB, sans intermédiaire. Le plafond de la carte virtuelle est lié au plafond de la carte physique du porteur, et les opérations bénéficient des mêmes garanties de contestation (chargeback) que les paiements par carte classique.
Paiement sans contact et Virtualis
Virtualis ne remplace pas le paiement sans contact en magasin. Son périmètre est strictement limité aux achats en ligne. Pour les paiements physiques, la sécurité repose sur le plafonnement du sans contact et sur l’authentification par code PIN au-delà du seuil.
Scénarios où Virtualis change réellement la donne
L’intérêt du service se concentre sur trois situations concrètes où le risque de compromission du numéro carte est élevé :
- Achat sur un site marchand inconnu ou étranger, où la politique de stockage des données bancaires est opaque
- Souscription à un essai gratuit avec saisie de carte : le numéro virtuel expirant, aucun prélèvement ultérieur n’est possible sans nouvelle génération
- Paiement ponctuel sur une plateforme de petites annonces entre particuliers, où les interfaces de paiement sont parfois moins sécurisées
En revanche, pour un achat récurrent chez un commerçant de confiance (grande enseigne, abonnement streaming), la valeur ajoutée de Virtualis est marginale. L’authentification forte DSP2, obligatoire sur ces transactions, offre déjà un niveau de sécurité élevé.
Adopter Virtualis sans négliger les autres vecteurs de fraude
Le service Virtualis du CMB remplit efficacement sa mission : isoler le numéro de carte réel des transactions en ligne. Sur le périmètre de la fraude technique carte, la protection est solide. Le numéro jetable, le montant plafonné et l’expiration automatique réduisent la surface d’attaque à son minimum.
La montée en puissance de la fraude par manipulation rappelle que la sécurité d’un paiement ne se résume pas à un numéro de carte. Un client CMB qui utilise Virtualis mais valide un virement sous la pression d’un faux conseiller reste exposé. La vigilance face aux sollicitations téléphoniques et aux messages urgents demandant une action immédiate reste le complément indispensable de tout dispositif technique.
