Ce lundi, les autorités françaises et l'UEFA ont expliqué que des milliers de faux billets étaient l'une des causes principales du fiasco du match de la finale de la Ligue des Champions. Selon la Ministre des Sports, 2700 personnes auraient été victime d'usurpation de leur billet. Décryptage sur les origines de cette fraude et la manière dont les organisateurs gèrent habituellement ce type de problème.
Il existe deux types de billets : les billets imprimés par l’organisateur, ou via ses réseaux de distribution et les billets numériques, parfois imprimés par le client. Les billets papiers sont souvent difficilement copiables grâce à l’utilisation d’hologrammes et de techniques proches de celle de la monétique.
Pour les billets numériques, il n’existe aucun moyen d’empêcher les personnes de les imprimer plusieurs fois. En réalité, le billet numérique est juste l’impression sur un bout de papier d’un numéro qui servira de le retrouver dans une liste lors du contrôle d’entrée. Pour chaque place, c’est donc ce premier numéro a être scanné qui est scanné qui rentre. Les autres photocopies restent sur le carreau.
C'est pour cette dernière raison que les organisateurs préfèrent de plus en plus scanner les billets numériques affichés sur un smartphone avec une application dédiée, plus difficilement piratables, plutôt que des billets imprimés à la maison.
La première des solutions est donc d’informer les acquéreurs de billets que leur sésame est bien valide.
Ainsi, il aurait été intelligent ce samedi, de mettre en place des bornes de vérification des billets bien en amont. Pourquoi pas sur la fan-zone l’après-midi et même dans les gares et aéroports dès leur arrivée à Paris.
A tout moment, un détenteur de billet aurait donc pu savoir si son billet était valide ou pas.
Sauf que, dans le cas d’une photocopie, le billet est valide jusqu’à ce qu’il soit scanné à l’entrée du stade pour la première fois.
L’information affichée sur l’écran de la borne peut alors renseigner quelques informations sur ce billet. Pourquoi pas le lieu et la date d’achat, éventuellement le nom et prénom de son propriétaire, et surtout, le nombre de fois où il a été vérifié. Si un même billet a déjà été vérifié plusieurs fois, il est devient évident que l’on on est dans un cas très suspect.
Cette vérification pourrait aussi se faire via une application native sur le téléphone, en permettant aux détenteurs de scanner aux même leurs QR code avec l’appareil photo du téléphone.
A chaque vérification, le système peut envoyer une notification par sms ou alerte push, une sorte de mémo numérique à son propriétaire. En cas de doublons, le réel propriétaire aura aussi l’avantage de savoir que son billet a été cloné et donc la possibilité de prévenir les autorités, de le bloquer ou d’en régénérer un autre.
Ce système de vérification peut aussi alerter les autorités lorsqu’un même billet est scanné plusieurs fois, sur plusieurs bornes différentes. Il y aura alors un faisceau de preuves que le billet a été dupliqué et la possibilité pour les autorités de le bloquer dès le premier scan.
Lors de grands événements, avec un prix de billet élevé, il peut être cohérent de sécuriser davantage chaque billet. Le but de n’est pas de fliquer leurs détenteurs, comme ce pu être le cas lors de la Coupe du Monde en Russie avec des données personnelles associées à chaque billet, mais plutôt qu’un billet numérique ne se résume finalement qu’à un seul numéro. Pour cela, on y associe également un email ou un numéro de téléphone, permettant ainsi de contacter de manière sécurisée son propriétaire.
Ainsi, le détenteur du billet peut aisément se connecter à une interface pour vérifier la validité du billet et surtout, s’il y a un doute, générer un nouveau numéro de billet et le QR code associé. Ainsi, toutes les photocopies existantes seront immédiatement désactivées par leur propriétaire.
Il est compréhensible qu’un détenteur de billet puisse avoir de bonnes raisons de donner ou revendre son billet. A défaut de gérer financièrement cette transaction, le système peut la sécuriser en y associant obligatoirement lors de l’échange le nouveau numéro de téléphone ou l’email de l’acquéreur. Lors de l’échange, l’élément clé de la vente sera donc le changement de coordonnées dans l’interface plutôt que la passation du billet imprimé.
Ceci nécessite malgré tout un minimum de pédagogie auprès du public, et aussi, un minimum de bonne volonté des organisateurs s’ils se soucient davantage de leur public que de leurs intérêts financiers.
Un billet numérique n’est qu’un numéro. Mais ce numéro doit être suffisamment sécurisé pour que personne ne puis en générer un de manière aléatoire.
La méthode est assez simple et utilisée par la plupart des systèmes de billetterie: ce numéro est généralement composé du numéro du billet associé à une clé stockée soit dans la base de données de la billetterie, soit générée avec un système de cryptage. En clair, pour un resquilleur, il est peut-être facile de générer un numéro de billet, mais impossible de générer la clé associée, et donc de présenter un numéro complet valide.
Samedi soir, les autorités ont été débordées par un afflux de personnes détentrices de faux billets coincées dans une zone tampon. Il y avait semble-t-il deux étapes de contrôle : la première, par la police qui faisait rentrer dans une zone tampon autour du stade les personnes détentrice d’un billet, valide ou copié, sans que ce dernier soit contrôlé.
Puis ensuite, les vigiles vérifiaient la validité des billets dans des portiques devant chaque porte du stade. Hors, avec l’afflux de personnes munies de faux billets, il y a eu une concentration de personnes dans cette zone tampon, bloquant ainsi les personnes munies de billets valides.
La première erreur a été de confier ce travail de vigile aux forces de l’ordre dont ce n’est pas le métier. Elles ont paniqué et réagi avec violence face à une situation qu’elles ne maîtrisaient pas.
Mais surtout, pour éviter le phénomène des billets photocopiés, il aurait fallu utiliser ce premier contrôle pour vérifier la validité des billets et éviter ainsi d'agglutiner les détenteurs de faux billets dans cette zone tampon.
Pour éviter les doublons, dès le premier scan, le système peut alors envoyer automatiquement une notification à son propriétaire. Le second scan, avant de monter dans les tribunes valide définitivement l’entrée dans le stade. Il peut se passer une dizaine de minutes entre les deux étapes, c’est un timing suffisant pour permettre de détecter un usage frauduleux des billets et bloquer si besoin le billet litigieux.
Car ce samedi, certains propriétaires de billets se sont retrouvés bloqués car leur billet avait déjà été scanné par des fraudeurs. Il devient alors bien plus compliqué d’aller chercher à l’intérieur du stade les fraudeurs.
Bref, ces techniques existent depuis longtemps et il est surprenant que l’UEFA ne les ait pas suffisamment appliquées samedi soir. On sait que le public est anglais est particulièrement sensible et que ce genre d’incidents se sont déjà produits dans le passé.
Compte tenu des enjeux en termes d’image, en terme financier et humain pour des familles et supporters qui ont fait un long trajet pour venir voir cette finale, l’enjeu de la sécurité des billets aurait dû être une priorité maximale pour l’UEFA.
