Un outil pour contrôler les agents IA

Depuis toujours, les institutions financières engagent des efforts considérables dans la protection de l'argent de leurs clients. Et soudain, avec l'irruption des agents propulsés à l'intelligence artificielle auxquels ils sont de plus en plus enclins à confier toutes sortes de tâches, ce travail est remis en question. Incognia promet une solution.

Les outils de lutte contre la fraude « digitale », en particulier, sont constamment enrichis, à grands frais, afin de prendre en compte les menaces émergentes au fur et à mesure de leur apparition et leur fonctionnement repose en grande partie sur la connaissance de l'utilisateur qui interagit avec les applications de l'entreprise à un moment donné, qu'il s'agisse de l'identifier et l'authentifier ou de s'assurer, par exemple, que les transactions qu'il cherche à exécuter sont légitimes et réellement délibérées.

Or quand un agent IA se substitue au client, les mécanismes existants ne peuvent plus œuvrer de la même manière. Des problématiques différentes surgissent, complémentaires de celles qui sont déjà prises en compte. Au premier plan, bien sûr, la priorité consiste à garantir que l'automatisme qui se connecte est effectivement mandaté par la personne qu'il déclare représenter. Mais, par la suite, il faut également vérifier que les opérations qu'il exécute correspondent bien à la demande de son « maître ».

La solution d'Incognia promet de répondre à ces multiples niveaux d'enjeu. Elle sait d'abord distinguer les robots en tout genre des humains lorsqu'ils naviguent dans les logiciels qui leur sont exposés. Deuxième étape, les intelligences artificielles repérées font l'objet d'un filtrage préliminaire afin d'écarter celles qui paraissent suspectes par essence. Puis vient le contrôle de la délégation, dans laquelle le lien avec l'individu finalement responsable du comportement de l'agent est établi et validé.

À ce stade, l'évaluation de l'utilisateur à l'origine de la session est terminée. Entre alors en jeu une couche supplémentaire, destinée cette fois à surveiller les actions engagées. Outre l'inspection du certificat d'intention – qui devrait s'imposer rapidement comme un standard – et son enregistrement (comme les autres éléments de preuve du processus), la plate-forme analyse les opérations initiées en regard des habitudes du client, de manière à prévenir des écarts indicatifs d'éventuelles dérives.

En parallèle de leurs propres projets d'IA, les institutions financières doivent appréhender en urgence les dangers qu'implique l'adoption d'agents plus ou moins autonomes par les consommateurs. Elles ne pourront se contenter longtemps des réflexions initiales sur la traçabilité des contrôles passifs qu'elles mettent en œuvre. Elles devront très vite investir dans des mécanismes de protection proactifs si elles ne veulent pas se voir reprocher un laxisme coupable relevant potentiellement d'un défaut de conseil. Dans ce contexte, l'approche d'Incognia mérite largement l'attention.

KBC propose un ange gardien contre la fraude

La fraude bancaire provenant de plus en plus de manipulations sociales et non d'attaques technologiques, KBC généralise, après quelques mois d'une expérimentation concluante, un nouveau système de protection pour ses clients – notamment les plus vulnérables, mais pas seulement – basé sur la relation humaine et la confiance.

Le principe, que l'établissement belge se déclare officiellement disposé à partager avec l'industrie, s'avère simple. Le détenteur de compte, préalablement sensibilité, commence par désigner un ange gardien, à savoir une personne, en général de son entourage, susceptible de lui prêter assistance en cas de besoin. Dès lors, lorsque les mécanismes de défense de la banque détectent une transaction suspecte, le contact sélectionné est interpellé afin de vérifier sa légitimité avant qu'elle ne soit effectivement exécutée.

La mise en place et le fonctionnement du dispositif sont eux-mêmes sécurisés. La configuration initiale ne peut ainsi se réaliser qu'en proximité : l'activation à partir de l'application mobile affiche un QR code que le délégataire doit capturer pour la finalisation de l'opération. Ensuite, en cas d'incident, le transfert est suspendu jusqu'à ce que son émetteur et son ange gardien aient tous deux fourni leur confirmation, de préférence après avoir échangé entre eux, selon le scénario privilégié par KBC.

Cet aspect fait la différence avec les solutions proches, plutôt destinées au contexte des personnes dépendantes et à leurs aidants, que quelques autres acteurs – jeunes pousses, la plupart du temps – ont pu déployer précédemment, dans lesquelles un ou plusieurs observateurs externes se voient octroyer la possibilité de surveiller les mouvements d'argent de leur protégé(e), de manière plus passive. Ici, la confidentialité reste en outre globalement préservée, seuls les cas problématiques étant divulgués.

Le procédé comporte cependant une étape dont je ne comprends pas l'utilité. Alors que l'analyse des flux et l'identification des fraudes sont entièrement automatisées, jusqu'à l'envoi d'une notification à l'ange gardien, les équipes centrales de suivi de la fraude dans la banque appellent ce dernier pour lui demander de contrôler l'alerte. Cette sollicitation semble redondante et sans grande valeur ajoutée, potentiellement irritante pour son destinataire, et probablement coûteuse à mettre en œuvre.

Afin de justifier son initiative, KBC décrit une mésaventure survenue durant la phase pilote, organisée avec 2 000 cobayes, dans laquelle un de ses clients était en passe de perdre ses économies et a été « sauvé » par sa fille tandis qu'il était encore en communication avec son « assaillant », qui le pressait de réaliser un virement à son profit. Il ne fait guère de doute que le concept revêt une certaine efficacité pour un effort d'implémentation relativement raisonnable. Mais, comme bien des services anti-fraude, il n'a de valeur que si les consommateurs l'adoptent. L'enjeu sera de les convaincre.

L'excès de confiance expose les jeunes à la fraude

Historiquement, la fraude en ligne, notamment bancaire, affectait en priorité les seniors, particulièrement fragiles dans un univers qu'ils maîtrisaient mal. Or, aujourd'hui, l'évolution des menaces expose de plus en plus les jeunes adultes qui considèrent que leur culture « digitale » native suffit toujours à leur permettre de les reconnaître.

Elle est loin, l'époque où les messages des cybercriminels étaient faciles à repérer grâce à l'invraisemblance de leur contenus et les erreurs manifestes qu'ils comportaient. Seules les personnes encore novices du web, essentiellement parmi les plus âgées, se laissaient piéger… surtout en raison de l'inquiétude que suscitaient ces sollicitations insolites et inattendues, d'ailleurs, plus que par leur « qualité » intrinsèque.

Désormais, l'intelligence artificielle a changé la donne. Les attaques deviennent extrêmement sophistiquées – empruntant fréquemment des photos, des voix ou des vidéos de correspondants familiers impossibles à distinguer de leurs équivalents réels, comme le révèlent régulièrement les tests à l'aveugle – et rendent obsolètes les méthodes classiques de détection des arnaques que chacun connaît bien, maintenant.

Cette mutation du risque renverse aussi profondément le profil des victimes privilégiées. Selon une étude citée par ABN AMRO, et contrairement à ce que l'on observait il y a quelques années, les 18-35 ans sont en première ligne, devant les 65 ans et plus : 14% de cette classe d'âge a subi une fraude au cours de l'année précédente. Et les principales raisons d'une telle hécatombe sont l'excès de confiance dans sa capacité à repérer une escroquerie… et le mépris des nouvelles règles de prudence.

Dans un retournement ironique de contexte, les consommateurs d'un certain âge, qui se sont également appropriés les usages numériques entretemps, sont plutôt prompts à écouter les recommandations de leur banquier et à mettre en œuvre les outils qu'ils leur fournissent en support, tandis que les jeunes générations, beaucoup plus investies dans des comportements à risque, ont tendance à les dédaigner. Selon l'institution néerlandaise, ils ne sont, par exemple, que 4 sur 10 à vérifier, qu'un appel de leur conseiller est légitime via l'option ad hoc de leur application mobile.

Plus généralement, leur habitude d'échanger en continu sur les réseaux sociaux, pour tous leurs besoins, dont leurs achats, et d'y réagir instantanément leur joue des tours. Deux autres statistiques le révèlent indirectement : 58% de cette catégorie ne prennent pas le temps de vérifier les contacts sur les boutiques en ligne qu'ils fréquentent et à peine plus de la moitié consultent leur réputation sur les sites spécialisés. En résumé, les préconisations élémentaires prodiguées pour leur sécurité ne les atteignent pas.

Pour ABN AMRO, ces constats procurent une occasion de lancer une campagne de sensibilisation dédiée. Une de plus ! La compréhension des erreurs commises par les victimes de la fraude devrait pourtant encourager à repenser fondamentalement les stratégies de défense. Concrètement, si les jeunes ne répondent pas aux injonctions actuelles face aux dangers auxquels ils s'exposent, il ne semble guère utile de redoubler de conseils. Une autre approche, adaptée à leurs pratiques, est indispensable.

La confiance en la banque s'érode

En Australie, ANZ lance une campagne auprès de ses clients afin de les sensibiliser à la nouvelle tendance qui voit les fraudeurs aider leurs victimes à contourner les moyens de détection destinés à les protéger. Mais le succès de ces méthodes de manipulation constitue aussi un inquiétant révélateur de l'état de la confiance dans les banques.

Les auteurs de malversations que je qualifierais « de proximité », dans lesquelles un contact direct est pris avec leurs cibles, souvent par téléphone et parfois au fil d'un engagement prolongé, connaissent sur le bout des doigts les mesures que mettent en œuvre les institutions financières en vue d'intercepter leurs agissements. Alors, quand ils ne parviennent pas à les déjouer techniquement, ils exploitent leur talents relationnels pour convaincre les consommateurs de mentir à leur teneur de compte.

Les arnaques aux investissements mirobolants, notamment dans les cryptoactifs, sont fréquemment concernées. Lorsque le client veut transférer une somme d'argent importante, voire toutes ses économies, le criminel va lui expliquer comment répondre aux questions de contrôle de sa banque de manière à ne pas éveiller les soupçons, par exemple en niant agir via un intermédiaire. Dans certains cas, il peut même assister à l'entretien avec un conseiller et guider les échanges, par une oreillette ou par SMS.

Comme avec chaque « innovation » dans l'art de l'escroquerie, l'industrie réagit d'abord par la communication. En l'occurrence, elle rappelle qu'elle instaure sans cesse des mécanismes supplémentaires dans le but de repousser les attaques et que, bien qu'ils paraissent excessifs et frustrants, il ne faut jamais oublier qu'ils sont là pour la sécurité de l'argent des déposants. Elle renchérit ensuite en soulignant – comment peut-il en être besoin ? – qu'un individu qui incite à tricher est immédiatement suspect.

Cependant la situation devrait encourager le secteur financier à l'introspection. En effet, quelle que soit l'habileté sociale des malfaiteurs, le fait que des personnes finissent par accepter, après plus ou moins de pression, d'adopter les techniques pour le moins douteuses qu'ils leurs suggèrent est certainement révélateur d'une méfiance latente vis-à-vis de la banque. Et, ironiquement, les bloquages et autres frictions introduits dans les parcours du quotidien pour la lutte contre la fraude y contribuent.

Quand ces dispositifs dépassent un niveau acceptable de nuisance, ce qui est hélas de plus en plus souvent le cas, il devient presque facile de faire croire aux consommateurs qui les subissent dans des circonstances parfaitement banales et sans risques qu'ils sont déployés pour défendre les intérêts de l'établissement et non ceux de ses clients. Il s'agit d'une conséquence dérivée du déséquilibre croissant entre l'efficacité des instruments de défense des banques et leur impact sur l'expérience utilisateur.

A minima et à défaut de trouver de meilleures solutions de protection, les efforts de pédagogie mériteraient d'être démultipliés autour de ces barrières qui deviennent insupportables. Plus profondément, les institutions financières devraient se préoccuper sérieusement de la confiance qu'elles inspirent, dont elles croient toujours qu'elle est inébranlable alors qu'elle s'effrite progressivement via divers facteurs, parmi lesquels la popularité des influenceurs et l'émergence de la FinTech jouent un rôle.

Visa investit dans la biométrie comportementale

Longtemps affaire de spécialistes, la biométrie comportementale appliquée à la lutte contre la fraude et autres besoins de sécurité commence désormais à intéresser de près les grands groupes de la finance en mal de solutions face à la montée des menaces propulsées à l'IA. L'acquisition de BioCatch par Visa en fournit une illustration.

La discipline a déjà une quinzaine d'années et consiste à capter et analyser, grâce à des librairies dédiées disponibles pour les applications web et mobile, une batterie d'informations représentative du comportement d'un utilisateur : mode de saisie au clavier (physique ou virtuel), mouvements de souris ou du doigt sur un écran tactile, configuration des environnements, temps d'attente et hésitations… Chaque individu possédant sa propre signature, les écarts signalent une intrusion possible.

Aussi attractive qu'elle paraisse, l'approche n'a semble-t-il jamais conquis massivement son marché, selon toute vraisemblance en raison d'un taux de faux positifs potentiellement élevé (dont la réalité n'est cependant pas clairement établie). En effet, outre les risques d'erreurs algorithmiques communs à toutes les méthodes de détection de fraude, les événements de la vie courante – blessure, fatigue, gêne exceptionnelle (un colis dans les bras)… – peuvent entraîner un rejet abusif, néfaste pour l'expérience.

Mais voilà, ces défauts, qui, heureusement, s'estompent au fil de la maturité croissante, ne comptent (presque) plus à l'heure où les fraudes prennent une ampleur inédite, autant sur les paiements que sur leurs éléments de contexte (via, par exemple, l'usurpation d'identité), et où les outils classiques sont facilement bernés par l'intelligence artificielle qu'emploient régulièrement les cybercriminels de tout poil. Dans ces conditions, une entreprise telle que Visa n'a d'autre choix que d'étendre son arsenal.

En fait, son achat de BioCatch marque un tournant majeur pour la biométrie comportementale. En effet, elle vient conclure une série d'opérations (dont celle de LexisNexis sur le pionnier BehavioSec) qui ont progressivement intégré cette dernière dans des offres plus vastes et en détermine ainsi la fin en tant que catégorie indépendante. Naturellement, cette transition devrait également représenter le début de son adoption généralisée par les industries financière et du commerce de détail.

Hélas, ne serait-il pas un peu tard pour s'emparer de cette solution et la transaction de Visa ne constituerait-elle pas un nouvel épisode du feuilleton de la tentative un peu désespérée de rattrapage de l'avance technologique que conservent toujours les cybercriminels ? Je ne fais pas avec cette interrogation montre de pessimisme gratuit : des logiciels malveillants capables de contourner les protections comportementales sont déjà apparus et laissent entrevoir leur obsolescence quasi inévitable, à terme.

NAB Nexus coordonne la protection des clients

Décidément, la lutte contre les cyber-malversations de toutes sortes devient la principale préoccupation des institutions financières face à la prolifération d'attaques, de plus en plus sophistiquées grâce à l'intelligence artificielle. NAB met ainsi sur pied une structure pluridisciplinaire de réponse, active 24 heures sur 24 et 7 jours sur 7.

Le volume et la dangerosité des menaces qui pèsent sur les finances des consommateurs et des entreprises reste bien sûr un problème crucial pour les équipes des banques mais, désormais, la capacité à rapidement détecter leur apparition et leurs mutations puis organiser une riposte devient de plus en plus critique afin d'en contenir les impacts. C'est pourquoi la banque australienne remet aujourd'hui en question les méthodes traditionnelles, qui semblent atteindre leurs limites.

Son NAB Nexus, chargé de la surveillance et de la défense contre la fraude, les escroqueries, les cyber-attaques…, est donc opérationnel toute l'année sans interruption. Mais, plus important, il rassemble au sein d'une même structure toutes les parties prenantes du sujet – spécialistes informatiques, experts de sécurité (y compris physique), équipes de lutte anti-fraude, professionnels des paiements… – dans le but d'encourager la collaboration et de la sorte améliorer la performance du dispositif.

Le raisonnement sous-jacent est simple et de bon sens : les attaques visant le secteur financier actuellement sont fréquemment multi-facettes et ne peuvent donc plus être considérées isolément par tel ou tel département de la banque sous peine de n'en traiter qu'une partie et d'en négliger, potentiellement, les aspects les plus dangereux. Ce n'est que par un partage constant et fluide d'informations que toutes les dimensions d'un incident peuvent être analysées conjointement et dans les meilleurs délais.

La communication officielle de NAB ne l'évoque pas mais l'impératif de dialogue devrait certainement dépasser les seules entités responsables de la protection de l'établissement ou de ses clients. Il mérite aussi d'inclure les personnels de première ligne, conseillers en agence ou téléopérateurs des centres d'appel. Il est évidemment impossible de les embarquer dans leur ensemble mais, a minima, il faudrait envisager de désigner un interlocuteur dédié, préalablement formé à son rôle d'intermédiaire.

L'initiative est probablement coûteuse mais les banques ont-elles vraiment le choix en 2026 ? Les solutions purement technologiques, notamment à base d'IA, sont certes extrêmement utiles mais elles ne peuvent entièrement remplacer les compétences humaines, en particulier lorsqu'il s'agit de rapprocher et corréler des événements disparates. Dans ces conditions, le NAB Nexus à toutes les chances de préfigurer le standard de la lutte contre la cyber-criminalité pour les années à venir.

Encore une nouvelle tactique anti-fraude

La fraude, toujours la fraude. Les pertes de plus en plus sévères subies par leurs clients, dont elles sont susceptibles d'être tenues responsables, encouragent les banques à continuellement développer leur arsenal de défense. Ainsi, avec son « Scam Check », Lloyds Bank veut dorénavant contrôler les achats concernés en cas de suspicion.

Une partie des consommateurs britanniques sont maintenant accoutumés aux systèmes, mis en place depuis une petite dizaines d'années par plusieurs enseignes, qui leur imposent une pause de réflexion avant de finaliser une dépense. C'est en complément des questions à travers lesquelles ils sont incités à s'interroger sur la légitimité de leur transaction que Lloyds Bank leur demande donc désormais de télécharger des photos de l'article convoité, afin de compléter son analyse et fiabiliser son verdict.

Concrètement, armés des informations et des images collectées, y compris, naturellement, le montant de l'opération et l'identité bancaire du vendeur, les modèles d'intelligence artificielle déployés dans ce but alertent l'utilisateur si les signes d'une offre trop alléchante pour être honnête paraissent trop forts. Notons que, selon ma compréhension, la finalisation du règlement n'est jamais bloquée : c'est à la personne, dûment informée des risques qu'elle encourt, de décider d'interrompre son parcours.

Les critères évalués afin de déterminer la probabilité d'une escroquerie ne semblent pas particulièrement sophistiqués : un prix excessivement faible (en comparaison du prix moyen estimé à partir des photos), une boutique ou un vendeur installé récemment ou bien sans avis de consommateurs, une description approximative et, indices de communication qui trompent rarement, une demande de dépôt de garantie (pour réserver le produit) ou bien le sentiment d'urgence dans les termes de l'annonce.

Naturellement, le dispositif est lourd et contraignant, donc assez désastreux pour l'expérience client. Heureusement, il n'est mis en œuvre que dans les circonstances où le danger est maximal, à savoir les emplettes en ligne, essentiellement sur les plates-formes du groupe Meta (Facebook, Instagram, WhatsApp), auprès d'une contrepartie avec laquelle le payeur n'a jamais interagit auparavant. Ce choix très ciblé ne doit rien au hasard. Au contraire, il est justifié par le taux extravagant (68%) d'arnaques déclarées par les clients qui émanent de ces « réseaux sociaux »… que l'ensemble de l'industrie aimerait tant voir assumer leur responsabilité (presque) directe.

L'initiative représente également une certaine forme de pression qu'exerce Lloyds Bank (comme, avant elle, Starling, avec une solution similaire) sur Meta, pour autant qu'elle en ait les moyens (sans verrouiller totalement les flux). Outre son impact sur les ventes frauduleuses, l'introduction de frictions dans les paiements peut en effet conduire à une diminution des transactions légitimes et de la sorte affecter doublement les revenus du géant californien. Alors que ce dernier distribue des outils d'IA sans barrières qui seront probablement détournés par des cybercriminels, il y a urgence à agir.

Feedzai lutte contre la fraude en mode privé

Depuis quelques années, les systèmes en réseau de lutte contre la fraude, permettant de s'affranchir des silos (limités) de chaque organisation, ont le vent en poupe… mais sont freinés par les craintes pour la confidentialité des données. Avec Feedzai IQ et sa mise en œuvre d'algorithmes fédérés, ces réticences peuvent enfin disparaître.

Historiquement, pour un acteur tel que Feedzai, le volume de transactions analysées chaque minute (représentant 8 000 milliards de dollars de flux annuels) – issues de l'ensemble des établissements qui lui confient la tâche d'identifier les mouvements suspects – constitue son principal avantage en comparaison des institutions financières qui opèrent sur les seules opérations qu'elles gèrent. Mais, pour remplir sa mission, il faut que ses clients acceptent de partager leurs précieuses données avec elle.

Aujourd'hui, il existe pourtant des solutions techniques autorisant des traitements moins intrusifs et le nouveau produit de Feedzai exploite justement l'une d'elles. Avec son approche d'apprentissage fédéré, la jeune pousse promet ainsi, de manière crédible et démontrable, qu'elle est en mesure non seulement d'appliquer ses modèles de filtrage mais également, et surtout, de les entraîner (continuellement) sans jamais requérir un accès direct aux informations sensibles sur lesquelles ils exercent leurs fonctions.

L'entreprise ne fournit que peu de précisions sur son implémentation – diverses options existant sur le marché – mais il semblerait qu'elle soit relativement élémentaire, fondée, au moins en partie, sur de simples mécanismes d'anonymisation. Par exemple, une des déclinaisons du service est matérialisée par une API (unique), qui retourne un score de confiance élaboré à partir de quelques éléments transmis en entrée et de l'intelligence dérivée de l'ensemble de l'historique accumulé auprès de tous les utilisateurs.

La démarche de Feedzai, encore rare (à ma connaissance) dans son domaine, constitue un immense pas en avant pour la lutte contre la fraude, alors que celle-ci donne l'impression de devenir incontrôlable de jour en jour, entre autre avec l'aide de l'intelligence artificielle. Si tous les spécialistes s'accordent à estimer que la mise en commun de la connaissance est essentielle pour, a minima, améliorer la réactivité face aux menaces émergentes et protéiformes, elle ne peut s'envisager sereinement tant qu'elle implique des échanges d'information privée, qui se trouverait alors en risque.

La mise en œuvre d'approches n'exigeant pas l'exposition (extérieure) des données vient logiquement changer la donne : les derniers arguments contre les dispositifs mutualisés ne peuvent être que de mauvaise foi. Les régulateurs qui, ici et là, expérimentent de telles idées devraient intégrer d'emblée cette dimension, notamment. À moins que les groupements industriels ne s'en emparent ou, plus trivialement, que les fournisseurs spécialisés standardisent leurs offres autour de ces principes…

Mastercard lutte contre les marchands fantômes

Je ne sais pas pour vous mais quand je vois certaines arnaques, surtout en ligne, je me demande toujours comment il est possible que leurs auteurs aient accès aux systèmes de paiement standards, notamment par carte. Heureusement, Mastercard prépare une nouvelle gamme de services permettant de les refuser à l'entrée. Il était temps.

Le fléau a pris de l'ampleur avec l'explosion du e-commerce due à la pandémie de 2021 et il est aujourd'hui en progression exponentielle grâce au recours à l'intelligence artificielle. Les escrocs sont en mesure de créer très rapidement des boutiques (parfois physiques, plus souvent virtuelles) imitant des enseignes connues, sur lesquelles ils attirent les gogos avec des articles rares ou à prix cassé… qu'ils ne livrent pas (ou pas tels que promis), voire qui leur servent à détourner des données de paiement.

Avec ses nouveaux « Merchant Trust Services », Mastercard veut (enfin !) s'attaquer au problème. S'appuyant sur ses capacités de collecte d'information sur les entreprises et ses compétences en analyse de données, qui autorisent une détection précoce des comptes suspects, il propose aux établissements acquéreurs et aux plates-formes d'encaissement de les identifier et de les filtrer au plus tôt dans la (coûteuse) phase d'enrôlement et donc avant même qu'ils ne puissent installer leur activité criminelle.

En parallèle, une deuxième option devrait être déployée prochainement en Europe et aux États-Unis (la généralisation mondiale étant prévue d'ici la fin de l'année), à l'intention des émetteurs, cette fois. Le « Merchant Scam & Risk Indicator » (MSRI) leur fournira une estimation de la fiabilité du bénéficiaire durant la procédure d'autorisation. Des tests préliminaires démontrent son efficacité, avec des alertes, émises jusqu'à 90 jours plus tôt, sur 80% des marchands signalés avec les mécanismes existants.

La réactivité est évidemment critique car le temps est l'élément sur lequel comptent les malfaiteurs pour maximiser leurs profits. La possibilité de déployer en quelques heures des dizaines ou des centaines de plates-formes d'e-commerce fictives, d'en propager l'existence sur le web et d'attirer des milliers de consommateurs crédules n'a de valeur que si l'illusion peut perdurer suffisamment longtemps, de manière à pouvoir engranger une somme significative et la faire « disparaître » avant toute riposte.

Tous les participants de la chaîne de valeur ont intérêt à réduire ces fraudes… et par voie de conséquence à profiter de l'initiative de Mastercard. Les marchands légitimes jouent la confiance de leurs visiteurs et clients : le moindre doute sur leur site est synonyme de vente perdue. Les émetteurs de carte sont confrontés aux réclamations de leurs porteurs, qui leur coûtent extrêmement cher. Les acquéreurs, enfin, sont, en dernier recours, responsables des malversations qu'ils autorisent passivement.

Cependant, cette perspective de bénéfices soulève une question essentielle : pourquoi fallait-il attendre 2026 pour que les acteurs des paiements envisagent d'instaurer un protocole de validation des entreprises auxquelles ils prêtent leurs services ? Peuvent-ils réellement invoquer une complexité (technique, peut-être ?) à mettre en place des barrières robustes contre les arnaques qui écument le web (entre autres) ?

Un régulateur teste l'IA contre la fraude

Consciente que la lutte contre la criminalité financière est incontestablement plus efficace quand elle porte sur un périmètre élargi, la banque centrale singapourienne lance une expérimentation de détection de malversations grâce à des techniques d'analyse de données évoluées appliquées à un historique de transactions réelles.

Le principe du recours à des modèles d'apprentissage automatique, voire d'intelligence artificielle, en vue d'améliorer la performance des protections contre la fraude n'est évidemment pas nouvelle… elle représente même un des cas d'usage de ces outils parmi les plus répandus dans l'industrie. En revanche, sa déclinaison à l'échelle d'un régulateur national est plus originale et répond à un vrai enjeu de réactivité, l'identification des risques étant plus rapide à partir d'une vue de l'ensemble des échanges dans un pays plutôt qu'au seul niveau d'un établissement.

La mise en œuvre n'est toutefois pas triviale, comme le démontrent les conditions dans lesquelles la MAS organise ce qui devrait être un simple test. Certes, il n'y a aucune prouesse technique à demander à cinq banques locales de partager les informations qu'elles détiennent sur les opérations réalisées pendant une période spécifique (non précisée) puis à entraîner des solutions d'IA plus ou moins sophistiquées sur cette matière première pour l'identification automatique des tentatives d'escroquerie.

La réelle difficulté consiste à réaliser un tel projet avec toute la sécurité requise, alors que les données dont il est question sont extrêmement sensibles. Les responsables se veulent rassurants, en évoquant la mise en place d'un mécanisme de « hash » sur les références de compte (ce qui ne vaut pas anonymisation totale), un stockage chiffré (heureusement !) et des règles strictes d'accès. Mais dans le climat actuel où les fuites sont légion, est-ce suffisant ? Et il ne s'agit que d'une phase d'évaluation préliminaire : comment une éventuelle généralisation pourra-t-elle éliminer tout danger ?

La démarche engagée par la MAS est importante afin d'espérer réduire les pertes subies par les particuliers et les entreprises dans un contexte de croissance de la criminalité, désormais assistée elle-même par l'intelligence artificielle. Elle ne peut cependant, sans être taxée d'incohérence, ignorer les défis de sécurité qu'implique automatiquement son approche. Dans ce sens, elle devrait probablement se pencher au préalable ou, à tout le moins, en parallèle, sur les technologies émergentes de traitement de données préservant la confidentialité (PET)… comme l'avait fait l'ACPR française il y a quelques années (mais dont je ne connais hélas pas les résultats officiels).

CommBank lance la lutte anti-fraude agentique

Dans le secteur financier, la lutte contre la fraude fait partie des domaines les plus propices à l'exploitation de l'intelligence artificielle. Les applications ne semblent pourtant pas enregistrer des progrès fulgurants. CommBank figure ainsi parmi les premières à générer automatiquement des règles défensives contre les nouvelles attaques.

La première partie du dispositif est désormais classique et correspond au niveau de maturité général de l'industrie. Des modèles d'analyse repèrent parmi les millions de transactions et autres interactions des clients – notamment à travers les canaux « digitaux » – les événements suspects. Conçus initialement dans le but de stopper les tentatives de malversations avérées, ils deviennent progressivement capables d'identifier l'apparition de formes inédites de menaces, qu'il faut ensuite prendre en compte.

C'est justement sur ce dernier aspect que CommBank franchit une étape majeure. En effet, son agent ne se contente pas d'une posture passive, il est également en mesure de mettre au point en totale autonomie les éléments de configuration qui permettront à la banque de protéger ses systèmes contre ces offensives dès qu'elles sont détectées. Une réserve, toutefois : afin d'éviter toute perturbation que produirait une hallucination de l'IA, ces propositions sont inspectées par un humain avant d'être mises en œuvre.

Pas de surprise sur une telle étape de contrôle, elle reflète la méfiance caractéristique des institutions financières historiques vis-à-vis des algorithmes d'intelligence artificielle (et, auparavant, d'apprentissage automatique). Elle n'est probablement pas très gênante en termes de réactivité, surtout si l'agent sait aussi qualifier la criticité des alertes qu'il émet et donne ainsi des indications de priorité aux personnes en charge des validations. Elle crée néanmoins un goulet d'étranglement et une possible source d'erreur.

La démarche est sans conteste intéressante et pourrait inspirer les consœurs de CommBank. Mais elle mérite un parallèle avec celle de Stripe… en 2018. À l'époque, il était encore question de science des données et, déjà, le trublion des paiements avait mis en place un mécanisme de mise à jour autonome des règles anti-fraude au fur et à mesure de la détection d'attaques émergentes, avec vérification humaine a posteriori. Trois conclusions : les acteurs traditionnels ont 8 ans de retard sur l'état de l'art, ils se gargarisent de technologies de pointe alors que des outils classiques seraient potentiellement suffisants et, pour couronner le tout, ils ne leur font pas confiance…

Lloyds teste la chasse quantique aux mules

L'intelligence artificielle a peut-être éclipsé les autres grandes tendances technologiques dans les médias, certaines d'entre elles n'en continuent pas moins à susciter l'intérêt de l'industrie financière. Tel est le cas pour l'informatique quantique, plus discrète car lointaine, mais porteuse d'immenses promesses. Lloyds en fournit un nouvel exemple.

À ce stade de maturité, il est ici encore question, bien sûr, d'une expérimentation, menée en collaboration avec IBM. Ayant plus ou moins raté le virage de l'IA, Big Blue espère en effet reprendre des couleurs avec la prochaine rupture attendue dans l'univers informatique et investit donc massivement dans ces machines futuristes et leurs possibles applications dans les métiers de ses clients historiques, banque en tête.

Le cas de mise en œuvre s'inscrit dans les classiques du genre, à savoir la lutte contre la fraude, où la puissance de calcul statistique est déterminante pour la performance et la précision des résultats. En l'occurrence, le test portait sur l'identification d'une « mule » (personne exécutant des transferts de fonds pour le compte d'un tiers à but de blanchiment), réelle, dont les opérations ont été introduites délibérément au sein d'un jeu de données d'essai, basé sur un vaste historique de transactions anonymisées.

La campagne est évidemment qualifiée de succès par le directeur des opérations de Lloyds, permettant à la fois d'accumuler une expérience précieuse sur les capacités et les modalités d'usage des machines quantiques et de commencer à assembler une équipe internes de spécialistes, qui sera amenée, au fil du temps et des inévitables progrès et évolutions de la technologie, à poursuivre explorations et opportunités.

En aucun cas l'initiative ne prétend à préfigurer d'une industrialisation à courte échéance. Les moyens engagés, entre les collaborateurs aux compétences variées (en physique, mathématiques, ingénierie logicielle…) et les experts d'IBM, sur une durée relativement longue (9 mois), pour une solution dont on sent qu'elle est très ciblée, montre combien la courbe d'apprentissage sera longue et devra être anticipée.

En attendant, il faut souligner l'importance pour les acteurs de la finance (et d'autres) de ne pas tout miser sur l'intelligence artificielle. L'avenir peut aussi s'imaginer avec d'autres avancées fulgurantes, susceptibles de faire appel à des disciplines pourtant considérées désuètes. La faculté de l'informatique quantique d'éliminer les limites des modèles statistiques, présentant l'avantage d'un déterminisme qui échappe aujourd'hui à l'IA, pourrait redonner à la science des données classique une place de premier plan…

La fraude sur la mort

Sujet rarement abordé, bien que chacun d'entre nous soit amené à être concerné un jour, le décès représente une opportunité extraordinaire pour les escrocs de tout poil, qui profitent des progrès de l'intelligence artificielle générative pour démultiplier leur capacité de nuisance. Les banques pourraient-elles offrir un rempart contre cette menace ?

Dans le monde contemporain, les comptes en ligne constituent une composante universelle de l'identité des individus et, dans les domaines les plus sensibles (finance, santé, administration publique…), leur création et leur accès sont soumis à des contrôles stricts, aux méthodes fiables généralisées, afin d'éviter les détournements. Malheureusement, les sites et applications web concernés, conçus exclusivement pour des usagers vivants, se trouvent exposés à tous les dangers face à leur mort.

Même dans les rares cas où une procédure spécifique est définie, les traitements associés reposent souvent sur des interventions humaines faillibles et toujours sur des justificatifs que les technologies disponibles aujourd'hui sont en mesure de falsifier avec un très haut niveau de vraisemblance et une facilité déconcertante. Comme l'approche retenue dans ces circonstances est en général une simple transmission de propriété du compte, une personne malintentionnée peut de la sorte s'en emparer totalement.

En outre, le problème croît exponentiellement quand les services visés sont interconnectés avec d'autres, notamment quand le profil créé sur une plate-forme peut être utilisé pour la connexion à de multiples applications, mises ainsi en danger indépendamment de leur propre politique. Notons également que le risque intervient que la victime soit effectivement décédée ou non, la première hypothèse rendant évidemment encore plus difficile l'authentification de la demande d'accès.

Or cette faiblesse généralisée pourrait se transformer en avantage concurrentiel pour un système de gestion d'identité fédéré tel que celui que les banques françaises essaient de promouvoir actuellement. B.connect se présentant déjà comme un dispositif particulièrement sécurisé grâce à son adossement aux fonctions d'authentification mises en œuvre sur les applications bancaires, il ne resterait plus à ses concepteurs qu'à lui ajouter un mécanisme de gestion du décès apportant des garanties équivalentes.

Les établissements financiers sont déjà confrontés aux situations de décès et elles ont mis en place de longue date les capacités nécessaires à leur prise en charge, dans les règles de l'art et avec toutes les protections nécessaires. Il ne devrait donc pas être très complexe de faire profiter de cette expertise existante les enseignes affiliées à b.connect. Incidemment, l'option pourrait aussi devenir une porte d'entrée pour engager une discussion avec les clients sur leur vision globale de leur succession…

Quand l'IA déraille, les commerçants payent

Pour les marchands, surtout en ligne, la fraude « classique » ne constitue pas le principal poste de coûts post-vente. Les demandes de remboursement non justifiées des clients occupent généralement cette place. Et l'arrivée de l'intelligence artificielle agentique chez les internautes commence à en introduire une nouvelle forme insidieuse.

C'est Chargebacks911, spécialiste américain (et présent en Europe) de la maîtrise de ce que les spécialistes appellent la fraude amicale, qui sonne l'alarme, par la voix de sa fondatrice et directrice générale. Avec la popularité croissante des agents autonomes, il n'est plus question de déclaration tardive d'une carte volée ou d'erreur commise par le vendeur, cas classiques de contestation (légitime ou non), mais de rétractation de la responsabilité : ce n'est pas moi qui ai passé cette commande, c'est mon IA !

Ces réactions sont inévitables car, même quand l'outil croit répondre à la demande de son utilisateur, ce dernier ne découvrira que trop tard qu'il n'a pas spécifié toutes les conditions implicites qu'il applique quand il est lui-même à la manœuvre. Et il se retrouve avec un vêtement moins cher que celui souhaité mais d'une marque qui ne lui plaît pas, un voyage adapté à son calendrier mais hors de ses habitudes de confort, un renouvellement d'abonnement non désiré… qu'il va évidemment vouloir contester.

Parce que les solutions du genre se propagent rapidement parmi les consommateurs, certes plates-formes d'e-commerce appliquent apparemment dès à présent des prix spécifiques sur les transactions pilotées par l'intelligence artificielle, en raison du risque accru de retours susceptible d'être engendré par des achats inconscients et inopportuns – du point de vue de l'humain qui règle la facture – de plus en plus nombreux.

En arrière-plan, se dessine une remise en cause fondamentale du principe élémentaire de la vente en ligne, qui veut que le clic sur le bouton de validation du règlement vaut accord définitif du client. Demain, il faudra introduire des étapes de vérification supplémentaires afin d'éviter des flux massifs de réclamations sur des opérations réalisées à l'insu du porteur de l'instrument de paiement utilisé et qui seront découvertes tardivement, par exemple à la consultation d'un relevé mensuel de carte de crédit.

En pratique, il faudra à la fois mettre en place, a minima, des notifications multiples des actions exécutées par les agents de manière à limiter le danger qu'elles passent inaperçues – des demandes de confirmation seront préférables mais nuisent à l'automatisation promise – et des mécanismes de notarisation des preuves du respect des intentions de la personne (sa requête, les limites qu'elle a fixées, ses exigences d'information…), par son agent IA, puis par le marchand (qui peut aussi utiliser l'IA !). La mise au point de tels dispositifs, standardisés, devient maintenant urgente…

Alloy : après le KYC, le KYB perpétuel

Quelques mois après le lancement de son offre de validation permanente de la connaissance client (particulier), la jeune pousse Alloy dévoile sa déclinaison pour les entreprises. Elle reprend la même recette, avec des contrôles périodiques et des alertes proactives, au service du même besoin de maîtriser l'information dans la durée.

Probablement plus encore que pour le grand public, la vérification des informations détenues sur les organisations commerciales repose sur des procédures essentiellement manuelles – lourdes, coûteuses et sources d’erreurs – qui demandent de surcroît fréquemment de solliciter le client… pour une démarche administrative qui a toutes les chances de les mécontenter. Pourtant, les exigences de gestion des risques de l’industrie financière, comme les réglementations, imposent une vigilance accrue.

Naturellement, il ne s’agit plus seulement de découvrir en profondeur un prospect lors de l’entrée en relation. Il faut impérativement assurer un suivi constant des évolutions qui interviennent tout au long de son existence – ouverture ou fermeture de filiales, changement de dirigeants, création de nouvelles activités… Notons dès maintenant qu’une telle pratique n’est pas utile que dans un cadre de conformité, la connaissance des événements qui l’affectent relève aussi d’une bonne pratique de conseil.

Dans cette perspective, la solution pKYB d’Alloy automatise à la fois les revues périodiques, qui restent nécessaires pour l’actualisation de données peu critiques, et la détection et la prise en compte en temps réel de signaux sensibles, tels que les modifications dans les registres nationaux, l’inscription dans des listes de surveillance… Les algorithmes analysent alors les évolutions, puis les enregistrent si elles s’avèrent bénignes ou émettent une alerte si elles sont susceptibles de requérir une intervention.

Dans cette dernière hypothèse, un deuxième outil est mis à la disposition des utilisateurs, afin de les aider à affiner leur compréhension de la situation et, in fine, à prendre une décision éclairée. Équipés d’un (inévitable) assistant intelligent spécialisé, ils peuvent par exemple explorer le web à la recherche de références complémentaires leur permettant de corroborer les constats établis initialement, ce qui permet aux équipes en charge de ces tâches laborieuses d’économiser un temps précieux.

Le premier argument de séduction d’Alloy réside évidemment dans le surcroît de simplicité et de réactivité qu’apporte son produit dans un service incontournable, que les firmes visées auraient du mal à égaler dans une équation économique viable si elles s’avisaient d’en développer un équivalent en interne. Elle y ajoute, pour les groupes aux implantations multinationales, la capacité qu’elle offre nativement de rationaliser les approches de KYB mises en œuvre au travers de leurs pays d’implantation, au Royaume-Uni et dans toute l’Europe, sans interdire d’éventuelles spécificités locales.

Stoïk récompense la prévention

Face à l'augmentation des coûts de sinistres, les compagnies d'assurance développent progressivement des stratégies de prévention complémentaires de leurs métiers d'origine. Pour la spécialiste des cyber-risques Stoïk, l'introduction ^[PDF] d'une option de protection s'accompagne d'une puissante incitation à l'adoption.

Dans sa démarche, la jeune pousse sélectionne le vecteur le plus important de danger pour ses clientes PME et ETI : le courriel. Son analyse de l'historique des dossiers qu'elle a traités en 2024 lui fournit en effet des statistiques sans appel. La quasi totalité (98%) des fraudes identifiées font intervenir un e-mail dans leur déroulement et plus de la moitié des sinistres enregistrés concernent celles-ci ou une attaque sur la messagerie elle-même, pour un montant moyen de dommages de près de 55 000 euros.

Possédant son propre centre de gestion des incidents (CERT), Stoïk est en bonne position pour comprendre les mécanismes toujours plus sophistiqués mis en œuvre par les criminels pour berner leurs victimes. Elle a donc conçu et développé un produit de détection propriétaire, mettant en œuvre à la fois des règles fixes et un moteur d'apprentissage automatique afin de repérer divers signaux d'alerte dans les messages reçus qui, le cas échéant, entraînent une mise en quarantaine ou un avertissement.

L'installation se veut extrêmement simple (uniquement sur les plates-formes Microsoft 365 et Google Workspace, cependant) : en 5 minutes, l'outil est configuré et commence à vérifier les contenus entrants, avec un niveau de discernement que n'atteignent pas les antivirus classiques. La startup promet qu'elle ne conserve pas les données exploitées, sauf en cas de malversation avérée, mais il faut tout de même noter que les réponses de ses robots sont validées par des humains afin d'éviter les fausses alarmes.

Aussi attractive soit sa solution, Stoïk sait que les responsables informatiques des petites et moyennes entreprises sont souvent débordés et qu'ils ne placeront pas tous la priorité désirée sur sa mise en œuvre. Alors elle recourt à un argument qui a toutes les chances de séduire leurs dirigeants (et qui démontre sa confiance en sa technologie, qu'elle estime capable de réduire significativement sa sinistralité) : elle quadruple le plafond de couverture du risque de fraude (à hauteur d'un million d'euros au maximum) de toutes les structures ayant configuré son « Email Security ».

L'initiative de Stoïk constitue un parfait exemple d'intégration de la prévention avec une logique de convergence d'intérêts de toutes les parties prenantes, clé essentielle de succès. Outre sa volonté, comme tout assureur, de maîtriser son portefeuille en cherchant à contenir le principal danger qui menace ses clients, elle le fait avec un produit pensé pour les personnes qui vont le déployer (via une procédure simple) et en donnant à son interlocuteur commercial une autre raison impérieuse de l'implémenter que le seul surcroît de sécurité et de tranquillité d'esprit qu'il affirme apporter.

Une protection contre la fraude par téléphone

Spécialiste historique de l'identification de l'interlocuteur lors d'appels téléphoniques, Truecaller veut maintenant étendre son champ d'action à la protection contre les arnaques, dont on sait qu'elles constituent un des fléaux contemporains. Au-delà du seul volet technologique, elle introduit une dimension familiale séduisante dans sa vision.

Le principe de l'offre s'inscrit dans une logique d'extension des mécanismes relativement classiques de filtrage des numéros indésirables, correspondant en général à des pratiques de démarchage commercial abusif ou à des réseaux d'escroquerie. Il est donc d'abord question d'un outil avec lequel l'utilisateur définit, entre autres, le niveau de restriction souhaité, gère ses propres listes noires et détermine ses préférences de traitement des sollicitations entrant dans les critères d'exclusion fixés.

La particularité avec Family Protection est de confier à un de ses membres le pilotage de la défense pour l'ensemble du foyer. L'abonnement permet ainsi de couvrir jusqu'à cinq personnes, dont celle qui est considérée comme possédant la meilleure maturité numérique est désignée comme administrateur et est alors chargée de configurer la solution pour ses proches. Il ou elle dispose également d'une faculté de support à distance en cas de besoin, par exemple pour lever un doute sur un événement.

Cerise sur le gâteau, mais uniquement pour les adeptes du système Android (en espérant que l'iPhone puisse supporter la même fonction prochainement), le responsable désigné possède une capacité d'intervention en temps réel. S'il le spécifie, il peut recevoir une notification quand un de ses affiliés reçoit un appel signalé par les règles qu'il a mises en place et mettre fin (brutalement) à la conversation si elle a tout de même été engagée… ou rassurer le destinataire avec un message amical.

Le service n'est initialement déployé que dans quelques pays – Suède, Chili, Malaisie, Kenya – et son extension se déroulera progressivement, dans des régions clés, notamment en Inde, à partir du premier trimestre 2026, selon les résultats obtenus et les réactions des premiers utilisateurs. Précisons qu'il est gratuit mais qu'une version payante, Premium Family, ajoute quelques options complémentaires (essentiellement sur la lutte contre le spam) et, surtout, procure une expérience sans publicité.

Pour les institutions financières, parmi d'autres entreprises sensibles, qui nous avaient un temps habitué à équiper leurs clients de logiciels antivirus afin de sécuriser leur navigation en ligne, la solution de Truecaller pourrait constituer un nouveau cadeau utile à leur offrir, bénéfique pour tous. L'opportunité de collaboration mériterait d'être explorée alors que, face à une menace désormais presque hors de contrôle, l'industrie ne parvient guère à organiser sa défense… en dehors d'initiatives de sensibilisation.

La lutte contre la fraude financée par les saisies

À travers une collaboration impliquant le ministère de l'intérieur, les forces de police et plusieurs associations, Lloyds Banking Group a mis en place un dispositif original de financement – à hauteur de 15 millions de livres en 4 ans – de la prévention contre la fraude par les saisies réalisées lors des démantèlements d'opérations criminelles.

Le mécanisme mis en place n'est pas entièrement clair. En particulier, sa présentation ne précise pas dans quelles conditions légales la banque est en mesure de capturer elle-même les fonds gelés issus des comptes d'escrocs repérés par ses équipes spécialisées. Toujours est-il qu'elle affirme être la seule au Royaume-Uni à affecter les sommes récupérées à diverses initiatives importantes pour la protection du public, certaines d'ordre pédagogique, d'autres consacrées directement à la répression.

Une part de l'argent est ainsi investie dans une unité policière dédiée aux paiements (baptisée DCPCU), créée en 2001 à l'initiative conjointe des autorités et de l'organisation représentative du secteur financier britannique, particulièrement active dans la bataille contre la fraude. Les autres bénéficiaires comprennent des entités telles que Age UK, qui offre des sessions de sensibilisation aux seniors, ou We Fight Fraud et son réseau d'un millier de travailleurs de l'éducation œuvrant dans 155 universités.

Le principe ressemble à une évidence : les sommes retrouvées dans les affaires d'escroquerie bancaire qui ne peuvent être restituées aux victimes devraient logiquement toujours servir à la lutte contre la délinquance, d'autant que celle-ci est extrêmement coûteuse, que ce soit en termes d'éducation des citoyens, de mobilisation des ressources défensives, voire de dédommagements. La démarche de Lloyds pourrait inspirer à la fois les acteurs de l'industrie, quand ils sont en position d'arbitrage, et les pouvoirs publics, si les règles d'utilisation des saisies sont inadaptées à ce modèle.

La géolocalisation contre la fraude

Le recours à la géolocalisation dans la lutte contre la fraude, en particulier avec la banque mobile, fait partie de ces idées anciennes trop peu exploitées. Réinterprétant à sa manière une option introduite l'année dernière par Monzo, Revolut dévoile un système de protection dédié aux cas de plus en plus fréquents de vol de téléphone.

Les deux variantes reposent sur les mêmes prémices, à savoir que les consommateurs ont tendance à émettre leurs virements depuis leur domicile ou, à tout le moins, depuis quelques lieux habituels (qui peuvent aussi comprendre leur site de travail ou une résidence secondaire, par exemple). Fort de ce constat, les deux établissements proposent à leurs clients d'enregistrer ces zones géographiques dans leur application bancaire, de manière à restreindre les opérations exécutées en dehors de celles-ci.

En revanche, alors que Monzo en faisait une clé de verrouillage absolue, Revolut choisit d'ajouter des contraintes supplémentaires lorsqu'une transaction est initiée hors limites, sachant que le mécanisme n'entre en jeu que pour les demandes dont le montant dépasse un seuil également spécifié par le client. Plus précisément, une authentification forte (biométrique) est alors systématiquement exigée et le transfert est mis en attente pendant une heure, ce qui laisse le temps de réagir en cas d'incident.

Le dispositif « Street Mode » répond directement à une catégorie de malversations précise, en forte progression, surtout au Royaume-Uni (multiplication par cinq depuis 2021), où il est déployé en priorité (ainsi que sur le continent européen). Les vols de smartphone s'accompagnent en effet maintenant souvent d'un déverrouillage sous coercition destiné à permettre aux agresseurs de prendre le contrôle des applications bancaires installées et de réaliser avec elles des opérations à leur profit.

D'un point de vue général, la démarche de Revolut est bien intentionnée et paraît adaptée à une menace réelle. Je m'interroge pourtant sur la multiplication des facteurs de contrôle dans l'utilisation des services financiers. Le nombre de paramètres à maîtriser afin d'assurer la sécurité de son argent devient progressivement excessif, jusqu'à, peut-être, s'avérer contre-productif. Ne serait-il pas plutôt possible d'imaginer des solutions invisibles, apprenant du comportement de chaque utilisateur individuel ?

L'Europe amende la DSP2

En attendant l'entrée en vigueur de sa troisième itération, qui avance péniblement dans son parcours législatif, la deuxième directive européenne des services de paiement (DSP2) se voit amendée par le Conseil et le Parlement, dans une perspective qui laisse totalement de côté l'innovation, quoi qu'en dise la communication officielle…

Les nouveautés répondent naturellement aux préoccupations du moment, la progression de la fraude figurant en tête, sans surprise. Selon toute vraisemblance, elles vont cependant mécontenter toutes les parties prenantes – celles dont on a l'habitude d'entendre les récriminations et d'autres qui font déjà entendre leur voix – à la seule exception des consommateurs dont la protection est encore renforcée.

En résumé, aux termes du texte sur lequel se sont mises d'accord les institutions, les prestataires de services de paiement (PSP) deviendront presque automatiquement responsables des pertes subies par leurs utilisateurs. Il devront ainsi les rembourser dès qu'un mouvement est initié ou modifié par un escroc ainsi qu'en cas d'usurpation d'identité, quand un tiers se fait passer pour un représentant de l'établissement, pour peu que la victime l'ait informé et qu'elle ait déposé une déclaration à la police.

En parallèle, des charges supplémentaires leur incombent, destinées à limiter les risques préventivement. Outre le contrôle des titulaires de compte, l'authentification forte et l'évaluation des risques, imposés par des réglementations existantes, ils auront l'obligation de proposer à leurs clients des fonctions de plafonnement des transferts et de suspendre les transactions suspectes. Seule échappatoire, ils pourront se retourner contre les « plates-formes » qui relaient des fraudes précédemment signalées.

Dans un registre différent, qui, bien que légitime, risque d'alourdir certains traitements, l'information des consommateurs devra être enrichie, plus particulièrement sur l'ensemble des frais encourus pour un règlement, avant son exécution. L'exigence s'imposerait également aux distributeurs automatiques – dont on sait combien ils sont propices à des abus sur les retraits en devises étrangères –, les taux de change appliqués étant d'ailleurs explicitement mentionnés par le législateur.

Pour le reste, on se contentera de vœux pieux, sans aucune esquisse de leur mise en œuvre opérationnelle. Il est donc question, d'une part, d'interdire la discrimination contre les opérateurs agréés de l'« open banking », alors qu'il semblerait que certaines banques soient tentées de limiter les accès à leurs systèmes. D'autre part, surgit une promesse de facilitation des procédures d'habilitation des entreprises de paiement, mais assortie de toutes les contraintes traditionnelles, ce qui la rend difficilement crédible.

En synthèse, voilà un texte qui s'efforce de répondre à des urgences – dont beaucoup causées par des déficiences de l'industrie – mais semble avoir été assemblé à la hâte, sans nécessairement s'interroger en profondeur sur les conséquences des mesures envisagées. Le résultat probable à en attendre sera une vague de projets de mise en conformité… qui seront financés au détriment de l'innovation, encore une fois.