6 - Temps de lecture : 
Nous avons rencontré Ilona Balsiukaitė, responsable de la lutte contre la fraude chez ConnectPay, pour discuter des subtilités et des différentes formes de fraude auxquelles les fintechs sont confrontées au quotidien. Au cours de cet entretien approfondi, nous passons en revue les principaux types de comportements frauduleux, les moyens mis en œuvre par les fintechs pour y faire face et leurs lacunes, ainsi que les problèmes de longue date liés à la sensibilisation, et ce qu'il faut attendre de la directive PSD3 et d'autres évolutions à court et moyen terme.
Quels sont les types de fraude les plus courants dont les fintechs doivent se méfier ? Comment pourraient-elles les combattre ?
Il existe de nombreux types de fraude, tels que l'utilisation d'une marque sans autorisation, la tentative de nuire à sa réputation, le détournement du site web à des fins non autorisées ou le vol de fonds. Les cas concrets sont très variés. Un exemple courant est la fraude au président, dans laquelle un fraudeur usurpe l’identité du dirigeant concerné. Par ailleurs, on peut citer les cas de fausses factures et de détournement de communications, où un fraudeur s’interpose dans le processus de paiement destiné à un fournisseur et redirige les fonds vers son propre compte.
Même lorsque la fraude est commise par l'intermédiaire de banques, les fintechs peuvent parfois être mises en cause, à condition qu'elles aient été impliquées, à un moment ou à un autre, de manière indirecte dans les transactions en question. En effet, une fintech peut n’avoir connaissance que d’une partie de la transaction et se retrouver ainsi, à son insu, complice d’une fraude. Il est donc essentiel de mettre en place un protocole rigoureux destiné à empêcher l’intégration de « mules financières ».
Les formes de fraude les plus répandues aujourd'hui sont le phishing et, plus encore, le smishing (phishing par SMS), qui touchent principalement les banques et autres établissements financiers. Les fintechs, en revanche, sont un peu moins souvent ciblées en raison de leur moindre visibilité sur le marché. Les grandes fintechs sont toutefois elles aussi durement touchées.
De plus, il arrive que les clients eux-mêmes se révèlent être des fraudeurs, ce qui complique considérablement la situation. Il est en effet très difficile d’identifier et d’évaluer les intentions d’un client lors d’une demande d’ouverture de compte. Il arrive parfois qu’un client en apparence tout à fait normal, ne présentant aucun signe de fraude, se révèle être un criminel. Il existe également des cas où des fraudeurs ouvrent délibérément des comptes auprès de fintechs, estimant que la procédure d’ouverture y est plus simple que dans les banques traditionnelles. Pour prévenir et gérer ce type de situation, il est nécessaire de mettre en place des procédures rigoureuses de connaissance du client (KYC) et d’assurer une surveillance continue du comportement des clients.
En ce qui concerne les clients victimes d’escroquerie, la plupart des stratagèmes utilisés relèvent de l’ingénierie sociale, tout comme pour les deux premières catégories. Par exemple, on commence désormais à voir des fraudeurs utiliser habilement les « deep fakes » et, plus largement, l’IA, mais il ne s’agit là que de nouveaux outils mis au service d’une stratégie qui a fait ses preuves depuis longtemps : convaincre les gens d’effectuer une transaction de leur plein gré. Du point de vue des fintechs, il est très difficile de distinguer les transactions authentiques de celles qui ont été effectuées sous l’influence d’un fraudeur.
On parle beaucoup de fraude ces derniers temps, et on pourrait donc penser que la plupart des gens comprennent comment elle fonctionne – que c'est devenu une évidence. Mais ce n'est tout simplement pas le cas. Les anciennes stratégies restent efficaces car les gens font encore preuve d’une grande naïveté face aux comportements frauduleux. Et une fois leur confiance gagnée, l’outil spécifique utilisé par le fraudeur n’a plus qu’une importance purement secondaire.
C'est pourquoi cette responsabilité ne doit pas incomber uniquement aux fintechs, mais à l'ensemble des établissements financiers en général. Nous devons mieux sensibiliser nos clients, et cette sensibilisation doit être plus claire : il faut par exemple leur faire bien comprendre que divulguer des informations sensibles en ligne revient exactement à donner la clé de sa maison à un inconnu.
Parlez-nous un peu des dernières astuces utilisées par les fraudeurs les plus expérimentés.
Eh bien, il existe désormais ce qu’on appelle « Fraud GPT ». Basé sur une version améliorée de l’original, cet outil permet aux fraudeurs d’échanger librement des informations via le darknet. Et cela s’inscrit, à son tour, dans un phénomène plus large que l’on pourrait qualifier de « fraude en tant que service ». Aussi étrange que cela puisse paraître, les fraudeurs ont désormais constitué leur propre quasi-communauté dispersée, au sein de laquelle des données précieuses sur les cibles et des méthodes opérationnelles s’échangent contre de l’argent.
Il s'agit là d'une évolution assez inquiétante, qui permet aux fraudeurs d'agir de concert. Il va sans dire qu'ils ne sont pas soumis au RGPD ni à aucune autre législation visant à réglementer l'échange de données. Cependant, ceux qui sont chargés de lutter contre ce type de comportement ont, dans une certaine mesure, les mains liées par les obligations réglementaires.
Heureusement, cette « lune de miel » réglementaire, qui a permis la généralisation de ces comportements criminels, pourrait bien toucher à sa fin. La future directive PSD3 contient un volet visant à encourager l’échange de données et de savoir-faire entre les entreprises et les institutions afin de lutter contre la fraude et de la prévenir. Elle prévoit même un mécanisme permettant à ces échanges de données de se dérouler sans heurts, en toute sécurité et sans porter atteinte à la vie privée de quiconque.
L'éducation doit-elle être adaptée aux différentes cohortes démographiques et autres, ou doit-elle être uniforme pour tous ?
Je pense que cela devrait varier. Dans notre cas, cela dépend moins des tranches d'âge que du type de clientèle : entreprises ou particuliers.
La fraude est également, dans une certaine mesure, stigmatisée, car les personnes qui en sont victimes ont souvent honte d’avoir été trompées de cette manière. Elles ne se rendent pas toujours compte que la fraude touche tout le monde – cela n’a rien à voir avec l’intelligence. Pour la combattre, nous devons trouver des moyens de communiquer avec les gens sans que cela ressemble à du spam inutile ou à des informations qu’ils sont censés déjà posséder.
Comment les fintechs devraient-elles aborder la question épineuse de la délimitation des responsabilités lorsqu'un client a été victime d'une fraude ?
La première chose à faire, et la plus évidente, est d’éviter de tirer des conclusions hâtives. En cas de fraude, il est important de vous demander si vous avez vraiment fait tout ce qui était en votre pouvoir pour protéger le client, et de recueillir autant d’informations que possible. Cela vous permettra de lui fournir une explication détaillée de la manière dont cela s’est produit, ce qui, à long terme, profitera à votre entreprise, car vous acquerrez une meilleure compréhension des méthodes utilisées par les fraudeurs et des failles qui pourraient exister dans votre propre système.
Une fois ces informations en votre possession, vous devez tout mettre en œuvre pour que le client récupère les fonds perdus. Le temps est ici un facteur essentiel. Si vous agissez rapidement, vos chances de réussite sont bien plus grandes. Par exemple, les fonds sont peut-être encore en cours de transfert entre différentes banques et il est donc possible d’empêcher qu’ils ne soient crédités sur le compte du fraudeur. Si vous attendez une semaine ou un mois, cet argent aura probablement déjà été dépensé.
