En Australie, la fraude à la carte bancaire se manifeste souvent lorsque des acteurs frauduleux utilisent les informations d'une carte bancaire qu'ils ne possèdent pas pour acheter quelque chose en ligne. La fraude sans présentation de la carte bancaire (CNP), qui n'implique aucune carte bancaire physique, a représenté 90 % des fraudes aux cartes bancaires émises en Australie en 2024. Les données de carte bancaire sont généralement compromises en raison de violations de données et d'attaques de hameçonnage. Pour les entreprises australiennes qui vendent en ligne, le risque de fraude est le plus élevé au moment du paiement.

Nous aborderons ci-dessous la façon dont la fraude à la carte bancaire se manifeste dans les transactions de retail en ligne en Australie, les signaux à surveiller, ainsi que la différence entre la prévention de la fraude et la protection contre la fraude.

L’essentiel à retenir

• la fraude CNP représente la majeure partie de la fraude à la carte bancaire qui se produit en Australie et provient fréquemment de violations de données plutôt que d'attaques ciblant des entreprises individuelles ;

• La prévention et la protection ont des objectifs différents, et les entreprises doivent être proactives pour réduire ce type de vol.

• des outils tels que 3D Secure 2 (3DS2) offrent aux entreprises des moyens de détecter la fraude sans imposer de retards inutiles aux clients légitimes.

En quoi consiste la détection de la fraude à la carte bancaire en Australie ?

La fraude à la carte bancaire se produit lorsqu'un acteur frauduleux utilise les informations d'une carte qu'il ne possède pas. Généralement, c'est pour effectuer un achat, mais cela peut aussi être pour contracter une avance de fonds, ouvrir une nouvelle ligne de crédit ou obtenir un autre avantage financier. En tant que propriétaire d'entreprise, les outils de détection peuvent vous aider à repérer ces tentatives de fraude avant qu'elles ne se transforment en perte réelle.

Comment la fraude à la carte bancaire se produit-elle dans le retail en ligne australien ?

En Australie, la fraude par carte non présente (CNP) commence fréquemment lorsque des informations de carte sont exposées lors d'une violation de données. Ces informations sont vendues ou échangées à des acteurs frauduleux, qui tentent souvent de les utiliser lors de paiements en ligne. Les tactiques utilisées par les acteurs frauduleux contre les vitrines en ligne australiennes ont tendance à suivre certains modèles.

Test de cartes bancaires

Avec le test de cartes bancaires, les acteurs malveillants effectuent de nombreuses petites transactions auprès de plusieurs entreprises pour découvrir quels numéros de carte volés fonctionnent encore avant de tenter un achat plus important. Cela peut se traduire par une augmentation soudaine de petites transactions échouées ou approuvées provenant d'adresses de protocole Internet (IP) non liées.

Piratage du compte

Une prise de contrôle de compte se produit lorsqu'un acteur frauduleux pénètre dans le compte existant d'un client, généralement grâce à un mot de passe capturé lors d'une autre violation, et utilise les informations de paiement sauvegardées ou les remplace par une carte volée. Cela se produit le plus souvent sur les sites où les clients enregistrent leurs cartes pour des achats répétés.

Fraude amicale

Lorsqu'un titulaire de la carte effectue un achat réel, puis conteste le paiement auprès de l'émetteur et affirme ne l'avoir jamais autorisé, on parle de « fraude amicale ». Cette forme de fraude a tendance à être plus difficile à repérer au moment du paiement, car la transaction elle-même semble tout à fait ordinaire.

Fraude par triangulation

Avec la fraude par triangulation, les acteurs malveillants créent une fausse vitrine, collectent les commandes et les paiements de vrais clients, puis utilisent les informations de carte volées à un tiers pour exécuter ces commandes par l'intermédiaire d'une entreprise légitime différente. Cette entreprise n'a souvent aucun lien direct avec la victime (c'est-à-dire le propriétaire de la carte volée), mais fait les frais de l'escroquerie.

Quels sont les signes avant-coureurs d'une transaction frauduleuse par carte bancaire ?

Aucun signal unique ne permet d'indiquer qu'une transaction est frauduleuse. Certains scénarios méritent cependant d'être étudiés :

• incohérences entre facturation et livraison : une adresse de facturation en Australie associée à une adresse de livraison à l'étranger, ou une adresse de livraison correspondant à un transitaire plutôt qu'à un domicile ou une entreprise, constitue un signe avant-coureur fréquent ;

• pics d'activité : un nombre trop élevé de transactions sur la même carte bancaire, le même appareil ou la même adresse IP sur une courte période peut poser problème, le comportement normal d'un client pouvant varier, des seuils appropriés peuvent éviter que des clients légitimes ne soient signalés comme frauduleux ;

• composition de commande inhabituelle : une commande importante d'articles à forte valeur de revente (par exemple, des appareils électroniques ou des cartes cadeaux), en particulier s'il s'agit d'un nouveau client sans historique d'achats, peut constituer une tentative de fraude ;

• anomalies liées à l'heure : des transactions effectuées à des heures qui ne correspondent pas aux habitudes d'achat typiques du lieu déclaré par le client peuvent signifier qu'un acteur malveillant opère depuis un fuseau horaire différent en utilisant l'identité d'une autre personne ;

• incohérences liées à l'adresse IP et à l'appareil : l'adresse IP d'un client peut être géolocalisée dans un pays éloigné de son adresse de facturation, ou une prise d'empreinte d'appareil peut être liée à des commandes frauduleuses antérieures ;

• incohérences du service de vérification d'adresse (AVS) et du cryptogramme visuel (CVV) : bien que l'échec d'un code CVV ou d'une vérification AVS ne confirme pas à lui seul la fraude, il est utile de le prendre en compte au regard d'autres détails de la transaction.

En quoi la prévention de la fraude à la carte bancaire et la protection contre la fraude diffèrent-elles ?

Bien que toutes deux soient des éléments clés de la stratégie de sécurité d'une entreprise, la prévention de la fraude à la carte bancaire et la protection contre la fraude diffèrent quant au moment où elles interviennent : avant ou après que la fraude ne se produise.

La prévention de la fraude à la carte bancaire est proactive

La prévention de la fraude à la carte bancaire couvre toutes les mesures prises avant qu'une transaction n'aboutisse, notamment la vérification de l'identité du client, la comparaison des informations de carte avec des modèles de fraude connus, et la décision d'approuver, d'émettre un refus de paiement ou de signaler la commande pour examen. Les vérifications AVS et CVV, la prise d'empreinte d'appareil et l'évaluation des risques à l'aide du machine learning (ML) entrent toutes dans cette catégorie.

La protection contre la fraude à la carte bancaire est réactive

La protection contre la fraude fait généralement référence à ce qui se passe une fois que la fraude a abouti, qu'il s'agisse d'un litige pour rétrofacturation, d'un remboursement ou d'une tentative de récupération de fonds auprès d'un réseau de cartes. Même les entreprises disposant de solides mesures de prévention sont confrontées à des transactions contestées. C'est pourquoi il est important de disposer d'un processus clair pour contester les rétrofacturations, ce qui inclut la collecte des détails de transaction pertinents et la soumission d'un litige avant la date limite de réponse du réseau de cartes. Un processus défini permet de voir plus facilement combien la fraude coûte à l'entreprise.

Comment 3D Secure 2 (3DS2) aide-t-il à prévenir la fraude à la carte bancaire en Australie ?

3DS2 est un outil d'authentification mondial que les entreprises australiennes peuvent utiliser pour faciliter la prévention de la fraude. Il ajoute une étape de vérification aux transactions en ligne par carte bancaire. Cette étape se présente parfois sous la forme d'une invite de l'émetteur de la carte demandant au titulaire de la carte de confirmer l'achat par le biais de son application bancaire, d'un code à usage unique ou d'une vérification biométrique (par exemple, la reconnaissance d'empreinte d'identification).

La version 2 de 3D Secure offre davantage de garanties pour protéger les entreprises. Elle partage plus de données de transaction avec l'émetteur de la carte en arrière-plan, telles que les informations sur l'appareil, l'historique des transactions et les informations de facturation. Grâce à ce contexte supplémentaire, l'émetteur peut approuver de nombreuses transactions sans avoir à solliciter le client. Seules les transactions à haut risque font apparaître une invite d'authentification. En pratique, les entreprises qui utilisent 3DS2 bénéficient d'une authentification plus forte sur les transactions qui le nécessitent, tandis que les clients présentant un faible risque ne subissent aucune interruption.

Ce protocole entraîne également un transfert de responsabilité. Lorsqu'une entreprise effectue une transaction via 3DS2 et que l'émetteur l'authentifie, la responsabilité de certaines rétrofacturations liées à la fraude passe de l'entreprise à l'émetteur. Les entreprises australiennes qui vendent des biens de grande valeur, ou des biens que les acteurs malveillants ciblent pour leur valeur de revente, peuvent trouver ce compromis intéressant (même si le temps nécessaire au paiement augmente légèrement).

Comment les entreprises australiennes doivent-elles évaluer leurs défenses contre la fraude à la carte bancaire ?

Il n'y a pas de formule fixe pour déterminer le niveau de prévention de la fraude dont votre entreprise a besoin. Cela dépend de la valeur moyenne de vos commandes, du type de biens que vous vendez, de l'attrait de ces biens pour la revente et du niveau de friction que votre entreprise peut tolérer au moment du paiement sans réduire considérablement les ventes.

Il est important d'examiner vos indicateurs. Le taux de rétrofacturation, le taux de refus de paiement et le ratio des commandes examinées manuellement par rapport au nombre total de commandes peuvent vous aider à déterminer si les mesures de protection actuelles jouent en votre faveur. Un taux de refus de paiement élevé associé à un faible taux de rétrofacturation pourrait signifier que des clients légitimes sont bloqués sans raison valable. Un faible taux de refus de paiement associé à un taux de rétrofacturation en hausse suggère que des acteurs frauduleux parviennent à passer.

À partir de là, il s'agit d'effectuer des ajustements spécifiques : vous pouvez abaisser ou relever vos seuils de risque, décider des types de commandes qui justifient une authentification 3DS2 et modifier le type de preuve que vous fournissez aux réseaux de cartes en fonction des litiges pour rétrofacturation qui ont abouti.

Comment Stripe Radar peut vous aider

Stripe Radar permet de détecter la fraude et de stimuler la croissance, à l'aide d'une IA entraînée sur les données du réseau mondial de Stripe. Radar aide à protéger votre entreprise contre la fraude tout au long du cycle de vie du client avant qu'elle n'affecte vos résultats, tout en vous aidant à approuver un plus grand nombre de clients et de paiements légitimes.

Radar peut aider votre entreprise à :

• prévenir les pertes liées à la fraude : l'IA de Radar s'appuie sur plus de 1,9 billion de dollars de transactions annuelles sur le réseau mondial de Stripe, ce qui l'aide à identifier et à bloquer les modèles de fraude que les entreprises individuelles pourraient ne pas repérer par elles-mêmes ;

• unifier la protection face à l'évolution des attaques frauduleuses : Radar rassemble la protection contre la fraude aux transactions, la fraude aux comptes et les abus de clients en une seule solution, vous offrant ainsi une protection unifiée contre les principaux types de fraude ;

• S'adapter à l'évolution de la fraude : Radar s'adapte en permanence à l'évolution des modèles de fraude, des abus de première partie aux transactions impliquant des agents autonomes, pour aider à protéger votre entreprise contre les menaces émergentes.

• fonctionner avec votre pile technologique existante : utilisez Radar avec les paiements Stripe sans aucune intégration requise, ou accédez à l'intelligence de Radar par le biais d'API programmables, que vous traitiez ou non des paiements sur Stripe.

En savoir plus sur Stripe Radar, ou démarrez dès aujourd’hui.

FAQ sur la fraude à la carte bancaire en Australie