La fraude aux paiements prend de nombreuses formes et son impact financier est considérable. Les pertes des entreprises liées à la fraude aux paiements en ligne devraient dépasser 362 milliards de dollars à l’échelle mondiale d’ici 2028.

Gérer efficacement la fraude aux paiements consiste à mettre en place des systèmes capables de détecter et de bloquer les attaques sans créer un niveau de friction tel qu’il détourne la clientèle légitime. Cela inclut des contrôles multicouches, des mécanismes de détection ajustés et des boucles de rétroaction permettant d’améliorer la précision au fil du temps.

Ci-dessous, nous verrons comment fonctionne la détection de la fraude, quelles stratégies de prévention permettent de réduire l’exposition, ainsi que les tendances en matière de fraude aux paiements que les entreprises doivent connaître.

Points clés

• Une gestion efficace de la fraude associe des systèmes de détection basés sur des règles et le machine learning. Cette combinaison permet d’identifier à la fois les schémas d’attaque connus et de nouvelles techniques que des règles statiques ne permettraient pas de détecter.

• À mesure que le volume de transactions augmente, l’automatisation et les boucles de rétroaction deviennent de plus en plus fondamentales dans les opérations de lutte contre la fraude. La vérification manuelle est réservée aux cas réellement ambigus.

• Les outils intégrés aux prestataires de paiement, aux plateformes tierces et aux systèmes internes répondent chacun à des profils d’entreprise différents. Le bon choix dépend du volume de transactions, des ressources internes et du niveau global d’exposition à la fraude.

Qu’est-ce que la gestion de la fraude aux paiements ?

La gestion de la fraude aux paiements est un ensemble de stratégies et de systèmes utilisés par les entreprises pour détecter, prévenir et traiter les transactions frauduleuses. Dans les environnements de paiement numérique, la fraude implique souvent l’utilisation de données d’identification volées, la manipulation de signaux d’identité ou encore l’exploitation abusive de processus de litige légitimes.

Voici quatre catégories courantes de fraude pour les entreprises qui traitent des paiements en ligne :

• Fraude à la carte bancaire : ce type de fraude se produit lorsqu’une personne utilise des informations de carte volées pour effectuer des achats non autorisés. L’entreprise expédie les biens ou fournit le service, puis fait face à une rétrofacturation lorsque le véritable titulaire de la carte s’en aperçoit.

• Test de cartes bancaires : ce type de fraude correspond à une attaque en volume. Des criminels ayant obtenu des listes de numéros de cartes volés effectuent des dizaines ou des centaines de tentatives d’autorisation de faible montant sur une même page de paiement pour identifier les cartes encore actives. Les entreprises supportent les frais d’autorisation. Une attaque suffisamment importante peut faire grimper les taux de refus de paiement au point de nuire à la relation de l’entreprise avec son acquéreur.

• Fraude par prise de contrôle de compte (ATO) : dans ce type de fraude, un attaquant prend le contrôle d’un compte client légitime et utilise les moyens de paiement enregistrés pour effectuer des achats. Comme la transaction provient d’un compte connu avec un historique de confiance, des règles simples ne détectent souvent pas une tentative de prise de contrôle de compte.

• Fraude amicale : il s’agit de litiges initiés par de véritables titulaires de carte ayant bien reçu leur commande, mais qui déclarent le contraire pour obtenir un remboursement sans retourner l’article. L’impact pour l’entreprise est similaire à celui de la fraude à la carte bancaire, mais la différence réside dans l’identité de la personne qui réalise la fraude.

Comment la fraude aux paiements est-elle détectée ?

La détection intervient à plusieurs étapes du cycle de vie de la transaction : avant l’autorisation, lors de l’autorisation et après le règlement. De nombreux systèmes de gestion de la fraude combinent plusieurs méthodes pour pouvoir couvrir différents types d’attaques.

Il existe deux principaux types de détection :

• Détection basée sur des règles : des règles fixes et dynamiques signalent les transactions correspondant à des mécanismes de fraude connus (par exemple : incohérence entre le pays de facturation et l’adresse IP, carte bancaire utilisée plus de cinq fois en une heure, ou plage de numéros d’identification bancaire (BIN) présentant historiquement un taux de fraude élevé). Ces règles s’exécutent instantanément et offrent un contrôle direct, mais elles sont rigides. Les techniques de fraude évoluent plus vite que la mise à jour manuelle des règles, et des règles trop larges peuvent bloquer des clients légitimes.

• Détection par machine learning (ML) : les modèles de machine learning évaluent simultanément des centaines de signaux pour produire un score de risque pour chaque transaction. Contrairement aux règles statiques, ces modèles s’actualisent en continu au contact de nouvelles données, ce qui leur permet de s’adapter lorsque les techniques de fraude évoluent.

De nombreux systèmes de production de lutte contre la fraude combinent les deux approches. Les règles traitent les cas évidents, tandis que le machine learning gère les cas intermédiaires ambigus, dans lesquels il n’y a qu’une suspicion de fraude. Leur utilisation conjointe améliore la précision et permet d’appliquer différents seuils selon le niveau de risque.

Quelles stratégies de prévention permettent de réduire l’exposition à la fraude aux paiements ?

La prévention empêche la fraude avant qu’elle ne se produise. La détection et la prévention fonctionnent de manière optimale en tant que couches complémentaires, chacune intervenant à un moment différent du parcours de transaction.

Les tactiques de prévention de la fraude incluent :

• Contrôles préalables aux transactions : des limites de vélocité sur les tentatives de carte par session, des CAPTCHAS, la prise d’empreinte d’appareil lors de la création de comptes, ainsi que la vérification de l’adresse e-mail au moment du paiement permettent de réduire l’exposition avant même qu’une transaction ait lieu. Si ces contrôles sont trop permissifs, la fraude peut avoir lieu. S’ils sont trop stricts, des clients légitimes peuvent être bloqués.

• 3D Secure (3DS) : lorsqu’une transaction est authentifiée via 3DS et qu’elle fait ensuite l’objet d’un litige, la responsabilité de la rétrofacturation est transférée à l’émetteur de la carte plutôt qu’à votre entreprise. Il est préférable d’appliquer ce système de manière sélective plutôt que de manière systématique, car il ajoute des étapes au parcours de paiement, ce qui peut réduire la conversion sur les transactions à faible risque.

• Surveillance consécutive à l’autorisation : l’analyse des transactions après leur approbation, mais avant l’exécution de la commande, offre une fenêtre permettant d’annuler les commandes suspectes. Cette approche est particulièrement pertinente pour les biens physiques à forte valeur.

• Gestion des rétrofacturations : la contestation des rétrofacturations frauduleuses à l’aide de preuves a un impact direct sur votre taux de rétrofacturation et sur votre relation avec votre acquéreur. Les entreprises dont les taux de rétrofacturation dépassent les seuils fixés par les émetteurs s’exposent à des frais d’interchange plus élevés ou à des programmes de surveillance de la fraude. L’enjeu est donc autant financier qu’opérationnel.

## Quelles tendances en matière de fraude aux paiements les entreprises doivent-elles surveiller ?

Les mécanismes de fraude évoluent constamment. Voici quelques-unes des dernières tendances en matière de fraude aux paiements qui touchent les entreprises :

• Fraude sur les transactions sans présentation de la carte (CNP) : comme les transactions en ligne ne nécessitent pas la présence physique d’une carte, les numéros de carte volés peuvent être utilisés jusqu’à son annulation. C’est pourquoi la fraude CNP est un problème courant pour les entreprises traitant des paiements en ligne.

• Tests de cartes bancaires automatisés par des bots : les attaquants utilisent des réseaux de bots distribués avec des adresses IP rotatives et des empreintes d’appareil usurpées pour mener des attaques par tests de cartes bancaires qui ressemblent en apparence à du trafic légitime. Les règles de vélocité seules ne suffisent souvent pas à les détecter si chaque bot respecte des seuils normaux par appareil.

• Litiges liés à la fraude amicale : les taux de litige ont augmenté dans le secteur des biens numériques, les consommateurs étant de plus en plus familiers avec le processus de rétrofacturation. Une partie de ces litiges provient d’une réelle confusion sur les modalités d’annulation des abonnements, mais une part importante n’est toutefois pas justifiée. Dans tous les cas, ces situations impactent le taux de rétrofacturation.

• Fraude de première partie dans le paiement différé (BNPL) : avec l’essor du paiement différé, les cas d’utilisateurs recourant à ces services de manière abusive se sont également multipliés. Certaines personnes effectuent des achats sans intention de les rembourser ou contestent la livraison de commandes pourtant bien exécutées. Il s’agit d’une zone où la fraude et le risque de crédit se recoupent, et qui nécessite donc des contrôles différents de ceux appliqués à la fraude par carte.

Comment la gestion de la fraude aux paiements fonctionne-t-elle à grande échelle ?

Les mécanismes de gestion de la fraude évoluent à mesure que le volume de transactions augmente. Une entreprise qui se développe sur de nouveaux marchés est confrontée à des mécanismes de fraude différents, à des règles propres aux réseaux de cartes et à des taux de litiges variables selon les régions. À grande échelle, les opérations de lutte contre la fraude séparent généralement la gestion des règles, l’investigation et l’analyse. Les regrouper au sein d’un même rôle généraliste ne permet pas de passer à l’échelle et crée des lacunes de surveillance.

À grande échelle, l’objectif est l’automatisation. Les files de vérifications manuelles qui traitent quelques centaines de transactions suspectes par semaine créent rapidement des retards. Il faut donc automatiser les décisions pour les cas évidents et rediriger uniquement les transactions réellement ambiguës vers une vérification humaine. Cela exige une forte confiance dans la précision du modèle, ce qui implique d’investir dans un entraînement et un suivi continus. Si une transaction approuvée par le modèle aboutit à une rétrofacturation six semaines plus tard, ce résultat doit être réintégré dans les données d’entraînement. Le modèle doit également être entraîné sur les faux positifs. Sans cela, ses performances se dégradent à mesure que les mécanismes de fraude évoluent.

Quels outils soutiennent la gestion du risque de fraude aux paiements ?

De nombreuses entreprises disposent de trois grandes options en matière d’outils de gestion de la fraude. Le bon choix dépend du volume de transactions, des ressources internes et du niveau de complexité réel de leur exposition à la fraude.

• Outils de lutte contre la fraude natifs des prestataires de paiement : ces outils sont intégrés directement à votre prestataire de paiement, ce qui signifie que les signaux de fraude et les données de paiement sont centralisés dans un même système. Il n’y a ni latence liée au transfert de données, ni effort d’intégration supplémentaire. En contrepartie, vous êtes limité aux fonctionnalités de la plateforme, qui peuvent ne pas couvrir tous les cas particuliers auxquels votre entreprise est confrontée.

• Plateformes tierces de lutte contre la fraude : ces solutions spécialisées se greffent sur votre suite d’outils de paiement et offrent de nombreuses possibilités de personnalisation, parfois avec un modèle de garantie contre les rétrofacturations. Elles sont pertinentes pour les entreprises ayant une exposition à la fraude complexe ou un volume élevé de transactions, ce qui demande plus de contrôle que ce que les outils natifs des prestataires de paiement proposent. Cependant, l’intégration de ces plateformes et l’acheminement des données ajoutent de la complexité.

• Systèmes internes de lutte contre la fraude : ces systèmes sont développés par de grandes plateformes et marketplaces disposant d’un volume de transactions suffisant et qui font face à des mécanismes de fraude spécifiques, ce qui justifie l’investissement en ingénierie. Ils offrent un contrôle total sur les signaux, les seuils et les boucles de rétroaction, mais représentent un engagement d’ingénierie important et continu et non un développement ponctuel.

Stripe Radar repose sur des modèles de machine learning entraînés à partir des données de l’ensemble du réseau Stripe, couvrant des transactions issues de millions d’entreprises dans le monde. L’étendue de ces données d’entraînement est essentielle : le modèle a été exposé à des mécanismes de fraude relatifs à différentes industries et zones géographiques, et à plusieurs types d’entreprises, ce qui n’est pas le cas d’un système de fraude propre à une seule société. Avec Radar, vous pouvez définir des règles pour bloquer, autoriser ou examiner les transactions en fonction de seuils de score, et ces règles peuvent être ajustées sans solliciter les équipes d’ingénierie à chaque modification des seuils.

Comment Stripe Radar peut vous aider ?

Stripe Radar utilise des modèles d’IA, entraînés sur des données provenant du réseau mondial de Stripe, pour détecter et prévenir la fraude. Radar met à jour ces modèles en fonction des dernières tendances en matière de fraude, pour que votre entreprise reste protégée face à l’évolution de la fraude.

Stripe propose également Radar for Fraud Teams, qui permet aux utilisateurs d’ajouter des règles personnalisées adaptées à des scénarios spécifiques et d’accéder à des analyses avancées sur la fraude.

Radar peut aider votre entreprise à :

• Prévenir les pertes liées à la fraude : Stripe traite plus de 1 000 milliards de dollars de paiements par an. Cette envergure permet à Radar de détecter et de prévenir la fraude avec précision, et vous, vous faites des économies.

• Augmenter les revenus : les modèles d’IA de Radar sont entraînés sur des données réelles de litiges, des informations de clients, des données de navigation, etc. Cela permet à Radar d’identifier les transactions à risque, de réduire les faux positifs et de stimuler vos revenus.

• Gagner du temps : Radar est intégré à Stripe et ne nécessite aucune ligne de code pour être configuré. Vous pouvez en toute efficacité suivre vos performances en matière de fraude, définir des règles et accéder aux analyses depuis une plateforme unique.

En savoir plus sur Stripe Radar, ou démarrer dès aujourd’hui.