Pour créer un compte, un utilisateur doit fournir une combinaison d’adresse courriel, de numéro de téléphone et de nom. Mais comme ces informations peuvent être fabriquées en quelques secondes, elles ne fournissent pas beaucoup d’informations utiles sur la véritable identité de l’utilisateur. D’autres points de données sont bien plus pertinents : l’appareil utilisé, le réseau de provenance, la façon dont la personne a navigué dans votre formulaire d’inscription, et bien d’autres.

La notation du risque d’identité est le processus de cybersécurité qui attribue un niveau de risque à une identité et transforme ces signaux extrinsèques en une décision. Ci-dessous, nous expliquerons ce qu’est la notation du risque d’identité, pourquoi les règles statiques ne peuvent pas détecter les modèles d’abus modernes, et comment évaluer et exploiter un système de notation une fois qu’il est en place.

Points clés

• La notation du risque d’identité pondère des dizaines de signaux simultanément plutôt que de se fier à un seul attribut. Cela la rend bien plus difficile à contourner pour les attaquants que les ensembles de règles statiques.

• L’activation d’essais, l’utilisation de promotions et les connexions font partie des endroits à plus haute valeur ajoutée où appliquer la notation.

• Les équipes doivent toujours recourir à un ajustement continu des seuils et à des boucles de rétroaction lors du déploiement d’une plateforme de notation.

Qu’est-ce que la notation du risque d’identité?

La notation du risque d’identité attribue une valeur de risque numérique ou catégorielle à une tentative d’identité en fonction du poids agrégé des signaux présents à ce moment. Plutôt que de se concentrer sur la question de savoir si le courriel de l’utilisateur est lui-même réel, elle examine si la tentative dans son ensemble est cohérente avec celle d’un utilisateur légitime.

Quels signaux alimentent généralement l’analyse d’identité?

Aucun point de données unique ne permet de déterminer si une inscription est légitime. Les plateformes d’analyse d’identité et de notation du risque regroupent des signaux dans cinq catégories distinctes :

Signaux d’appareil

Une empreinte d’appareil regroupe la version du navigateur, les polices installées, la résolution d’écran et les caractéristiques matérielles en un identifiant pseudonyme qui persiste d’une session à l’autre. Cela signifie qu’un appareil associé à de la fraude ou à des abus passés est signalé même lorsque les identifiants du compte changent. Les plateformes recherchent également des signes d’automatisation, comme les navigateurs sans interface graphique, l’absence d’interfaces de programmation d’application (API) attendues, ou des combinaisons d’attributs qui ne s’affichent pas sur de vrais appareils grand public.

Signaux réseau

La réputation du protocole Internet (IP) importe davantage que l’adresse IP elle-même; par exemple, si elle est associée à un centre de données, à un fournisseur de réseau privé virtuel (VPN) connu, à des nœuds de sortie Tor, ou à un réseau de mandataires résidentiels que les criminels utilisent pour imiter le trafic ordinaire des consommateurs. La vélocité au niveau du réseau, comme 50 inscriptions provenant du même sous-réseau en une heure, constitue en soi un signal d’activité frauduleuse.

Biométrie comportementale

La cadence de frappe, les mouvements de la souris, le temps passé sur chaque champ et le fait qu’un utilisateur copie-colle ou saisisse manuellement son courriel produisent tous des schémas mesurables. Les robots et les outils scriptés génèrent des signatures statistiquement distinctes de celles des humains, et il demeure un défi technique permanent pour les attaquants de naturaliser ces schémas.

Signaux d’attributs d’identité

L’ancienneté du courriel, la réputation du domaine, si l’adresse correspond à des schémas de courriels jetables, le type de numéro de téléphone (p. ex., Voix sur protocole Internet ou VoIP, émis par un transporteur) sont des signaux faibles individuellement, mais combinés avec d’autres, ils sont significatifs.

Liaison entre comptes

Si cinq comptes partagent une empreinte d’appareil, ou si 20 comptes ont été créés depuis la même plage IP en une semaine, ces liens constituent des signaux. Une plateforme ayant une couverture étendue dans de nombreuses entreprises peut détecter des schémas qu’aucun opérateur seul ne pourrait jamais observer par lui-même.

Pourquoi les règles statiques échouent-elles là où la notation du risque d’identité réussit?

Les règles statiques sont des cibles fixes. Les attaquants basculent vers des mandataires résidentiels lorsque les adresses IP des centres de données sont bloquées, passent à des domaines personnalisés lorsque les règles relatives aux courriels jetables sont déclenchées, et répartissent le trafic sur plusieurs adresses IP lorsque les plafonds de vélocité entrent en jeu.

Voici comment la notation répond à ces modes d’échec :

Décisions binaires sur des distributions continues

Le trafic réel se situe sur un spectre entre le légitime et le frauduleux, et la zone de chevauchement est large. Un utilisateur de RPV avec un historique impeccable et un comportement normal est différent d’un utilisateur de RPV sur un mandataire résidentiel signalé, avec des schémas de frappe semblables à ceux d’un robot et une adresse courriel créée il y a trois minutes. Une règle statique ne peut pas exprimer cette différence, mais une note le peut.

Adaptation des attaquants

Lorsque des acteurs frauduleux changent de tactique, un système fondé sur des règles ne s’en aperçoit pas avant que quelqu’un n’écrive une nouvelle règle. Un système de notation entraîné sur des schémas comportementaux peut détecter la nouvelle tactique comme une anomalie par rapport à sa référence de trafic légitime, souvent avant qu’elle ne soit explicitement étiquetée.

La zone grise

De nombreux systèmes en production utilisent des règles strictes pour les signaux clairement disqualifiants, comme les infrastructures de logiciels malveillants connus ou les correspondances avec des listes de sanctions, et la notation pour tout le reste.

Où la notation du risque d’identité est-elle importante?

Les schémas d’abus suivent les utilisateurs tout au long de leur cycle de vie sur votre plateforme. La notation du risque est appliquée à chacun des points suivants, où l’identité est affirmée ou potentiellement exploitée.

Création de compte :

Parmi les cibles évidentes d’abus figurent l’exploitation des niveaux gratuits, la création de fermes d’identifiants, les comptes d’avis fictifs et la collecte de promotions. Une note à l’inscription constitue votre première occasion, et parfois la seule, d’intercepter ces comportements avant que le compte ne soit actif.

Activation d’un essai gratuit

Les abus d’essai suivent un schéma prévisible : créer un compte, activer un essai, l’épuiser, puis en créer un autre. La notation à l’activation de l’essai, en plus de l’inscription, permet de repérer les utilisateurs qui ont déjà échappé au contrôle initial.

Utilisation de promotions et de références

Les abus promotionnels suivent certains schémas d’infrastructure. La notation au moment de l’utilisation permet de repérer les comptes qui ont passé le contrôle à l’inscription, mais qui présentent maintenant des comportements corrélés aux abus.

Connexion

La prise de contrôle de compte est un modèle de menace différent de la fraude aux nouveaux comptes, mais les signaux se recoupent. Les tentatives de connexion anormales justifient leur propre couche de notation.

Certaines plateformes effectuent une notation continue tout au long d’une session. Un utilisateur qui passe le contrôle à l’inscription, mais qui tente ensuite des appels à l’API à haute vélocité, des exportations de données en masse ou des échecs de paiement répétés est réévalué en fonction de ces comportements. Stripe Radar note les transactions à l’aide de signaux provenant de l’ensemble du réseau de Stripe, ce qui lui confère une visibilité sur des schémas que les entreprises individuelles ne peuvent pas observer par elles-mêmes. Pour les entreprises qui mettent en place une protection à l’inscription connectée aux paiements Stripe, cette couche de notation au stade du paiement agit comme un filet de sécurité contre la fraude qui passe les contrôles précédents.

Comment évaluer une plateforme de notation du risque d’identité?

Les différences entre les fournisseurs ne sont pas toujours lisibles à partir de leurs pages de marketing. Choisir la mauvaise plateforme peut soit bloquer des utilisateurs légitimes, soit laisser passer des abus.

Voici ce que vous devriez rechercher dans une plateforme de notation du risque :

Couverture et fraîcheur des signaux

Déterminez combien de types de signaux la plateforme ingère et dans quelle mesure ses données de réputation sont à jour. Une plateforme avec des données de réputation IP périmées ou une couverture limitée de la prise d’empreinte des appareils produira des scores qui manquent les schémas d’attaque modernes. Interrogez les fournisseurs précisément sur leurs capacités de détection des mandataires résidentiels et de biométrie comportementale; ce sont des domaines où les plateformes varient considérablement.

Performance en temps réel

La notation d’identité lors de l’inscription doit retourner un résultat avant que l’utilisateur ne s’attende à une réponse. Une latence supérieure à quelques centaines de millisecondes commence à influencer la conversion. Obtenez les chiffres réels de latence au 99e percentile.

Précision et taux de faux positifs

Un système qui bloque 95 % des cas de fraude mais rejette incorrectement 3 % des utilisateurs légitimes pourrait être globalement négatif, selon votre entreprise. Les taux de faux positifs doivent être mesurés par rapport à votre profil de trafic précis. Lorsque le système signale un compte, il doit être en mesure de vous indiquer quels signaux ont motivé la décision.

Options d’intégration

Déterminez si la plateforme dispose d’intégrations préconfigurées avec votre suite d’outils et offre une API en temps réel qui s’adapte à votre flux d’inscription. Examinez comment elle gère les décisions qui doivent être réinjectées dans votre authentification ou vos systèmes de paiement.

Outils d’exploitation

La notation nécessite des tableaux de bord affichant les distributions de scores, des outils pour vérifier les comptes signalés, la capacité d’ajuster les seuils et des mécanismes de rétroaction permettant aux décisions de révision humaine d’améliorer le modèle. Les plateformes qui n’investissent pas dans cette infrastructure deviennent plus inefficaces avec le temps.

Comment exploiter et ajuster un système de notation du risque d’identité au fil du temps?

Le déploiement d’une plateforme d’analyse d’identité et de notation du risque n’est que le début d’un processus continu.

Voici ce que vous devez savoir dès le départ :

Définir les seuils en fonction de la tolérance au risque

De nombreuses plateformes sont livrées avec des seuils de score par défaut qui déclenchent des blocages, des défis ou des autorisations. Ces valeurs par défaut sont étalonnées pour le client moyen, et devront donc probablement être ajustées. Exécutez le système en mode fantôme et examinez la distribution des scores par rapport à vos résultats connus. Cela vous indique où vos seuils doivent réellement se situer.

Surveiller la dérive

Le comportement des attaquants change, tout comme celui des utilisateurs légitimes, surtout lorsque vous vous lancez sur de nouveaux marchés, modifiez votre produit ou menez une campagne qui attire un trafic inhabituel. Les distributions de scores qui se déplacent sans changement correspondant des taux de fraude réels sont un signal indiquant que quelque chose a changé et nécessite une investigation.

Créer des boucles de rétroaction

Le score est une prédiction, mais les résultats réels sont la réalité. Les plateformes qui peuvent intégrer des rétroactions et ajuster leurs modèles sont mesurément plus précises au fil du temps que celles qui ne le peuvent pas.

Revoir les seuils régulièrement

Les équipes définissent souvent les seuils lors de l’inscription des utilisateurs et ne les revoient pas pendant des mois. Entre-temps, les taux de fraude changent, les surfaces du produit changent, et le seuil étalonné pour le profil de trafic de l’année dernière pourrait être trop restrictif ou trop permissif maintenant. Établissez une cadence de vérification qui examine la performance des scores par rapport aux résultats et ajustez en conséquence.

Comment Stripe Radar peut vous aider

Stripe Radar utilise des modèles d’IA pour détecter et prévenir la fraude, lesquels ont été entraînés à partir des données du réseau mondial de Stripe. Il met continuellement à jour ces modèles en fonction des dernières tendances en matière de fraude, protégeant ainsi votre entreprise au fil de l’évolution des mécanismes de fraude.

Stripe propose également Radar for Fraud Teams, qui permet aux utilisateurs d’ajouter des règles personnalisées pour traiter des scénarios de fraude propres à leur entreprise et d’accéder à des informations avancées sur la fraude.
Radar peut aider votre entreprise à :

• Prévenir les pertes dues à la fraude : Stripe traite plus de 1 000 milliards de dollars de paiements chaque année. Ce volume permet à Radar de détecter et de prévenir la fraude avec une précision inégalée, vous aidant ainsi à faire des économies.

• Augmenter les revenus : les modèles d’IA de Radar sont entraînés sur des données réelles de contestations, des informations relatives aux clients, des données de navigation, et bien plus encore. Cela permet à Radar de détecter les transactions à risque et de réduire les faux positifs, augmentant ainsi vos revenus.

• Gagner du temps : Radar est intégré à Stripe et ne nécessite aucune ligne de code pour être configuré. Vous pouvez également surveiller vos performances en matière de fraude, définir des règles, etc., dans une seule plateforme, augmentant ainsi l’efficacité de vos équipes.

Apprenez-en plus sur Stripe Radar ou faites vos premiers pas dès aujourd’hui.