Les contrôles de vélocité sont une méthode de prévention de la fraude utilisée dans le traitement des paiements. Ils contrôlent la fréquence et le modèle des transactions effectuées au cours d’une période donnée et recherchent les activités inhabituelles, comme un nombre anormalement élevé de transactions provenant d’un seul compte ou d’une seule adresse IP. Les fraudeurs tentent souvent d’utiliser les informations de carte volées le plus rapidement possible avant que le titulaire de la carte ne s’en aperçoive, et une augmentation soudaine des tentatives de transaction peut être un indicateur de fraude potentielle. Les contrôles de vélocité peuvent déclencher des alertes ou bloquer des transactions si elles dépassent certains seuils, ce qui contribue à protéger les entreprises et les clients contre les activités frauduleuses.

Les mesures de prévention de la fraude comme les contrôles de vélocité sont de plus en plus importantes pour les entreprises, car 80 % des organisations déclarent avoir subi des attaques ou des tentatives de fraude sur les paiements en 2023, soit une augmentation de 15 % par rapport à 2022. Ci-dessous, nous expliquerons les types de contrôles de vélocité, la façon dont fonctionnent les contrôles de vélocité, la façon de les mettre en œuvre ainsi que les défis qu’ils impliquent.

Que contient cet article?

• Types de contrôles de vélocité
  
• Comment fonctionnent les contrôles de vélocité?
  
• Comment les contrôles de vélocité sont-ils utilisés dans la détection et la prévention de la fraude?
  
• Comment mettre en œuvre des contrôles de vélocité
  
• Défis liés aux contrôles de vélocité
  

Types de contrôles de vélocité

Il existe plusieurs types de contrôles de vélocité et chacun porte sur différents aspects des modèles de transaction afin de détecter une fraude potentielle.

• Contrôles de vélocité de la carte : Ces contrôles permettent de surveiller le nombre de transactions effectuées avec une carte spécifique au cours d’une période donnée. Si une carte est utilisée pour plusieurs achats sur une courte période, cela peut indiquer que la carte a été volée et que le voleur essaie de maximiser son utilisation avant qu’elle ne soit bloquée.

• Contrôles de vélocité de l’adresse IP : Ces contrôles analysent le nombre de transactions provenant de la même adresse IP au cours d’une période donnée. Un nombre élevé de transactions provenant de la même adresse IP peut indiquer qu’un fraudeur utilise des outils automatisés ou des robots pour effectuer plusieurs achats.

• Contrôles de vélocité de l’ID de l’appareil : Ces contrôles sont axés sur le nombre de transactions effectuées à partir du même appareil au cours d’une période donnée. Cela peut aider à identifier les cas dans lesquels un fraudeur utilise le même appareil pour effectuer plusieurs achats.

• Contrôle de vélocité du compte : Ces contrôles permettent de surveiller le nombre de transactions effectuées à partir d’un compte spécifique au cours d’une période donnée. Cela peut être utile pour détecter la fraude par prise de contrôle de compte, où un fraudeur accède à un compte légitime et effectue des transactions non autorisées.

• Contrôles de vélocité des adresses de livraison et de facturation : Ces contrôles analysent le nombre de transactions associées à la même adresse de livraison ou de facturation sur une période donnée. Un nombre élevé de transactions avec des numéros de carte différents pour une même adresse peut indiquer une activité frauduleuse.

• Contrôles de vélocité du montant des transactions : Ces contrôles surveillent le montant total d’argent dépensé au cours d’une période donnée. Un montant anormalement élevé de dépenses peut être un signe de fraude.

Comment fonctionnent les contrôles de vélocité?

Les contrôles de vélocité surveillent en permanence les activités de transaction en fonction de plusieurs paramètres afin de détecter des modèles inhabituels. À l’aide de règles ou de seuils, ils évaluent si le comportement associé à un moyen de paiement tel qu’une carte de crédit est typique ou potentiellement suspect.

Voici un aperçu du fonctionnement général de ces contrôles :

• Définition de seuils : La première étape consiste à déterminer ce qui constitue un comportement normal en matière de transactions pour un utilisateur, une carte ou un compte donné, sur la base de données historiques. Des seuils sont définis pour différents aspects, comme la fréquence et le montant des transactions, les adresses IP, les appareils utilisés et les emplacements géographiques. Ces seuils peuvent être définis pour s’adapter à des profils de risque propres à l’entreprise ou au secteur.

• Suivi des transactions : Au fur et à mesure que des transactions sont effectuées, le système les surveille en permanence en fonction des seuils établis. Il analyse des facteurs comme le nombre de transactions au cours d’une certaine période, le montant cumulé dépensé ou l’utilisation répétée à partir de la même adresse IP ou du même appareil.

• Détection d’anomalies : Lorsqu’une transaction ou une série de transactions dépassent les seuils prédéfinis, le système les signale comme des anomalies. Par exemple, si une carte qui effectue habituellement trois transactions par jour effectue soudainement 10 transactions en une heure, ce comportement inhabituel déclenchera une alerte.

• Prise de mesures : Une fois qu’une anomalie est détectée, les systèmes automatisés peuvent prendre des mesures immédiates en bloquant une transaction, en demandant une authentification supplémentaire ou en signalant la transaction pour qu’elle soit examinée manuellement par les analystes de la fraude. La réponse peut être personnalisée en fonction de la gravité et de la nature de l’anomalie.

• Perfectionnement du système : Pour que les contrôles de vélocité soient efficaces, les résultats de ces contrôles (qu’il s’agisse de vrais ou de faux positifs) sont réintégrés dans le système. Ces données permettent de perfectionner les seuils et les règles, ce qui rend le processus de détection des fraudes plus précis au fil du temps.

Comment les contrôles de vélocité sont-ils utilisés dans la détection et la prévention des fraudes?

Les contrôles de vélocité constituent une défense proactive, utilisée pour limiter l’impact immédiat de la fraude et aider les entreprises à comprendre et à s’adapter à l’évolution des défis en matière de sécurité. Voici quelques exemples de leur utilisation dans le traitement des paiements et la gestion des comptes :

• Détermination des transactions à haut risque : Les contrôles de vélocité sont utilisés pour repérer les transactions qui s’écartent des modèles de comportement normaux d’un utilisateur. Par exemple, si une carte de crédit qui est généralement utilisée une fois par semaine enregistre soudainement plusieurs transactions en une journée, ce pic peut déclencher une vérification.

• Prévention des attaques automatisées : Les tentatives de fraude automatisées, telles que celles effectuées avec des robots, impliquent souvent des séquences rapides de transactions ou de connexions à partir de la même adresse IP ou du même appareil. Les contrôles de vélocité permettent de détecter et de bloquer rapidement ces tentatives en recensant la vitesse et le volume anormalement élevés de l’activité.

• Déclenchement de l’authentification multifacteur (AMF) : Lorsqu’un contrôle de vélocité signale une transaction comme suspecte, il peut déclencher des mesures de sécurité relatives à l’authentification multifacteur. Cette étape oblige l’utilisateur à fournir une vérification supplémentaire (comme un code envoyé à un téléphone) pour procéder à une transaction, ajoutant ainsi une couche de sécurité.

• Analyse de la géolocalisation : Les contrôles de géolocalisation permettent de détecter des transactions effectuées à partir d’emplacements physiques improbables dans une courte période donnée, ce qui peut indiquer une carte clonée ou un compte compromis.

• Croisement des points de données : Les contrôles de vélocité permettent d’obtenir une vue plus complète du comportement d’un client en intégrant des données provenant de nombreuses sources (par exemple, les montants des transactions, les emplacements géographiques, l’utilisation des appareils). Ces croisements permettent de déceler des stratagèmes de fraude complexes qui pourraient ne pas être évidents à déceler à partir d’un flux de données uniquement.

• Adaptation aux menaces émergentes : Au fur et à mesure que les fraudeurs s’adaptent et modifient leurs tactiques, les contrôles de vélocité peuvent être continuellement mis à jour et affinés en fonction des nouveaux comportements frauduleux observés, ce qui aide les entreprises à conserver une longueur d’avance sur les menaces émergentes.

Comment mettre en œuvre des contrôles de vélocité

La mise en œuvre efficace des contrôles de vélocité nécessite de déterminer les données pertinentes, d’établir des règles fondées sur ces données, d’appliquer ces règles en temps réel et de définir des réponses appropriées lorsque des déclencheurs sont activés. Les contrôles de vélocité ne doivent pas incommoder de manière excessive les utilisateurs légitimes et le système doit être conçu pour minimiser les faux positifs. Ils doivent également être conçus pour être conformes à toutes les réglementations pertinentes en matière de confidentialité des données et de protection du consommateur.

Voici une explication de chaque étape du processus de mise en œuvre :

Détermination des données

Déterminer et collecter les données à surveiller. La qualité et la cohérence des données sont importantes, tout comme la capture et le stockage des données de sorte à faciliter l’analyse en temps réel.

Ces données comprennent généralement :

• Les détails de la transaction, tels que le montant de la transaction, la fréquence de la transaction, l’heure de la transaction et le type de transaction (par exemple, achat, retrait, transfert).

• Les informations sur l’utilisateur, comme le numéro de compte, l’ID de l’utilisateur et l’historique des comportements.

• Les données de l’appareil, telles que les adresses IP, les identifiants de l’appareil et, possiblement, les témoins ou autres identifiants.

• Les informations géographiques, telles que les adresses IP, les données GPS ou les informations de localisation saisies.

Établissement des règles

Établissez les règles qui définiront ce qui constitue une activité suspecte. Ces règles sont généralement fondées sur des seuils qui reflètent le comportement typique des utilisateurs et s’appuient sur des données longitudinales et des normes du secteur.

Voici quelques exemples de règles :

• Un nombre maximal de transactions autorisées par appareil au cours d’une période de 24 heures

• Un montant maximal pouvant être effectué à partir d’un seul compte dans une période donnée

• Limitation du nombre de tentatives de connexion à partir d’une même adresse IP en une heure

Le processus d’établissement de ces règles doit impliquer une analyse statistique pour déterminer ce qui constitue un comportement normal et une valeur aberrante. Des règles trop strictes peuvent bloquer des transactions légitimes, tandis que des règles trop souples peuvent ne pas détecter les activités frauduleuses.

Définition des déclencheurs

Définissez ce qui se passe lorsqu’une règle est déclenchée. Les réponses peuvent varier en fonction de la gravité et de la nature de la violation et peuvent inclure ce qui suit :

• Des alertes informant les administrateurs système ou les analystes de la fraude de la nécessité d’une vérification manuelle.

• Un refus automatique des transactions qui semblent frauduleuses.

• Une demande de vérification supplémentaire, comme l’envoi d’un code à usage unique ou l’obligation de l’utilisateur de répondre à une question de sécurité.

• Un blocage temporaire du compte jusqu’à ce qu’une vérification plus approfondie puisse être effectuée.

Application des règles

Appliquez les règles établies en temps réel. Mettez en place des systèmes qui permettent de surveiller les transactions au fur et à mesure qu’elles se produisent et de comparer chaque transaction aux règles établies. Utilisez des algorithmes d’apprentissage automatique qui peuvent ajuster les règles de manière dynamique en fonction des modèles de transaction en cours et des tendances émergentes afin de maintenir la pertinence des règles.

Défis liés aux contrôles de vélocité

Bien que les contrôles de vélocité soient un puissant outil de gestion de la fraude, ils doivent être soigneusement conçus, mis en œuvre et continuellement améliorés pour trouver un équilibre entre la sécurité, la conformité réglementaire et l’expérience utilisateur. Les difficultés et les inconvénients associés aux contrôles de vélocité peuvent être surmontés en investissant dans l’analyse avancée, l’apprentissage automatique et la modélisation du comportement des utilisateurs.

Voici quelques défis courants liés aux contrôles de vélocité :

Faux positifs

Les contrôles de vélocité comportent un risque de faux positifs, dans lesquels des transactions légitimes sont signalées comme suspectes. Cela peut se produire pour les raisons suivantes :

• Des règles trop strictes qui signalent comme frauduleux les pics normaux d’activité des utilisateurs (par exemple, les dépenses lors de vacances ou de soldes).

• Les règles qui ne sont pas adaptées de manière adéquate aux habitudes spécifiques d’utilisateurs ou de segments individuels. Le comportement des clients peut varier d’un segment à l’autre, et une approche unique peut entraîner le blocage de transactions légitimes.

Faux négatifs

Bien que moins fréquents, les faux négatifs, c’est-à-dire les transactions frauduleuses qui ne sont pas détectées et sont autorisées à se poursuivre, peuvent également se produire. Cela peut se produire pour les raisons suivantes :

• Des techniques de fraude sophistiquées, comme les transactions rythmées, qui évitent de déclencher les seuils de vélocité.

• Des données incomplètes ou obsolètes qui entraînent un suivi inadéquat.

Impact négatif sur l’expérience utilisateur

Des contrôles stricts de la vélocité peuvent sécuriser les transactions, mais détériorer l’expérience utilisateur. Chaque transaction signalée peut nécessiter des étapes de vérification supplémentaires, ce qui retarde le temps de traitement, et les faux positifs fréquents peuvent frustrer les clients et les pousser à se tourner vers des alternatives plus conviviales.

Préoccupations en matière de réglementation et de la confidentialité

Les contrôles de vélocité nécessitent souvent la collecte, le stockage et l’analyse de grandes quantités de données. Les entreprises doivent respecter des réglementations strictes en matière de confidentialité des données, comme le Règlement général sur la protection des données (RGPD) en Europe et la California Consumer Privacy Act (CCPA). La conformité peut s’avérer compliquée et coûteuse.

À forte intensité de ressources

La mise en œuvre et le maintien de contrôles de vélocité efficaces peuvent nécessiter des ressources importantes, car ils exigent une infrastructure technologique pour le traitement et l’analyse en temps réel de volumes importants de transactions. Les règles relatives aux contrôles de vélocité nécessitent également des mises à jour régulières, ce qui exige un effort d’analyse continu et une assistance technique.

Intégration

L’intégration des contrôles de vélocité à d’autres systèmes, comme les passerelles de paiement, les outils de gestion de la fraude et les bases de données clients, peut s’avérer difficile. Les informations peuvent être réparties entre différents services ou systèmes au sein d’une organisation, ce qui complique les contrôles de vélocité.