L'IA n'a pas seulement rendu la fraude plus sophistiquée ; elle a bouleversé l'économie de l'identité

Depuis des années, la prévention de la fraude relève d'un exercice d'équilibre. Si l'on renforce trop les mesures de sécurité, les clients légitimes renoncent à leurs transactions. Si l'on assouplit ces mesures, les pertes liées à la fraude augmentent. Les entreprises ont toujours cherché à trouver le juste équilibre.

L'intelligence artificielle n'a pas seulement mis fin à ce jeu d'équilibre. Elle a radicalement changé les règles du jeu.

Lors d'un récent webinaire organisé par Microblink, des responsables de la lutte contre la fraude issus de l'ensemble de l'écosystème des paiements ont examiné comment l'IA générative redéfinit la fraude et pourquoi les approches traditionnelles de vérification d'identité ne suffisent plus. Bien que les technologies abordées aient été variées, la discussion est revenue sans cesse sur quatre thèmes principaux.

L'IA a bouleversé l'économie de la fraude

Le changement le plus important ne réside pas simplement dans le fait que les attaques gagnent en sophistication. Il tient surtout au fait que leur mise en œuvre est désormais nettement moins coûteuse.

Des tâches qui nécessitaient autrefois une expertise pointue, beaucoup de temps ou un travail manuel peuvent désormais être automatisées et répétées des milliers de fois à moindre coût. Les fraudeurs peuvent rapidement créer de nouvelles variantes d'attaques, tester les défenses, identifier les failles et affiner leurs techniques de manière quasi continue.

Des méthodes d'attaque qui, auparavant, n'étaient pas rentables deviennent soudainement viables, car l'automatisation a réduit le coût de l'expérimentation. Même des incitations relativement modestes, des primes de parrainage, des offres promotionnelles ou des transactions de faible valeur peuvent devenir des cibles attrayantes lorsque la fraude peut être menée à grande échelle.

Pour les défenseurs, le défi ne consiste plus à réagir à des techniques d'attaque isolées. Il s'agit désormais de se préparer à un environnement où des variantes d'attaque totalement nouvelles apparaissent sans cesse.

L'identité ne peut plus être vérifiée une seule fois

Un autre thème récurrent abordé au cours du webinaire a été la limitation croissante de la vérification d'identité ponctuelle.

Historiquement, les entreprises ont toujours considéré la vérification d'identité comme une étape ponctuelle intervenant lors de l'inscription ou du paiement. Une fois que l'utilisateur avait passé cette vérification, on partait généralement du principe qu'il était digne de confiance pour le reste de son parcours client.

Ce modèle est de plus en plus difficile à défendre. La confiance doit au contraire évoluer au fil de chaque interaction. Chaque action comporte un niveau de risque différent, et les organisations ont de plus en plus besoin de flexibilité pour n’appliquer des mesures de vérification plus strictes que lorsque les signaux de risque environnants le justifient.

La consultation des produits, la modification des informations de compte, la mise en place d'un virement important ou l'autorisation d'un paiement d'un montant élevé ne devraient pas nécessairement nécessiter le même niveau de sécurité.

Plutôt que de prendre une décision définitive en matière de confiance, les organisations devraient évaluer en permanence le niveau de confiance tout au long du parcours client, et ne renforcer les mesures de vérification qu’en cas de nécessité. Cette approche permet de réduire la fraude tout en minimisant les obstacles inutiles pour les utilisateurs légitimes.

Lutter contre l'IA ne signifie pas forcément recourir davantage à l'IA

L'intelligence artificielle est en train de devenir un outil de défense indispensable, mais l'un des enseignements intéressants qui ressort de cette discussion est que tous les problèmes de fraude ne nécessitent pas forcément un nouveau modèle d'IA.

De nombreux dispositifs de lutte contre la fraude qui ont fait leurs preuves restent très efficaces. Une validation rigoureuse des documents, une vérification fiable des données, l'analyse comportementale, l'intelligence des appareils et l'authentification à plusieurs niveaux continuent d'offrir une protection efficace lorsqu'ils sont combinés de manière intelligente.

L'objectif n'est pas de remplacer l'infrastructure de sécurité existante par l'IA. Il s'agit plutôt d'identifier les domaines dans lesquels l'IA apporte une valeur ajoutée mesurable, tout en continuant à tirer parti des techniques fiables qui ont déjà fait leurs preuves.

Pour prévenir efficacement la fraude, il est de plus en plus nécessaire de miser sur une approche coordonnée plutôt que de se fier à une seule technologie.

La confiance s'étend au-delà des personnes

À mesure que les agents d'IA commencent à naviguer sur Internet, à effectuer des achats et à accomplir des tâches pour le compte des utilisateurs, les entreprises sont confrontées à un tout nouveau problème de confiance.

Historiquement, la vérification d'identité répondait à une question relativement simple : cette personne est-elle bien celle qu'elle prétend être ?

De nouvelles questions se posent désormais :

• Cet agent IA est-il fiable ?
• Agit-il au nom d'un utilisateur authentifié ?
• Cet utilisateur a-t-il réellement autorisé cette action précise ?
• Cette autorisation est-elle valable pendant toute la durée de la transaction ?

L'identité ne se limite plus à l'authentification des personnes. Elle consiste de plus en plus à comprendre les relations entre les personnes, les appareils, les applications et les agents autonomes opérant au sein des écosystèmes numériques.

L'avenir de la prévention de la fraude réside dans la continuité

Un message est revenu à plusieurs reprises tout au long de la discussion : la prévention de la fraude repose de moins en moins sur des règles figées et de plus en plus sur une adaptation permanente.

L'intelligence artificielle a accéléré le rythme d'évolution de la fraude, rendant les mesures de défense d'hier obsolètes bien plus rapidement que ne le prévoient de nombreuses entreprises. Les équipes de sécurité ne peuvent plus partir du principe que les contrôles qui fonctionnent bien aujourd'hui resteront efficaces dans plusieurs mois.

Les organisations ont besoin de systèmes capables d'évaluer en permanence le niveau de confiance, de s'adapter aux nouveaux modes d'attaque et d'appliquer des mesures de vérification proportionnelles au risque, plutôt que de se contenter de contrôles d'identité ponctuels ou d'ensembles de règles figés.

Alors que l'IA continue de transformer les interactions numériques, les organisations les mieux armées pour l'avenir ne se contenteront pas de vérifier les identités. Elles s'attacheront en permanence à comprendre, à évaluer et à réévaluer la confiance à chaque interaction.