Compte rendu du Forum sur la fraude : les enseignements d'un échange franc entre professionnels sur l'identité et l'IA

Cette semaine, Microblink a accueilli un groupe de responsables chargés de la lutte contre la fraude, de la gestion des risques et de la gestion des identités pour un événement résolument différent. Une rencontre conçue pour être un échange franc et en privé sur l'évolution de la fraude et les prochaines mesures que le secteur doit prendre.

Le Forum sur la fraude a été conçu pour favoriser les échanges plutôt que les discours solennels, en offrant un espace propice à un dialogue ouvert entre différentes disciplines et différents secteurs d'activité. Le programme est passé d'une approche globale à des discussions très techniques, mêlant exposés-motifs, analyses de tendances, tables rondes et démonstrations en direct. Voici quelques-uns des principaux enseignements tirés de cet événement.

La fraude se développe plus rapidement que les moyens de défense

Un thème central s'est rapidement dégagé : la fraude est désormais pratiquée à une échelle industrielle. Les attaques qui nécessitaient autrefois des compétences spécialisées, des outils spécifiques et une coordination rigoureuse sont désormais à la portée de presque tout le monde, grâce à l'IA générative, à l'automatisation et à une infrastructure criminelle mondiale.

L'un des axes prioritaires a porté sur la recrudescence rapide des escroqueries hautement sophistiquées, qu'il s'agisse d'escroqueries à l'investissement ou d'escroqueries sentimentales. Ces opérations ne sont plus le fait d'opportunistes ou d'amateurs. Elles sont menées avec patience, une grande précision psychologique et une efficacité redoutable. Les victimes ne se définissent ni par leur âge ni par leurs compétences techniques. Parmi elles figurent des professionnels hautement qualifiés qui perdent les économies de toute une vie après des mois de manipulation minutieusement orchestrée.

Ce qui rend ces escroqueries particulièrement dangereuses, c'est leur apparence de légitimité. Les victimes sont souvent guidées à travers de véritables plateformes, de véritables plateformes d'échange et de véritables processus financiers avant d'être détournées vers des environnements entièrement fictifs, conçus pour leur soutirer le maximum d'argent. Lorsque la fraude est découverte, le mal est déjà fait.

Derrière ces escroqueries se cache un écosystème transnational mêlant criminalité organisée, traite des êtres humains et utilisation abusive des plateformes. Il existe des complexes entiers dont la seule raison d’être est de mener des opérations de fraude à grande échelle, gérés par des travailleurs contraints et alimentés par des canaux publicitaires et de communication qui restent rentables malgré des abus généralisés.

Les schémas d'échec qui freinent le secteur

Une autre discussion a permis de recadrer le risque de fraude, non pas uniquement comme un problème technologique, mais aussi comme un problème organisationnel. Plusieurs schémas d'échec récurrents ont été identifiés, notamment le surinvestissement dans des outils disparates, le recours à des contrôles obsolètes, le fonctionnement en silos et la conviction que la fraude peut être résolue par une seule couche de défense.

Au cœur de ces échecs se trouve une idée fausse largement répandue : celle selon laquelle la vérification d’identité serait un événement ponctuel. En réalité, l’identité est un signal continu, qui doit être évalué à travers les documents, les données biométriques, les appareils, les comportements et les transactions. Les contrôles statiques ne peuvent pas suivre le rythme d’attaquants adaptatifs et guidés par l’IA.

L'IA agentique bouleverse complètement le modèle de menace

Au fur et à mesure que la conversation avançait, l'attention s'est portée sur ce qui pourrait constituer le prochain tournant majeur : l'IA agentique.

Les agents d'intelligence artificielle ne relèvent plus de la théorie. Il existe déjà des systèmes capables d'effectuer des recherches, de prendre des décisions, d'effectuer des transactions et d'optimiser les résultats avec une intervention humaine minimale, voire nulle. À mesure que le commerce, la découverte de produits et les paiements s'inscrivent de plus en plus dans des flux de travail pilotés par des agents, les hypothèses traditionnelles concernant l'intention, la responsabilité et le risque perdent de leur validité.

Dans un monde « agentique », le risque apparaît plus tôt, dès l'instant où l'intention se forme ou où la découverte a lieu. Les transactions peuvent se dérouler en dehors des environnements contrôlés par les commerçants. Les agents peuvent agir sur différents appareils, identités et plateformes. Les modèles de détection de la fraude basés sur les e-mails, les adresses IP ou l'historique de comportement peinent à s'appliquer lorsque les agents peuvent être créés, supprimés et reconstitués instantanément.

Cette évolution soulève des questions épineuses. Qui est responsable lorsqu'un agent prend une mauvaise décision ? Comment s'assurer qu'il s'agit bien d'un agent et non d'un être humain ? Comment les commerçants peuvent-ils rester visibles alors que la découverte elle-même est gérée par des systèmes d'IA dont la logique de classement est opaque ?

Les nouveaux protocoles visent à combler ces lacunes en normalisant la manière dont les agents communiquent avec les commerçants, entre eux et avec les systèmes de paiement. Leur adoption pourrait déterminer quelles entreprises resteront visibles et lesquelles seront discrètement écartées.

Les « deepfakes » sapent la confiance dans les indicateurs fondamentaux d'identité

C'est sans doute lors des démonstrations en direct de fraudes à l'identité commises à l'aide de l'IA générative que l'on a eu le plus à réfléchir. Des documents d'identité, des images et des éléments biométriques entièrement synthétiques peuvent désormais être générés en quelques secondes, souvent personnalisés avec des données personnelles spécifiques afin d'exploiter les failles connues des systèmes de vérification.

Il ne s’agit pas de faux grossiers. Ils reproduisent suffisamment bien les propriétés matérielles, la profondeur visuelle et les indices comportementaux pour déjouer les systèmes qui s’appuient uniquement sur des signaux isolés, tels que les contrôles de vivacité ou l’aspect du document. À grande échelle, même un faible taux d’échec devient exploitable lorsque les attaquants peuvent générer des milliers de tentatives à un coût quasi nul.

La conclusion est sans appel : la confiance accordée aux supports d'identité traditionnels s'érode. La détection doit évoluer : il ne suffit plus de repérer les faux évidents, mais il faut désormais identifier les incohérences subtiles à travers l'espace, le temps et la corrélation des signaux.

La fraude est un problème lié à l'expérience utilisateur

L'une des conclusions les plus importantes était aussi l'une des plus simples. La prévention de la fraude et l'expérience utilisateur ne sont pas incompatibles. Des frictions mal conçues entraînent l'abandon, incitent à assouplir les règles et, au final, augmentent les risques. Une conception réfléchie de l'expérience utilisateur, associée à des contrôles adaptatifs des risques, protège à la fois le chiffre d'affaires et les utilisateurs.

Cette nouvelle approche incite les organisations à repenser la structure de leurs équipes chargées de la lutte contre la fraude, la manière dont on mesure leur efficacité et les acteurs impliqués dans la conception des dispositifs de protection. Dans un monde où la fraude est pilotée par l’IA, la facilité d’utilisation n’est pas un luxe. C’est un outil de contrôle.

Une responsabilité partagée pour l'avenir

Le Forum sur la fraude s'est achevé non pas sur des réponses définitives, mais en apportant une vision claire de la voie à suivre. La fraude ne se limite plus à des cas marginaux ou à des attaques isolées. Elle est systémique, adaptative et prend de l'ampleur. Pour y faire face, il faudra une collaboration entre les différents secteurs, une pression sur les institutions qui contrôlent les données d'identité, ainsi qu'une volonté de repenser les idées reçues de longue date concernant la confiance en ligne.