Qu'est-ce que la fraude par paiement push autorisé ?
La fraude par virement autorisé (APP) se produit lorsqu’une personne est amenée, par la ruse, à envoyer volontairement de l’argent sur le compte d’un fraudeur. Contrairement à la plupart des fraudes aux paiements, c’est la victime elle-même qui autorise la transaction, ce qui en fait l’un des types de fraude les plus difficiles à détecter et à annuler, tant pour les particuliers que pour les établissements financiers.
Comment fonctionne la fraude APP et pourquoi est-elle difficile à enrayer ?
La fraude APP est un délit financier dans lequel un fraudeur trompe une victime pour qu'elle transfère de l'argent directement depuis son propre compte vers un compte qu'il contrôle. La distinction essentielle réside dans le consentement : la victime croit que le paiement est légitime et l'approuve elle-même.
C’est ce qui distingue la fraude APP de la fraude aux paiements non autorisés — telle que la fraude à la carte bancaire ou la prise de contrôle de compte —, où un criminel effectue une transaction à l’insu de la victime. Le tableau ci-dessous présente les principales différences entre ces deux types de fraude.
| Caractéristique | Fraude APP (autorisée) | Fraude par paiement non autorisé
|
|---|---|---|
| Rôle de la victime | La victime initie et approuve le paiement | La victime n'est pas impliquée dans la transaction |
| Rôle de la banque | Elle traite un ordre techniquement valide et autorisé par le client | Traite une instruction frauduleuse sans le consentement du client |
| Mécanisme principal de fraude | Ingénierie sociale — manipulation du comportement de la victime | Compromission technique — piratage, clonage de carte, vol d’identifiants |
| Responsabilité par défaut de la banque | Limitée ; la banque a suivi une instruction légitime | Plus élevée ; la banque a traité une transaction non autorisée |
| Probabilité de recouvrement | Faible ; les fonds sont souvent transférés rapidement via plusieurs comptes | Plus élevée ; des protections réglementaires plus strictes s'appliquent généralement |
| Réversibilité de la transaction | Difficile ; les systèmes de paiement rapides sont souvent instantanés et irrévocables | Plus réversible ; des mécanismes de rejet de débit et de contestation sont couramment disponibles |
La banque de la victime ayant traité une instruction légitime, sa responsabilité automatique est moindre que dans le cas d’une fraude non autorisée. Cela crée un écart de recouvrement important pour les victimes.
Les systèmes de paiement rapides aggravent la situation. Ils fonctionnent instantanément, 24 heures sur 24, sans aucun moyen de récupérer les fonds une fois ceux-ci envoyés. Au moment où la victime se rend compte de ce qui s’est passé, l’argent a généralement transité par une chaîne de comptes — souvent au-delà des frontières.
C’est l’ingénierie sociale, et non le piratage technique, qui est le moteur de la fraude aux applications mobiles. Les fraudeurs passent du temps à instaurer un climat de confiance, à créer un sentiment d’urgence ou à se donner une apparence d’autorité pour convaincre les victimes qu’un paiement est non seulement légitime, mais nécessaire.
Les stratagèmes de fraude aux applications les plus courants
La fraude aux applications prend de nombreuses formes, mais chaque variante suit la même logique : la victime est persuadée que le paiement est authentique. Le tableau ci-dessous résume les stratagèmes les plus courants, leur fonctionnement et les moyens de les repérer.
| Type de fraude | Fonctionnement | Cible courante | Scénario type | Signes avant-coureurs clés
|
|---|---|---|---|---|
| Fraude aux factures et aux fournisseurs | Les fraudeurs interceptent les communications professionnelles ou se font passer pour un fournisseur connu afin de rediriger des paiements légitimes vers un compte qu'ils contrôlent | Entreprises, équipes financières, service comptabilité fournisseurs | Une entreprise reçoit un e-mail semblant provenir d’un fournisseur habituel, l’informant d’un nouveau numéro de compte bancaire pour les futurs paiements | Modification inattendue des coordonnées bancaires reçue par e-mail, en particulier à l'approche de la date d'échéance d'une facture |
| Escroqueries par usurpation d’identité | Les fraudeurs se font passer pour des autorités de confiance — banques, HMRC, IRS, police ou services publics — afin de créer un sentiment d’urgence et de faire pression sur les victimes pour qu’elles transfèrent des fonds | Les particuliers de tous âges, en particulier ceux qui se montrent dociles face à l’autorité | Un interlocuteur prétend appartenir à l’équipe de lutte contre la fraude de la banque de la victime et l’avertit que son compte a été piraté et que les fonds doivent être transférés immédiatement vers un « compte sécurisé » | Contact non sollicité d’une figure d’autorité exigeant des virements urgents, notamment vers un nouveau compte |
| Escroqueries sentimentales | Les fraudeurs nouent une relation en ligne à long terme avec une victime, sur plusieurs semaines ou mois, avant de lui demander de l’argent, en invoquant souvent une urgence ou une opportunité d’investissement | Personnes utilisant des plateformes de rencontre ou les réseaux sociaux, souvent des personnes âgées | Après des mois de contacts quotidiens, un partenaire en ligne prétend être bloqué à l’étranger et avoir besoin de toute urgence d’un virement pour couvrir des frais médicaux ou de voyage | Une personne que vous n’avez jamais rencontrée en personne vous demande un virement, même si vous avez l’impression de bien la connaître |
| Escroqueries à l’achat | Les victimes paient des biens ou des services — souvent proposés à des prix attractifs sur des places de marché en ligne — qui ne sont jamais livrés | Les acheteurs en ligne, les personnes à la recherche d’articles très demandés ou en promotion | Un acheteur verse un acompte pour une voiture d’occasion mise en vente sur une plateforme de vente en ligne ; le vendeur disparaît après avoir reçu le paiement | Les vendeurs qui insistent pour être payés par virement bancaire plutôt que par un moyen de paiement sécurisé, ou qui font pression pour obtenir un paiement rapide |
| Escroqueries à l’investissement | Les fraudeurs font la promotion d’opportunités d’investissement à haut rendement via les réseaux sociaux, des appels non sollicités ou de faux sites web afin de solliciter des virements importants | Les personnes à la recherche de rendements financiers, souvent approchées via les réseaux sociaux | On montre à la victime des tableaux de bord de compte falsifiés indiquant des rendements élevés ; elle transfère alors des sommes de plus en plus importantes avant que la plateforme ne devienne inaccessible | Offres d’investissement non sollicitées promettant des rendements garantis ou anormalement élevés, accompagnées notamment de pressions pour agir rapidement |
| Fraudes impliquant des PDG ou des cadres supérieurs | Les fraudeurs se font passer pour un cadre supérieur par e-mail ou par messagerie instantanée afin d’ordonner à un employé d’effectuer un paiement urgent et confidentiel | Le personnel financier des entreprises de toutes tailles | Un employé reçoit un e-mail semblant provenir de son PDG et lui demandant d’effectuer un virement bancaire urgent pour une acquisition confidentielle | Demandes de paiement émanant de hauts responsables qui contournent les procédures d’approbation habituelles et insistent sur la confidentialité |
Chaque stratagème repose sur le même principe fondamental : la victime est amenée à croire que le paiement est à la fois légitime et urgent. Apprendre à reconnaître ce schéma — et pas seulement le scénario spécifique — constitue la forme de protection la plus fiable.
Comment détecter, prévenir et réagir face à la fraude APP
Savoir à quoi ressemble la fraude APP n’est utile que si cela conduit à agir. Cette section aborde les signes avant-coureurs à surveiller, les mesures que les particuliers et les institutions peuvent prendre pour réduire leur exposition au risque, ainsi que les actions à mener immédiatement après qu’un paiement frauduleux a été effectué.
Signes avant-coureurs indiquant qu’une demande de paiement peut être frauduleuse
La fraude APP repose sur des tactiques psychologiques prévisibles. Le tableau ci-dessous classe les signes avant-coureurs les plus courants par catégorie afin de vous aider à évaluer rapidement si une situation correspond à un schéma de fraude connu.
| Catégorie de signaux d’alerte | Signal d’alerte spécifique | Pourquoi les fraudeurs utilisent cette tactique | S'applique à
|
|---|---|---|---|
| Contact non sollicité | Vous recevez un appel, un e-mail ou un message inattendu de la part d’une personne se faisant passer pour une banque, un organisme public ou une entreprise | En prenant l’initiative du contact, le fraudeur contrôle le déroulement de la conversation avant que la victime n’ait le temps de vérifier les faits | Particuliers et entreprises |
| Fausse urgence | On vous dit que vous devez agir immédiatement sous peine de perdre de l'argent, de faire face à des conséquences juridiques ou de passer à côté d'une opportunité | La pression temporelle empêche les victimes de prendre le temps de vérifier les faits ou de demander un deuxième avis | Particuliers et entreprises |
| Consignes de confidentialité | On vous demande de ne pas parler de la transaction à votre banque, à votre famille ou à vos collègues | L'isolement empêche les victimes de recevoir des conseils susceptibles de mettre au jour la fraude | Particuliers et entreprises |
| Demandes de compte sécurisé | On vous demande de transférer de l’argent vers un nouveau compte ou un compte « sécurisé » pour vous protéger | Aucune banque ni aucune autorité légitime ne demandera jamais à un client de transférer des fonds vers un autre compte pour des raisons de sécurité | Particuliers |
| Coordonnées bancaires non vérifiées | Vous recevez des coordonnées bancaires nouvelles ou modifiées sans pouvoir les vérifier par vous-même | Les fraudeurs interceptent ou falsifient les coordonnées bancaires, comptant sur le fait que les victimes ne les vérifieront pas par un autre moyen | Entreprises |
| Pression pour contourner la vérification | On vous dissuade d'utiliser les contrôles de sécurité standard de votre banque ou on vous dit qu'ils sont inutiles | Les processus de vérification standard constituent le principal obstacle à la réussite d’une fraude ; les fraudeurs s’efforcent de les contourner | Particuliers et entreprises |
| Des offres « trop belles pour être vraies » | Un prix, un rendement ou une opportunité semble nettement plus avantageux que des alternatives comparables | Ces offres alléchantes affaiblissent le discernement de la victime et l’incitent à agir rapidement | Particuliers |
Mesures que les particuliers et les entreprises peuvent prendre pour réduire les risques
Les particuliers comme les institutions financières peuvent prendre des mesures concrètes pour réduire leur exposition à la fraude par usurpation d’identité (APP).
Pour les particuliers et les entreprises, quelques habitudes peuvent faire toute la différence. Vérifiez toujours par vous-même : si vous recevez de nouvelles coordonnées bancaires ou une demande urgente, rappelez l’organisme en utilisant un numéro figurant sur son site web officiel — et non celui fourni dans le message. Lorsque cela est possible, utilisez les outils de « Confirmation du bénéficiaire » (CoP), qui vérifient que le nom du compte correspond au code guichet et au numéro de compte avant l’envoi d’un paiement. Vérifiez toujours les résultats de la CoP avant de poursuivre. Et n’agissez jamais sous la pression. Les organismes légitimes ne vous pénaliseront pas si vous prenez le temps de vérifier une demande. L’urgence est une tactique de manipulation, et non une véritable exigence opérationnelle. Les entreprises doivent également mettre en place des contrôles à double autorisation pour les paiements de montant élevé et exiger une confirmation verbale de toute modification des coordonnées bancaires d’un fournisseur.
Pour les établissements financiers, l’approche est différente mais tout aussi concrète :
- Surveillance des transactions à l’aide de l’IA et de l’apprentissage automatique. L’analyse comportementale et la détection des anomalies permettent de signaler les paiements autorisés qui s’écartent des habitudes établies d’un client — par exemple, un virement important effectué pour la première fois en faveur d’un bénéficiaire inconnu.
- Friction ciblée aux moments à haut risque. Des alertes, des délais de réflexion et des messages d’avertissement au moment du paiement peuvent interrompre le processus d’ingénierie sociale avant que les fonds ne quittent le compte.
- Programmes de sensibilisation des clients. Une communication claire sur les techniques de fraude actuelles réduit la vulnérabilité des victimes au fil du temps.
Que faire immédiatement après un paiement frauduleux
La rapidité est le facteur le plus important pour récupérer les fonds après un incident de fraude par APP.
- Contactez immédiatement votre banque. Signalez la fraude dès que possible et demandez à la banque de tenter de faire annuler le paiement. De nombreuses banques participent à des programmes d’annulation volontaires ou obligatoires qui permettent de geler les fonds si l’on agit rapidement.
- Signalez l’incident à l’autorité compétente. Au Royaume-Uni, signalez-le à Action Fraud. Aux États-Unis, déposez une plainte auprès de la FTC et de l’IC3. Dans d’autres juridictions, contactez l’organisme national chargé de signaler les crimes financiers.
- Conservez toutes les preuves. Conservez l’ensemble des communications, des relevés de transactions et de toute information concernant le compte ou les coordonnées du fraudeur. Cela facilitera à la fois l’enquête de la banque et toute action des forces de l’ordre.
- Demandez l’ouverture d’une procédure de réclamation officielle. Si votre banque refuse de vous rembourser, faites appel à la procédure de réclamation officielle et, le cas échéant, adressez-vous au médiateur financier ou à l’autorité de régulation compétente.
Droits des victimes de fraude aux applications mobiles par région
Les mesures de protection des consommateurs destinées aux victimes de fraudes via l’APP varient considérablement d’une juridiction à l’autre. Le tableau ci-dessous résume la situation actuelle dans les principales régions.
| Région / Juridiction | Cadre réglementaire | Obligation de remboursement | Conditions ou exceptions principales | Situation
|
|---|---|---|---|---|
| Royaume-Uni | Règle de remboursement obligatoire du PSR | Remboursement obligatoire à hauteur de 85 000 £ pour la plupart des cas de fraude par virement automatique (APP), réparti à parts égales entre la banque émettrice et la banque destinataire | Des exceptions s'appliquent en cas de négligence grave, de fraude commise par le titulaire du compte et pour les réclamations inférieures à un seuil de franchise de 100 £ | En vigueur à partir d'octobre 2024 |
| États-Unis | Règlement E (loi sur les virements électroniques de fonds) | Aucune obligation fédérale concernant les paiements «push» autorisés ; le remboursement est laissé à la discrétion de la banque pour les paiements approuvés par le client | Les protections prévues par le règlement E s’appliquent uniquement aux transactions non autorisées ; les virements autorisés ne bénéficient que d’une couverture fédérale très limitée | Situation actuelle ; débat législatif en cours |
| Union européenne | PSD2 / PSD3 (Directive sur les services de paiement) | La PSD2 offre une protection limitée pour les paiements autorisés ; la PSD3 propose d’imposer des obligations plus strictes aux prestataires de services de paiement afin de détecter et de prévenir la fraude | La responsabilité peut être transférée à l’établissement du payeur s’il n’a pas appliqué une authentification forte du client | La PSD3 est en cours d’adoption législative à compter de 2024 |
| Australie | Accord « Scam-Safe » / projet de cadre de prévention des escroqueries | Engagements pris par le secteur dans le cadre du « Scam-Safe Accord » ; cadre obligatoire en cours d'élaboration législative | Le cadre proposé exigerait que les banques, les opérateurs télécoms et les plateformes numériques partagent la responsabilité | Législation en cours d’élaboration à partir de 2024 |
Remarque : les cadres réglementaires dans ce domaine évoluent rapidement. Les lecteurs sont invités à vérifier les règles en vigueur auprès de leur établissement financier ou de l'autorité de régulation nationale.
Conclusion
La fraude par application mobile est une menace d’ingénierie sociale, et non une menace technique — et cette distinction détermine tout, de la manière dont elle est détectée à la façon dont les victimes sont protégées. La combinaison de systèmes de paiement rapides et irrévocables et de tactiques d’usurpation d’identité sophistiquées rend la fraude par application mobile à la fois très efficace pour les criminels et particulièrement difficile à contrer. La connaissance des types de fraude courants, la reconnaissance des signes avant-coureurs et une réaction rapide après un incident constituent les défenses les plus fiables dont disposent les particuliers et les entreprises.
Pour les établissements financiers, la surveillance des transactions basée sur l’IA décrite dans cet article constitue un volet d’une stratégie de défense plus large. Le volet de vérification d’identité — qui englobe l’authentification des documents, la détection des identités synthétiques et la détection des deepfakes — est devenu un complément de plus en plus important à la surveillance des transactions, car il s’attaque aux mécanismes d’usurpation d’identité sur lesquels repose la fraude APP au moment de l’adhésion et de l’autorisation de paiement. Les plateformes de vérification d’identité telles que Microblink, qui a développé ces capacités spécifiquement pour les environnements bancaires et fintech depuis plus d’une décennie, constituent une catégorie de solutions que les institutions financières peuvent envisager lorsqu’elles évaluent leur infrastructure de prévention de la fraude.
