Parfois, la fraude peut s’apparenter à un jeu du chat et de la souris : les criminels se montrent généralement agressifs et passent à l’offensive, tandis que les entreprises peinent à se protéger et restent sur la défensive. Pour les entreprises, le jeu devient de plus en plus difficile. Les outils des organisations criminelles gagnent en sophistication et leurs attaques en complexité. Les établissements de services financiers et les commerçants ont du mal à adapter en permanence leurs dispositifs de sécurité et de lutte contre la fraude pour faire face à des attaques qui évoluent rapidement. Et si vous ne suivez pas le rythme, vous prenez du retard. Les risques sont une augmentation des pertes, des transactions abandonnées et l’insatisfaction des clients. Perdre de l’argent et des clients : une combinaison peu enviable.
Il est temps de repenser votre approche de la prévention de la fraude. Mais je vous entends déjà : « Je manque de personnel et de moyens. Comment voulez-vous que je puisse rivaliser avec des organisations criminelles plus agiles et mieux financées ? » Dans cet environnement difficile, il faut travailler plus intelligemment, et non plus durement. Les commerçants et les entreprises de services financiers qui ont réussi à relever ce défi y sont parvenus en examinant à la fois leurs pratiques internes et leur environnement extérieur.
Regarder en interne
En se penchant sur leur fonctionnement interne, les entreprises performantes ont reconnu les lacunes de leurs dispositifs de sécurité et de lutte contre la fraude. Il est courant qu’un service de cybersécurité protège les réseaux informatiques et les applications accessibles depuis l’extérieur contre les intrusions, les exploitations de vulnérabilités et les attaques par déni de service, tandis qu’un service de lutte contre la fraude se concentre sur les transactions en ligne et numériques, la corrélation des événements et la réponse aux incidents. Il en résulte une séparation des responsabilités entre deux services disposant d’outils, de jeux de données, d’indicateurs de performance, d’effectifs et de budgets différents. Voyons en quoi cette organisation nuit à l’entreprise.
Les violations de données et les fuites d’identifiants ont exposé des milliards de données à caractère personnel, notamment des paires nom d’utilisateur/mot de passe. Lors d’une attaque classique, un attaquant procède au bourrage d’identifiants à l’aide de botnets fortement distribués afin de tester ces paires à grande échelle et de déterminer celles qui sont encore valides. Une fois en possession d’une paire valide, l’attaquant peut facilement devenir un cybercriminel en prenant le contrôle du compte en ligne d’un client pour en retirer de l’argent, blanchir des points de fidélité ou effectuer des achats non autorisés. Selon les contre-mesures de sécurité rencontrées, le cybercriminel peut adapter son attaque en utilisant différents outils, allant des scripts réseau et des botnets à des outils qui imitent le comportement humain, ou encore à des frameworks capables d’effectuer des appels d’API vers des fermes à clics humaines afin de résoudre les CAPTCHA.
Ce type d’attaque relève à la fois de la responsabilité des équipes de sécurité et de lutte contre la fraude. Si ces équipes ou leurs outils ne communiquent pas entre eux, les renseignements sur les menaces et les éléments de contexte se perdent, et il devient difficile (voire impossible) d’appréhender l’attaque dans son ensemble. Par conséquent, les fraudeurs passent entre les mailles du filet, entraînant des pertes financières pour les entreprises et leurs clients.
Il est temps de décloisonner l’organisation. La collaboration entre les équipes et les technologies peut favoriser la convergence, l’augmentation du chiffre d’affaires et, à terme, la réussite de l’entreprise. En outre, la mise en commun des ressources et des données améliore la visibilité, ce qui permet de tenir les organisations criminelles à l’écart tout en offrant aux clients légitimes une expérience fluide. Selon une récente étude d’Aite-Novarica Group menée auprès de 110 entreprises de la fintech, celles qui disposent d’un système intégré de lutte contre la fraude sont deux fois plus susceptibles d’estimer que la gestion de la fraude est relativement ou très facile que celles qui utilisent des systèmes de lutte contre la fraude séparés et distincts.
Une plateforme intégrée permet d’avoir une vision plus globale de la fraude grâce à la mutualisation et à l’analyse continue des données. Un jeu de données plus vaste, et donc un plus grand nombre de signaux de fraude, permet de créer des modèles d’apprentissage automatique plus prédictifs et plus précis. Cela peut non seulement fournir des renseignements plus proactifs et exploitables, mais aussi améliorer l’expérience utilisateur, car cette précision accrue permet d’accélérer l’authentification et d’offrir aux clients un parcours de transaction fluide sans augmenter le risque de fraude.
Regarder vers l’extérieur
Il est également important de se tourner vers l’extérieur pour créer un écosystème efficace de lutte contre la fraude. Les entreprises de services financiers et les commerçants ont généralement pour pratique d’acheter des outils et de gérer la fraude en interne, en confiant à leur personnel la configuration de ces outils afin de prévenir la fraude. À mesure que les attaques frauduleuses évoluent, l’entreprise doit adapter ses stratégies de lutte contre la fraude pour les contrer, ajuster les règles d’authentification et examiner les faux positifs. Autrement dit, l’entreprise doit subir un nouveau type d’attaque frauduleuse (et une perte financière) avant de pouvoir empêcher qu’il ne se reproduise. Cette stratégie réactive laisse l’entreprise vulnérable pendant que les services internes enquêtent et remédient à la faille de sécurité.
Pourquoi ne pas adopter une approche proactive ? Les fournisseurs de solutions commerciales s’appuient sur l’étendue de leur expérience et leur visibilité pour mieux protéger leurs clients que chacun d’eux ne pourrait le faire seul. Comment ? Un fournisseur disposant d’une vaste clientèle répartie dans plusieurs régions et secteurs d’activité bénéficie d’une vision très large de la fraude, en particulier lorsque les renseignements sur les menaces sont partagés au sein de son réseau de défense collective. Si un nouveau vecteur d’attaque frauduleuse apparaît, le fournisseur peut rapidement adapter ses dispositifs de lutte contre la fraude afin de protéger tous ses clients.
La solution gagnant-gagnant-gagnant
Il est difficile de garder une longueur d’avance face à la sophistication croissante des organisations criminelles et de leurs attaques, surtout lorsque les effectifs et les ressources sont limités. Il est temps d’examiner les solutions internes comme externes. Réunir la cybersécurité et la gestion de la fraude au sein d’une équipe intégrée, tout en s’appuyant sur une expertise externe, offre trois avantages majeurs : une gestion simplifiée de la cybersécurité et de la fraude, une réduction des pertes et une meilleure expérience en ligne pour les clients. Une solution gagnant-gagnant-gagnant.
Par David Mattei, conseiller stratégique, Aite-Novarica Group
_____
Pour aller plus loin, consultez le rapport d’Aite afin de découvrir de nouvelles stratégies pour réduire les pertes liées à la fraude.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.