Cinq conseils pour lutter contre la fraude en 2023

Angel Grant

Dans un monde de plus en plus numérique, les tendances en matière de fraude évoluent constamment, et les menaces qui pèsent sur les consommateurs, les acteurs du e-commerce et les organismes de services financiers augmentent non seulement en nombre, mais aussi en sophistication. Le coût total de la fraude dans le e-commerce devrait dépasser 48 milliards de dollars à l’échelle mondiale en 2023, contre un peu plus de 41 milliards de dollars en 2022. Cette hausse du coût de la fraude s’explique par de nombreux facteurs, notamment l’essor des paiements et des achats en ligne dû à la pandémie, l’omniprésence des logiciels malveillants et des bots qui extraient les informations des utilisateurs sur le Web, ainsi que les escroqueries par ingénierie sociale qui exploitent les vulnérabilités humaines.

Avant l’ère numérique, la fraude exigeait une planification minutieuse et une grande discrétion. Aujourd’hui, les outils nécessaires pour escroquer les particuliers et les entreprises sont facilement accessibles en ligne, ce qui facilite le passage à l’acte. Avec les places de marché virtuelles, les portefeuilles numériques et l’automatisation croissante de tous les domaines, les criminels disposent non seulement d’un nombre toujours plus important de cibles, mais aussi d’outils et de technologies sophistiqués pour infiltrer les entreprises et s’attaquer aux comptes des particuliers.

Découvrez nos cinq conseils pour lutter contre la fraude en 2023 et gardez une longueur d’avance sur les dernières menaces et techniques d’exploitation que les cybercriminels utiliseront cette année pour cibler les entreprises du e-commerce et les organismes de services financiers.

1. Aligner et faire converger plusieurs stratégies de sécurité afin de lutter plus efficacement contre la fraude, sans nuire à l’expérience client.
   
   Les commerçants et les organismes de services financiers doivent améliorer la collaboration entre leurs équipes chargées de la sécurité, de la gestion des identités et des accès clients (CIAM), de la détection des fraudes et de l’authentification dans l’ensemble de l’organisation. Les criminels peuvent facilement exploiter les vulnérabilités créées par le cloisonnement des équipes et par des stratégies de sécurité reposant trop largement sur les techniques CAPTCHA et d’authentification multifacteur (MFA). Ces mécanismes interrompent continuellement l’expérience utilisateur, souvent sans tenir compte du niveau de risque associé à la tentative de connexion.
   
   Une approche transparente et continue de l’authentification basée sur les risques permet aux commerçants et aux entreprises de services financiers de mieux collaborer entre les différentes équipes de leur organisation et de mettre en œuvre une stratégie de détection des fraudes agile, fiable et générant peu de faux positifs, sans nuire à l’expérience utilisateur.
   
   
2. Élargissez les stratégies traditionnelles de prévention de la fraude couvrant tous les points de contact afin d’obtenir une visibilité globale et des informations pertinentes sur l’ensemble du parcours client.
   
   Cette stratégie doit se concentrer sur trois domaines clés souvent négligés :
   
   
   • Commencez dès le premier contact avec le canal : Concentrez-vous sur les activités des clients dès qu’ils accèdent à un canal ou créent un compte. Cela devrait améliorer la visibilité sur les attaques côté client telles que l’écrémage numérique ou le détournement de formulaire, souvent utilisés pour dérober des identifiants et des données de carte lors de l’ouverture d’un nouveau compte, ce qui peut à terme conduire à une prise de contrôle du compte et à une fraude.
     
     
   • Examinez les intégrations d’API tierces : Outre les applications web et mobiles, les commerçants et les entreprises de services financiers doivent également veiller à intégrer la protection des API à leurs stratégies de sécurité. Les API sont exposées aux mêmes attaques que les applications web, notamment aux exploitations de vulnérabilités et aux abus qui entraînent des violations de données et des fraudes, et génèrent des risques imprévus liés aux intégrations et aux écosystèmes tiers.
     
     
   • Évaluer le risque de fraude lié aux transactions sans présentation de la carte (CNP) : Les commerçants qui proposent de nouveaux services, tels que le paiement de proximité, l’achat en ligne avec retrait en magasin (BOPIS) et le paiement fractionné ou différé (BNPL), doivent comprendre les risques associés à ces transactions et les prendre en compte dans leurs stratégies de prévention de la fraude. Cela implique notamment d’analyser les schémas de comportement frauduleux et de partager ces informations sur l’ensemble des canaux.
     
3. Soyez attentif aux nouveaux défis liés à la fraude amicale dans un contexte de récession.
   
   Un nouveau type majeur de fraude amicale auquel les commerçants doivent s’attendre à être davantage confrontés en période de récession est la « fausse fraude amicale ». Celle-ci se produit lorsque des criminels créent des identités synthétiques pour se faire passer pour de vrais clients, puis effectuent des transactions sans avoir l’intention de payer les marchandises achetées. Les auteurs de fausses fraudes amicales peuvent déjouer et contourner efficacement les mesures de prévention, car ils peuvent facilement réutiliser des informations d’identité volées et créer de nouvelles identités synthétiques afin d’ouvrir de nouveaux comptes et d’éviter d’être bloqués par une liste d’exclusion. Ces activités de fraude amicale peuvent inclure l’utilisation abusive de programmes BNPL, les escroqueries aux points de fidélité et aux remboursements, ainsi que la fraude par liquidation de compte.
   
   Protégez-vous contre l’ouverture de nouveaux comptes à l’aide d’identités synthétiques en exploitant les enseignements tirés des modèles biométriques comportementaux, enrichis par l’apprentissage automatique, afin de permettre aux équipes chargées de la sécurité et de la lutte contre la fraude de mieux détecter les comptes compromis.
   
   
4. Préparez-vous à la directive européenne sur les services de paiement 3 (DSP3) et à ses nouvelles réglementations relatives aux paiements numériques.
   
   Le paysage des menaces, des paiements et de la réglementation auquel sont confrontés les commerçants et les banques a considérablement évolué depuis l’entrée en vigueur initiale de la directive sur les services de paiement en 2018. Pour se préparer aux exigences renforcées de la DSP3, les commerçants et les banques doivent dresser l’inventaire des nouveaux services, canaux et moyens de paiement qu’ils ont récemment adoptés. Par exemple, prenez-vous désormais en charge les portefeuilles numériques et les paiements en cryptomonnaies ? Combien de nouvelles API de fournisseurs tiers, utilisant différents formats, avez-vous intégrées à vos systèmes et à vos sites web ?
   
   Les commerçants et les organismes de services financiers ne doivent plus se contenter d’aborder leur stratégie actuelle en matière d’API et d’authentification sous le seul angle des risques de non-conformité. Ils doivent anticiper de manière proactive et gérer l’ensemble des risques liés à la sécurité et à la fraude qu’entraîne l’environnement moderne des API.
   
   
5. Préparez-vous aux attaques ciblant les API fantômes et la chaîne d’approvisionnement JavaScript, ainsi qu’à la prochaine version de la norme de sécurité des données de l’industrie des cartes de paiement (PCI DSS) 4.0
   
   À mesure que les organisations développent leur écosystème de partenaires tiers et que le nombre de scripts présents sur leur site augmente, elles créent de nouveaux points de vulnérabilité potentiels susceptibles d’entraîner des attaques côté client, telles que l’écrémage numérique, le détournement de formulaire et les attaques Magecart. Une attaque par écrémage numérique se produit lorsqu’un cybercriminel injecte un ou plusieurs scripts malveillants, ou manipule un script existant sur une page ou une application légitime, afin de mener une attaque de type « homme dans le navigateur » visant la chaîne d’approvisionnement logicielle. Ces attaques sont difficiles à détecter, car ces scripts sont fréquemment mis à jour par des tiers, souvent sans qu’aucun processus ne permette à votre organisation d’effectuer des contrôles de sécurité.
   
   En outre, les nouvelles exigences de la norme PCI DSS 4.0 mettront l’accent sur la nécessité de surveiller et de gérer les bibliothèques JavaScript tierces exécutées dans le navigateur et intégrées aux sites d’e-commerce pour fournir des fonctionnalités telles que les iFrames de traitement des paiements, les chatbots, la publicité, les boutons de partage sur les réseaux sociaux et les scripts de suivi. Bien que la conformité aux nouvelles exigences de la norme PCI DSS 4.0 ne soit obligatoire qu’à partir de 2025, les attaques côté client sont d’ores et déjà de plus en plus fréquentes. Il convient donc de mettre en place ces protections renforcées dès que possible.
   
   Les organisations doivent non seulement disposer d’une visibilité sur les bibliothèques JavaScript exécutées dans leurs applications web, mais aussi savoir quelles données les scripts collectent afin d’éviter toute violation des réglementations relatives à la confidentialité des données, telles que le RGPD et le CCPA, et de rester en conformité avec les nouvelles exigences 6.4.3 et 11.6.1 de la norme PCI DSS 4.0.
   
   La plupart des organisations ne disposent pas d’un contrôle ni d’une gouvernance centralisés pour la gestion des scripts. Si un script tiers présent sur votre site comporte une vulnérabilité dont vous n’avez pas connaissance, vous ne pouvez pas la corriger. Les cybercriminels savent que de nombreuses organisations peinent à gérer, suivre et sécuriser le volume, la diversité et l’ampleur des scripts désormais intégrés aux sites web, et ils savent comment les exploiter à leur profit.

Découvrez d’autres stratégies innovantes pour lutter contre la fraude en consultant le rapport d’Aite « Comment prévenir la fraude en ligne face à la cybercriminalité organisée », et rendez-vous sur notre site Web pour en savoir plus sur les solutions F5 de prévention de la fraude en ligne.

À propos de l’auteur

Angel Grant

Autres articles de Angel Grant