Protéger les programmes de points de fidélité contre la fraude : 5 conseils clés

Angel Grant

Beaucoup d’entre nous commencent enfin à organiser les voyages et les vacances qu’ils attendent depuis si longtemps — peut-être leur première occasion de vraiment s’évader depuis le début de la pandémie. Vous envisagez peut-être d’utiliser ces miles aériens ou points hôteliers accumulés depuis longtemps et laissés en sommeil dans vos programmes de fidélité. Imaginez votre surprise si vous découvrez que vos points de fidélité ont été détournés par des cybercriminels qui ont piraté vos comptes de fidélité ou les ont utilisés à des fins frauduleuses.

Les programmes de points de fidélité existent depuis longtemps et constituent un excellent outil pour attirer et fidéliser les clients. Cependant, nous constatons actuellement une recrudescence des attaques de criminels visant ces programmes afin de compromettre des comptes. Pourquoi ? Parce qu’il existe un TRÈS GRAND nombre de points de fidélité inutilisés : selon la Loyalty Security Association, rien qu’aux États-Unis, 45 % des comptes sont considérés comme inactifs, ce qui représente environ 48 000 milliards de dollars de points non dépensés dormant sur les comptes des membres, pour la plupart sans surveillance, voire oubliés. Une véritable aubaine pour les cybercriminels, qui peuvent facilement détourner ces points délaissés et les monétiser à leur profit.

Pourquoi les criminels ciblent les programmes de fidélité

Pour les cybercriminels, pirater des comptes de points de fidélité est un jeu d’enfant. Même si ces comptes peuvent représenter une valeur de plusieurs milliers de dollars, la plupart des consommateurs ne les surveillent pas aussi attentivement que leurs comptes auprès d’une banque ou d’un établissement financier. De nombreux comptes sont protégés par une simple combinaison nom d’utilisateur/mot de passe et, comme beaucoup de consommateurs réutilisent leurs mots de passe, les criminels disposant d’identifiants volés peuvent assez facilement recourir à des attaques automatisées par bots pour tester ces identifiants sur des comptes de fidélité. Une fois les points sous leur contrôle, ils peuvent les convertir en argent, les échanger contre des biens difficiles à tracer, tels que des cartes-cadeaux, ou les revendre sur le dark web, le tout avec peu de risques. En outre, les criminels savent que le piratage de comptes de fidélité peut leur procurer non seulement des gains financiers à court terme, mais aussi un accès à des données et à des renseignements exploitables dans le cadre d’autres activités frauduleuses, notamment l’usurpation d’identité à partir d’informations personnelles identifiables, de données sur les voyages et les séjours, des habitudes d’achat, etc.

En réalité, les cybercriminels ne sont pas les seuls dont vous devez vous méfier. Voici trois types de fraude aux programmes de fidélité à surveiller :

• Le double cumul : Il s’agit de membres légitimes qui fraudent le programme en « cumulant deux fois », c’est-à-dire en échangeant simultanément leurs points par téléphone et en ligne. Ils peuvent également associer leur numéro de compte de fidélité à un achat qu’ils n’ont pas effectué afin de cumuler frauduleusement les points. Ils peuvent aussi effectuer des achats pour générer un grand nombre de points de récompense, puis annuler la transaction, mais seulement après avoir échangé les points contre des récompenses en espèces. Par ailleurs, les consommateurs et membres légitimes peuvent détourner les règles ou la logique commerciale en exploitant les failles des programmes. Il peut notamment s’agir de partager des coupons ou des codes promotionnels, d’enfreindre les politiques des commerçants ou de souscrire plusieurs cartes de crédit liées au même programme de récompenses afin d’obtenir indûment des avantages.
• La fraude interne : Il s’agit d’une fraude impliquant des personnes internes ou des employés de votre organisation. Ceux-ci peuvent manipuler le programme de fidélité, par exemple en attribuant des points inutilisés ou non réclamés au compte d’un autre membre, ou en transférant frauduleusement des points d’un compte à un autre.
• Le cybercriminel : La cybercriminalité est de loin la principale source de fraude aux programmes de fidélité. La méthode la plus courante consiste à prendre le contrôle d’un compte (ATO) à l’aide d’outils automatisés et de techniques telles que le bourrage d’identifiants, le détournement de formulaires ou le simple hameçonnage, afin d’accéder aux points accumulés et aux informations de carte bancaire enregistrées. Le bourrage d’identifiants consiste, pour un acteur malveillant, à tester sur la page de connexion d’un site un grand nombre d’identifiants compromis (par exemple, des noms d’utilisateur et des mots de passe dérobés sur un autre site). Comme les utilisateurs réutilisent leurs mots de passe sur plusieurs comptes, ces tactiques peuvent s’avérer particulièrement efficaces pour accéder aux comptes de fidélité. Les pirates peuvent alors en prendre le contrôle en modifiant les noms d’utilisateur et les mots de passe. Le détournement de formulaires offre aux pirates d’autres moyens de prendre le contrôle des comptes : il consiste à pirater les formulaires Web des programmes de fidélité afin de recueillir et de transmettre les données personnelles saisies par les consommateurs. L’attaquant obtient ainsi les clés du compte et peut piller les points à sa guise ou utiliser le compte à d’autres fins malveillantes.

Défendre et protéger les programmes de points de fidélité

Il est essentiel de protéger vos clients et votre programme de fidélité contre les activités frauduleuses, car si elles ne sont pas correctement traitées, elles peuvent gravement nuire à la confiance des consommateurs et à la réputation de la marque.

Cependant, les défenses traditionnelles en matière de cybersécurité ne sont plus suffisamment efficaces pour contrer les attaques sophistiquées visant les programmes de fidélité. Les protections obsolètes et les politiques inutilement restrictives, telles que l’expiration rapide des sessions, le blocage géographique, l’authentification multifacteur et l’obligation pour les membres de résoudre des CAPTCHA, peuvent frustrer les utilisateurs et sont facilement contournées.

En dépensant seulement quelques dollars, les attaquants peuvent recourir à des services peu coûteux de résolution de CAPTCHA pour contourner les protections de base contre les bots et acheter des listes d’identifiants plus fiables ciblant des zones géographiques précises. Les organisations criminelles peuvent rapidement changer de tactiques et de méthodes lorsque les défenseurs tentent d’entraver leurs activités. Garder une longueur d’avance sur les attaquants devient alors un problème presque insurmontable sans outils spécialisés ni équipes de sécurité dédiées.

5 bonnes pratiques pour protéger votre programme de fidélité contre la fraude

Les programmes de fidélité récompensent les clients les plus précieux de votre entreprise et vous aident à renforcer vos relations avec eux. Face à la multiplication des attaques, il est plus important que jamais de protéger ces programmes et les récompenses qu’ils permettent aux clients d’accumuler. Les cinq bonnes pratiques suivantes vous aideront à vous concentrer sur les scénarios d’attaque les plus courants, sans compliquer inutilement la consultation ou l’utilisation des points par les membres légitimes.

1. Prévenez la fraude à la création de comptes. La fraude à la création de comptes consiste, pour un fraudeur, à créer des comptes de fidélité, souvent à grande échelle, en utilisant des identités volées, synthétiques ou autrement falsifiées. Grâce à ces comptes frauduleux, les cybercriminels peuvent accumuler et revendre des points, ainsi qu’exploiter abusivement les programmes d’échange de récompenses. Assurez-vous que votre solution de cyberdéfense est capable de détecter les tentatives de création de plusieurs faux comptes au moyen d’outils automatisés ou de techniques manuelles sophistiquées.
2. Atténuez les tentatives de prise de contrôle de comptes. Assurez-vous que vos dispositifs de défense peuvent détecter les tentatives de prise de contrôle de comptes par des cybercriminels cherchant à voler des points ou à exploiter les données personnelles enregistrées des clients. Vos défenses doivent pouvoir s’adapter à l’évolution des modes d’attaque et se réajuster en temps réel. Surveillez le trafic des programmes de fidélité afin d’analyser les schémas de saisie à l’aide de signaux de télémétrie et de détecter les comportements anormaux. Vous pourrez ainsi déterminer si le trafic provient de bots malveillants ou d’êtres humains.
3. Protégez les transactions de conversion des récompenses. Assurez-vous de la légitimité des échanges de récompenses de fidélité et des paiements effectués avec les cartes de crédit associées au compte, en évaluant précisément la fiabilité de chaque transaction et l’identité du client concerné. Protégez votre programme à l’aide d’outils qui exploitent l’intelligence artificielle et l’apprentissage automatique pour surveiller les comportements transactionnels, et utilisez l’authentification adaptative, qui sélectionne le processus d’authentification approprié en fonction du risque associé à la tentative de connexion. Par exemple, des contrôles de sécurité renforcés peuvent être requis pour les activités à haut risque, telles que la modification d’un mot de passe ou la conversion d’un grand nombre de points. ​
4. Surveillez les abus liés aux politiques. Veillez à mettre en place des mesures préventives afin de limiter les pertes financières dues à l’exploitation ou à la manipulation des coupons et promotions, des remises ou des primes de parrainage, en évaluant le niveau de confiance à chaque point d’interaction.
5. Comprendre les menaces internes. Les programmes de fidélité sont également exposés aux menaces internes. Veillez à suivre et à mesurer les activités du personnel du site afin de détecter les anomalies, et à limiter l’accès des employés aux données du programme de fidélité.

Aidez vos clients à éviter la fraude aux points de fidélité

En plus de protéger votre programme de fidélité et ses actifs, aidez vos adhérents à préserver leurs points et leurs récompenses contre la fraude en leur communiquant les conseils suivants :

• Les membres doivent surveiller leurs programmes de fidélité comme ils le feraient pour leurs autres comptes financiers. Les programmes de fidélité peuvent représenter une valeur de plusieurs milliers de dollars. Vos clients doivent donc consulter régulièrement leurs comptes afin de s’assurer qu’ils n’ont pas été compromis.
• Profitez des options de sécurité renforcée. Si elles sont disponibles, encouragez les membres à utiliser des fonctionnalités de sécurité supplémentaires, telles que l’authentification multifacteur. Chaque couche de sécurité supplémentaire complique la tâche des fraudeurs qui cherchent à compromettre un compte.
• Méfiez-vous des e-mails et des publications sur les réseaux sociaux faisant la promotion de voyages. Expliquez à vos clients comment et par quels canaux vous communiquez vos offres promotionnelles. Assurez-vous qu’ils comprennent que les offres de voyage qui semblent trop belles pour être vraies le sont probablement. Les offres non sollicitées reçues par e-mail et les promotions qui apparaissent dans leur fil d’actualité sont probablement des tentatives d’hameçonnage visant à dérober des données personnelles, notamment des identifiants de connexion et des numéros de carte bancaire. Avant de répondre et de fournir la moindre information, les membres doivent vérifier que l’adresse e-mail de l’expéditeur est légitime ou contacter directement le programme de fidélité (et non par l’intermédiaire de l’e-mail ou de la publication sur les réseaux sociaux qu’ils ont reçus) afin de s’assurer que l’offre ou la demande est authentique.

F5 est fier d’aider les organisations à se protéger contre la fraude aux programmes de fidélité

Découvrez comment F5 continue de protéger de nombreuses organisations contre les attaques automatisées et les activités frauduleuses susceptibles de nuire aux marques en ciblant les comptes des membres afin de dérober de précieux points de fidélité et miles. Lisez ce témoignage client pour découvrir comment Distributed Cloud Bot Defense a aidé une grande compagnie aérienne internationale à mettre fin à des attaques automatisées contre son site web qui avaient compromis les comptes de ses voyageurs fréquents.

Découvrez comment nous pouvons vous aider à faire en sorte que les points de fidélité, les montants des cartes-cadeaux et autres valeurs stockées restent entre les mains de vos clients, et non de criminels, en consultant : https://www.f5.com/solutions/ecommerce

À propos de l’auteur

Angel Grant

Autres articles de Angel Grant