Prise de contrôle du compte : relevez le défi au lieu de bloquer le client

Lorsqu'une tentative de connexion semble être une usurpation de compte, la meilleure solution consiste généralement à ne ni l'autoriser ni à bloquer le compte. Laissez la session se poursuivre avec des droits limités et demandez une preuve que seul le client légitime peut fournir avant toute action sensible : un paiement, un nouveau bénéficiaire, un changement de numéro de téléphone ou de mot de passe.

Cette preuve doit être liée à la personne vérifiée lors de son inscription, et non à un élément qu'un pirate pourrait déjà contrôler. Un selfie récent, pris en direct et comparé aux informations d'inscription du client, est la solution la plus fiable au quotidien. Un code envoyé par SMS à un numéro que le pirate a peut-être récemment modifié est la solution la plus vulnérable.

Pourquoi le blocage est-il la mauvaise valeur par défaut ?

La plupart des tentatives de connexion qui semblent risquées ne sont pas des attaques. On achète de nouveaux téléphones, on voyage, on réinstalle des applications et on emprunte celui d'un proche. Une règle qui bloque systématiquement tout nouvel appareil bloquera la plupart des clients, et chaque blocage se traduira par un appel au service client, une transaction annulée ou un compte fermé.

Laisser passer l'intégralité des opérations est pire. Une prise de contrôle qui atteint l'écran de paiement peut vider un compte en quelques minutes, et le client s'attendra à ce que vous l'ayez remarquée.

Il existe une étape intermédiaire. Elle coûte quelques secondes à un client légitime. Elle coûte à un attaquant la totalité de la tentative, à condition que le défi exige quelque chose qu'il ne possède pas.

Qu'est-ce qui fait qu'une connexion ressemble à une prise de contrôle de compte ?

Les signaux qui suggèrent une prise de contrôle décrivent généralement un changement par rapport à l'historique du client :

• Un appareil que le client n'a jamais utilisé auparavant.

• Un changement de pays trop rapide pour être vécu en voyage , comme Lagos il y a une heure et un autre continent maintenant.

• Un nouvel appareil suivi rapidement d'une action délicate , comme l'ajout d'un bénéficiaire quelques minutes après la connexion.

• Réinitialisation du mot de passe ou changement de numéro de téléphone juste avant un retrait.

• Une adresse IP fournie par un hébergeur plutôt que par un réseau mobile ou une connexion internet domestique.

Chacune de ces actions a une explication innocente prise individuellement. Mais combinées, et suivies d'une tentative de transfert d'argent, elles méritent d'être contestées.

Qu'est-ce qu'un bon défi progressif ?

Classez les défis selon qu'un attaquant ayant pris le contrôle du compte pourrait les relever.

Le principe est simple : les défis les plus complexes sont liés à la personne vérifiée plutôt qu’à un identifiant. Réservez l’option la plus exigeante aux situations les plus critiques et n’utilisez jamais un code envoyé à des coordonnées modifiées au cours de la même session.

Où devrait se situer le défi ?

Intégrez le défi avant l'action entraînant une perte, et pas seulement lors de la connexion. Exemple de politique pour une application de portefeuille électronique :

1. Connexion depuis un appareil connu : autoriser.

2. Connexion depuis un nouvel appareil, rien d'autre d'inhabituel : autoriser, mais masquer les soldes ou limiter les transferts jusqu'à l'étape suivante.

3. Ajout d'un nouvel appareil et d'un bénéficiaire au cours de la même session : un selfie correspondant à l'inscription est requis avant que le bénéficiaire ne devienne actif.

4. Nouvel appareil, changement de pays rapide et retrait supérieur au montant habituel du client : bloquer le retrait et exiger une revérification complète.

5. L’étape de montée en gamme a échoué, ou a été abandonnée à deux reprises : geler les paiements sortants et ouvrir un dossier pour examen.

Cela permet de maintenir le client dans l'application dans tous les cas, sauf le dernier, et même alors, il sait ce qu'il doit faire ensuite.

Comment utiliser un résultat d'étape

Une validation réussie constitue une preuve supplémentaire que la personne concernée est présente. Consignez-la et laissez-la lever la restriction pour cette session ou action.

Un échec lors d'une tentative de prise de contrôle est l'un des signaux les plus clairs. Traitez avec précaution un défi abandonné : un client légitime peut simplement être occupé, mais un attaquant ne peut pas le mener à bien. Par conséquent, des abandons répétés lors d'une session risquée méritent d'être examinés.

Informez toujours le client, par un canal de confiance préalablement établi, qu'un nouvel appareil a été utilisé et qu'un chèque a été demandé.

Comment Toden soutient ce flux

Les pièces s'assemblent comme des signaux, un défi et un résultat.

Signaux. Votre système peut envoyer des notifications de connexion, de réinitialisation de mot de passe, d'ajout de bénéficiaires, de changement d'appareil, de versement et de retrait.POST /api/v1/activities, avec la référence de votre appareil, l'adresse IP et la localisation du client, et recevez unallow,reviewoublockLa décision est prise conformément aux règles déclenchées ( documentation de surveillance de l'activité (s’ouvre dans un nouvel onglet) ). La réutilisation d'un appareil de référence stable permet de constituer progressivement des preuves pour les nouveaux appareils, et les règles intégrées prennent en compte les nouveaux appareils et les changements rapides de pays. Ce service de surveillance de la fraude requiert l'autorisation de prévention de la fraude et un profil d'entreprise approuvé.

Défi. Pour les particuliers, une revérification approfondie peut être demandée à partir d'un flux de travail, via le API ou depuis le tableau de bord. Vous recevezentity.step_up_requestedavec un défi organisé URL et sa date d'expiration, que vous envoyez ou affichez au client ( webhooks de décision d'activité (s’ouvre dans un nouvel onglet) ). Traitez cela URL comme information sensible. Pour les clients déjà inscrits, la réauthentification biométrique consiste à comparer un nouveau selfie à leur référence d'inscription.

Résultat. entity.step_up_completedindique si le client a réussi ; ne continuez que lorsquepassedC'est exact. Dédupliquez chaque webhook en fonction de son ID d'événement.

Votre plateforme applique le résultat. Toden peut recommander de vérifier ou de signaler un défi ayant échoué, mais ne peut pas désactiver une connexion, un compte ou un portefeuille hébergé sur vos propres systèmes.

Liste de vérification avant l'expédition

1. Dressez la liste des actions susceptibles d'entraîner des pertes et associez-y un défi.

2. Déterminez quels signaux déclenchent quel défi, en commençant par un nouvel appareil et une action délicate.

3. Supprimez tout défi qui repose sur des coordonnées modifiées au cours de la même session.

4. Assurez-vous qu'un défi réussi lève la restriction sans avoir besoin de passer par un ticket d'assistance.

5. L'itinéraire a échoué et les contestations relatives à un dossier ont été abandonnées à plusieurs reprises ; le client a été informé par un canal de confiance.

6. Analyse d'un mois de défis : combien de clients légitimes ont bénéficié d'une prise en charge et combien d'attaques ont été bloquées lors de ces défis ?

Apprenez-en davantage sur la prévention et la détection des fraudes avec Toden .