Votre client vient d'envoyer ses économies à un escroc. Comment détecter une fraude avant que l'argent ne soit transféré ?

Imaginez un client que vous connaissez depuis quatre ans. Son salaire est versé le 25, le loyer et les frais de scolarité sont prélevés, et il effectue quelques petits virements aux mêmes cinq personnes. Son compte n'a jamais nécessité la moindre vérification.

Un jeudi après-midi, elle se connecte sur son propre téléphone, avec son propre PIN Elle ajoute un destinataire qu'elle n'a jamais payé. Elle envoie la majeure partie de son solde. Vingt minutes plus tard, elle envoie le reste en deux virements.

Tous vos moyens de contrôle étaient réunis pour donner votre accord. C'était son visage, son appareil et ses instructions. Ce que vous ne pouviez pas voir, c'était la personne à l'autre bout du fil, calme et serviable, qui expliquait que son compte avait été piraté et que l'argent devait être mis en lieu sûr.

Il s'agit d'une arnaque par paiement instantané autorisée, généralement abrégée en APP Arnaque. Le client est réel. Le paiement est autorisé. L'argent disparaît malgré tout. Le compte sur lequel il atterrit est généralement un compte de mule financière , sujet que nous avons traité séparément. Cet article s'intéresse à l'autre extrémité du spectre : le client qui envoie l'argent et la décision qu'il prend dans les secondes qui précèdent le transfert.

Pourquoi les contrôles d'identité ne peuvent pas l'empêcher

La plupart des contrôles anti-fraude posent une seule question : est-ce vraiment le client ? APP Arnaque ? La réponse honnête est oui.

• Les vérifications d'intégration sont réussies. Le client a été correctement vérifié, peut-être il y a des années.

• La vérification d'identité est réussie. La bonne personne s'est connectée, souvent depuis son appareil habituel.

• Une arnaque plus poussée se produit également. On demande un selfie ou un code à usage unique, et le client le lui fournit, persuadé que le paiement est urgent et légitime. Un escroc au téléphone le guide même pas à pas.

La question doit donc changer. Il ne s'agit plus de savoir qui effectue ce paiement, mais si ce paiement est judicieux pour ce client.

Combien ça coûte et qui paie ?

Les chiffres publiés les plus clairs sont britanniques. UK Finance a fait état de (s’ouvre dans un nouvel onglet) pertes de 450,7 millions de livres sterling. APP En 2024, près de 186 000 cas de fraude ont été recensés, dont 267,1 millions de livres sterling (environ 59 %) ont été remboursés aux victimes par les banques. Le rapport indique également que 70 % des APP 16 % des cas ont débuté en ligne et via les réseaux de télécommunications, et les escroqueries à l'investissement ont représenté à elles seules 144,4 millions de livres sterling. Nous n'avons pas trouvé de chiffres aussi précis pour les marchés africains, et nous n'en fournirons donc pas.

Au Royaume-Uni, les coûts ne s'arrêtent plus à la victime. En vertu des protections de remboursement du régulateur des systèmes de paiement (s’ouvre dans un nouvel onglet) , qui s'appliquent aux virements bancaires britanniques effectués via Faster Payments ou CHAPS Pour les transactions effectuées à compter du 7 octobre 2024, les victimes peuvent prétendre à un remboursement allant jusqu'à 85 000 £ et espérer être remboursées sous cinq jours ouvrés. Les entreprises peuvent appliquer une franchise facultative de 100 £. Le client complice ou ayant commis une négligence grave n'est pas couvert. L'autorité de régulation précise que les entreprises expéditrice et destinataire partagent les frais à parts égales (50/50) (s’ouvre dans un nouvel onglet) .

Il se peut que votre pays n'ait pas de réglementation de ce type, qu'il en existe une différente ou qu'une réglementation soit en cours d'élaboration. Même en l'absence de toute obligation de remboursement, un client ayant perdu ses économies via votre application reste rarement fidèle et ne garde généralement pas le silence.

Ce que vous pouvez voir au moment du paiement

Vous ne pouvez pas entendre l'appel téléphonique. Vous pouvez observer les réactions du client. Aucun de ces éléments ne constitue à lui seul une preuve d'escroquerie, et leur combinaison rend toute autre explication difficile.

• Un premier versement à un nouveau bénéficiaire. Surtout s'il a été effectué quelques minutes auparavant.

• Un montant inhabituel. Bien supérieur à ce que ce client envoie habituellement, ou à la majeure partie du solde en une seule fois.

• Une avalanche de virements. Plusieurs paiements en un laps de temps très court, parfois fractionnés pour rester sous une limite.

• Un nouvel appareil ou un nouvel emplacement. Moins fréquent que le piratage de compte, mais les escrocs parviennent tout de même à convaincre leurs victimes d'installer une application ou d'utiliser un autre téléphone.

• Modifications juste avant le transfert des fonds : augmentation du plafond, nouveau bénéficiaire, réinitialisation du mot de passe.

• Un destinataire que vous avez déjà vu. Le fait que le même compte reçoive les premiers paiements de plusieurs de vos clients est un signe fort.

Comment bloquer ou contester le paiement

1. Évaluez avant de valider. Envoyez le paiement pour décision pendant qu'il est encore en cours, et non pas en lot le soir même. Une décision reçue après règlement constitue un rapport.

2. Donnez un véritable sens aux avis. Décidez à l'avance de la réaction de votre application face à un avis : suspendre le transfert, afficher un avertissement spécifique à ce type d'avis, ou le rediriger vers une personne.

3. Posez une question à laquelle l'escroc n'a pas préparé sa question. « Quelqu'un vous a-t-il demandé de transférer cet argent ? » est plus efficace que « Vous êtes sûr ? ». Un avertissement générique est ignoré.

4. Vérifiez les conditions légales de retenue des fonds. Au Royaume-Uni, le Règlement de 2024 modifiant le Règlement sur les services de paiement (s’ouvre dans un nouvel onglet) autorise un prestataire de paiement à différer un paiement en livres sterling au Royaume-Uni, au plus tard à la fin du quatrième jour ouvrable suivant sa réception, s'il a des motifs raisonnables de soupçonner une fraude ou une malhonnêteté de la part d'une personne autre que le payeur. Il doit alors informer le client du retard et de ses raisons. D'autres pays fixent des limites différentes, voire aucune.

5. Consignez les faits. Si un client signale ultérieurement une escroquerie, qualifiez ce paiement de frauduleux. C'est le seul moyen de savoir si vos règles auraient permis de la détecter.

Quoi Toden ce qu'il fait, et ce qu'il ne fait pas

Toden Son rôle est de prendre la décision.

• Vous envoyez chaque paiement aux transactions API La requête comprend le nom du client, du destinataire, le montant et, le cas échéant, l'appareil et l'adresse IP. La réponse, accompagnée d'une justification claire, indique si la requête autorise, examine ou bloque l'accès.

• Les règles intégrées couvrent un premier paiement important à un bénéficiaire que le client n'a jamais payé, un montant qui s'écarte fortement du montant de référence de ce client, un nombre excessif de paiements ou une valeur trop élevée sur une période donnée, ainsi que vos propres listes de bénéficiaires à haut risque et bloqués.

• L'enregistrement des paiements et des connexions via un appareil permet de constituer une preuve d'utilisation d'un nouvel appareil. Les connexions, les réinitialisations de mot de passe, les changements d'appareil et les nouveaux bénéficiaires peuvent être enregistrés comme des activités et analysés par le même système.

• Un examen génère une alerte détaillant les règles sous-jacentes, permettant à votre équipe d'enquêter. Notre guide d' optimisation des règles de surveillance aborde les seuils, et vous pouvez tester une modification de règle par rapport à l'activité récente avant sa mise en production.

• Lorsqu'une fraude est confirmée, vous pouvez enregistrer le résultat par rapport à la transaction afin que la performance des règles soit mesurée sur des cas réels.

Maintenant, les limites, qui comptent davantage.

• Toden Elle renvoie une décision. Elle ne bloque, n'annule ni ne récupère les fonds. La suspension du paiement est une action effectuée par votre système suite à cette réponse.

• Le système ne contacte pas le client. L'avertissement, l'appel et le texte vous incombent.

• Le système ignore les informations communiquées au client. Aucun élément du paiement ne permet de connaître l'appel téléphonique sous-jacent.

• Une validation supplémentaire confirme l'identité du payeur, mais pas la raison. Elle contribue à prévenir la prise de contrôle de compte et n'a que peu d'utilité ici, puisque le client légitime réussit.

• Le contrôle des destinataires vérifie que le nom ne figure pas parmi les sanctions. PEP et les listes de médias défavorables. On y trouve rarement la mule d'un escroc.

• Il ne voit que vos clients. Il ne peut pas vous indiquer que le compte du destinataire a été signalé auprès d'un autre établissement il y a une heure.

• Ces règles nécessitent des données. Chaque bénéficiaire doit disposer d'une référence stable pour tous les paiements, sinon la mention « jamais payé auparavant » ne veut rien dire.

• Une vérification peut parfois bloquer un paiement légitime. C'est à vous de fixer ce seuil, et cela implique un compromis.

Les règles et les chiffres relatifs aux créances que vous pouvez conserver, à leur durée de conservation, aux informations que vous devez fournir au client et à la prise en charge des pertes varient d'un pays à l'autre. Nous avons cité des règles et des chiffres britanniques à titre d'exemple, car nous les avons utilisés, et non parce qu'ils s'appliquent à votre situation. Ces informations ne constituent pas un avis juridique.

Vous voulez savoir comment vos paiements seraient évalués ? Ouvrez un Toden espace de travail (s’ouvre dans un nouvel onglet) ou consultez la documentation sur le fonctionnement de la surveillance des transactions .