Le secteur financier est l'un des secteurs les plus exposés à la fraude. Usurpation d'identité, hameçonnage au trafic artificiellement gonflé (AIT), fraude par échange de carte SIM, les criminels sont prêts à tout. Pour empêcher ces fraudeurs d'atteindre leur but, il faut d'abord savoir reconnaître les escroqueries. Il est aussi capital de connaître les mesures à prendre pour réduire les risques au minimum.
1. Usurpation d'identité et hameçonnage
Les cybercriminels se font passer pour des prestataires de services financiers ou des entreprises (usurpation d'identité). Ils procèdent par le biais d'e-mails (hameçonnage), de SMS (smishing), de réseaux sociaux comme WhatsApp et Messenger (hameçonnage sur les réseaux sociaux) ou de services vocaux (vishing). Ils envoient de fausses factures ou de faux liens de paiement dans l'espoir de piéger les clients de ces entreprises. Par ce biais, ils essaient de leur soutirer identifiants de connexion, numéros de carte bancaire ou informations personnelles en les redirigeant vers des liens frauduleux. Ces attaques imitent souvent des canaux de communication légitimes. Elles peuvent être difficiles à intercepter pour les consommateurs.
Inquiétant, n'est-ce pas ? Les clients fidèles risquent de perdre leurs données personnelles et peut-être des sommes d'argent conséquentes tout en croyant s'adresser à une entreprise légitime. Non seulement cela leur cause un préjudice financier, mais la confiance entre le client et l'entreprise en pâtira également ! Cela peut même nuire à l'image de marque d'une entreprise. C’est notamment le cas lorsque les clients ne parviennent pas à faire la différence entre les communications légitimes et les tentatives d'hameçonnage. Alors, que peut-on faire pour y remédier ?
Lutter contre l'usurpation d'identité et le phishing
Les escroqueries par phishing ciblent des clients peu méfiants. Le plus souvent, ce sont ceux qui ne sont pas très à l'aise avec la technologie. Ceux qui savent à quoi s'attendre reconnaissent généralement les faux messages. Cependant, les indices sont parfois faciles à manquer. Un numéro de téléphone bizarre ou un nom de compte étrange peuvent souvent passer inaperçus. Lorsque vos clients font confiance à de faux messages, cela peut avoir de graves conséquences. Il existe certaines mesures qu'une entreprise peut prendre pour aider ses clients à faire la distinction entre les messages légitimes et ceux de criminels qui tentent de se faire passer pour elle.
Directives en matière de communication
Il est important que les entreprises établissent des directives et des attentes claires concernant leur communication avec les clients. Faites savoir à vos clients quel type de messages ils peuvent ou ne peuvent pas s'attendre à recevoir. Donnez-leur aussi des conseils sur la manière de réagir s'ils soupçonnent que les messages sont de nature frauduleuse.
Y a-t-il actuellement une vague ou une recrudescence connue d'escroqueries par hameçonnage ? Il n'y a aucun mal à ce que les entreprises rappellent leurs protocoles de communication à leurs clients. Elles s'assurent ainsi que ces informations restent bien présentes à l'esprit !
« Cher client, nous avons récemment constaté une recrudescence de messages frauduleux envoyés au nom de notre entreprise. Nous tenons à vous rappeler que nous ne vous demanderons jamais de nous communiquer vos données personnelles. Nous ne vous enverrons jamais de liens de paiement non plus. Si vous recevez des messages à ce sujet, signalez-les comme spam. »
Profils d'entreprise vérifiés
Le choix de canaux de communication proposant des profils d'expéditeur vérifiés, comme le RCS, peut contribuer à renforcer la confiance des clients. Comment ? Les clients verront le logo de l'entreprise, ainsi que son nom officiel accompagné d'une coche de vérification, ses couleurs... Enfin, ils auront accès aux coordonnées de l'entreprise telles que le site web, l'adresse e-mail et le numéro de téléphone. Ces éléments visuels sont des indices importants qui permettent aux clients de savoir que les messages qu'ils reçoivent sont légitimes. Ils savent alors que l'expéditeur est digne de confiance. En revanche, l'absence de ces indices signifie qu'ils doivent se méfier.
2. Piratage de comptes (ATO)
À l'aide d'identifiants volés (souvent obtenus via des fuites de données ou du phishing), les fraudeurs accèdent sans autorisation aux comptes des clients. Une fois qu'ils y ont accès, ils détournent l'argent vers leurs propres comptes via des transactions non autorisées. Reprendre le contrôle de ces comptes piratés peut s'avérer être un véritable casse-tête. Plus il faut de temps pour identifier la fraude et bloquer tous les fonds, plus les pertes financières sont importantes. Alors, quelles mesures préventives peut-on prendre ?
Lutter contre le piratage de comptes
Les cybercriminels parviennent à pirater des comptes en se procurant les identifiants ou les mots de passe des utilisateurs. S’il n’est pas toujours possible d’empêcher les clients de communiquer (à leur insu) des données sensibles ou personnelles à des escrocs, il est possible de compliquer la tâche des cybercriminels. C’est notamment le cas lorsqu’ils tentent d’exploiter ces informations. Comment ? En renforçant les procédures de connexion et de vérification des comptes utilisateurs.
Authentification multifactorielle (MFA) et authentification à deux facteurs (2FA)
La MFA (authentification multifactorielle) ou la 2FA (authentification à deux facteurs) peut réduire considérablement le risque de fraude par piratage de compte. En effet, elle oblige les utilisateurs à s'identifier à l'aide de plusieurs moyens d'authentification. Les clients se connectent généralement via une authentification à un seul facteur (un simple mot de passe). L'authentification multifactorielle, elle, nécessite au moins deux facteurs :
Quelque chose que l'utilisateur connaît, comme un mot de passe ou un code PIN.
Quelque chose que l'utilisateur possède, comme un téléphone portable capable de recevoir un code de vérification (tel qu'un mot de passe à usage unique) ou des objets physiques comme des clés USB ou des numéros de produit.
Quelque chose que l'utilisateur est, comme une empreinte digitales ou son visage.
Cela semble plus compliqué que ça ne l'est en réalité. En fait, la plupart des gens sont déjà très familiers avec l'authentification multifactorielle (MFA) dans leur vie quotidienne ! Par exemple, pensez à la saisie de votre mot de passe pour accéder à vos réseaux sociaux. Les utilisateurs reçoivent ensuite un code de vérification ou un mot de passe à usage unique (OTP) par SMS pour finaliser leur connexion. Ou encore, l'utilisation d'une empreinte digitale pour confirmer un paiement après s'être connecté à un compte en ligne.
Ainsi, même si des malfaiteurs parviennent à récupérer des mots de passe, cela ne signifie pas pour autant qu'ils peuvent accéder aux comptes en ligne. De plus, la deuxième demande de vérification ou le mot de passe à usage unique (OTP) alertera le client en cas d'activité suspecte sur son compte.
« Bonjour Anna, voici votre code de vérification pour vous connecter à votre compte bancaire : 1234. Vous n’avez pas demandé ce code ? Veuillez cliquer ici et nous en informer.»
Vérification silencieuse
La vérification silencieuse, aussi appelée « Mobile Identity » ou « Number Verify », est une nouvelle méthode de vérification. Elle exploite les caractéristiques uniques de la carte SIM des appareils mobiles pour autoriser et vérifier l'identité de l'utilisateur dans les applications mobiles.
L'utilisateur sera invité à saisir uniquement son numéro de téléphone. L'authentification se fera alors en arrière-plan, via les opérateurs mobiles qui fournissent la vérification par carte SIM. C'est pourquoi on parle souvent de méthode d'authentification « silencieuse ». En effet, la majeure partie de la vérification se déroule en arrière-plan. Aucune action externe n’est requise. De cette manière, les entreprises peuvent être sûres que la personne avec laquelle elles interagissent est bien le propriétaire légitime du numéro de téléphone. Cela contribue ainsi à lutter contre l'usurpation d'identité et le vol d'identité.
Détection des substitutions de carte SIM
Mais que se passe-t-il si des criminels commettent des fraudes à l'aide de cartes SIM ? La fraude par substitution de carte SIM survient lorsqu’un fraudeur trompe un opérateur mobile pour transférer le numéro d’un utilisateur vers une nouvelle SIM. Il va prétendre avoir perdu sa carte SIM ou son téléphone lorsqu'il contactera l'opérateur et demandera à ce que le numéro de téléphone soit transféré vers une nouvelle SIM. Cela peut permettre aux criminels d'accéder au compte.
La détection de l'usurpation de carte SIM, ou service de protection contre la prise de contrôle, aide à prévenir la fraude par usurpation de carte SIM. Elle permet de surveiller et de détecter les changements sur la carte SIM. Avant d’exécuter une transaction, les entreprises peuvent réaliser une vérification d’usurpation de carte SIM. Cette vérification indique la dernière date à laquelle la carte SIM a été remplacée ou activée. L'entreprise peut alors agir en conséquence.
3. Trafic artificiellement gonflé (AIT)
Vous cherchez à prévenir le phishing et les prises de contrôle de compte grâce à l’authentification à deux facteurs (2FA) et aux mots de passe à usage unique (OTP) ? Dans ce cas, il est important de rester vigilant face au trafic artificiellement gonflé (AIT).
L'AIT, le « SMS pumping » ou le « traffic pumping » est un type de fraude dans lequel les criminels exploitent des systèmes de connexion automatisés. Ils déclenchent ainsi de brusques pics de trafic (messages ou appels). Ces derniers se font vers des numéros qu'ils possèdent. Dans certains cas, ils se font vers une plage de numéros contrôlés par un opérateur de réseau mobile (MNO) spécifique avec lequel ils sont complices. Les criminels récoltent une part des revenus générés de cette manière, mais c'est l'entreprise qui doit payer la facture.
Cette activité frauduleuse ne se contente pas de faire grimper les coûts pour les entreprises. Elle nuit également à la réputation des canaux de messagerie en tant que moyens de communication fiables. Selon des études menées dans le secteur, le trafic lié aux mots de passe à usage unique (OTP) représente environ 35 à 40 % de l'ensemble du trafic SMS. Cela correspond à environ 1 500 milliards de messages OTP envoyés chaque année — un chiffre qui devrait atteindre les 2 000 milliards d'ici 2028.
Lutter contre l'AIT
L'AIT se reconnaît souvent à un pic de messages envoyés vers une série de numéros consécutifs (par exemple : +1234567890, +1234567891, +1234567892, +1234567893, etc.). Ces numéros sont très probablement contrôlés par le même opérateur de réseau mobile (MNO). Un signe révélateur d'une utilisation frauduleuse des OTP est un cycle de vérification incomplet. Malheureusement, les fraudeurs les plus avancés disposent même d'outils permettant de simuler un cycle de vérification complet. Alors, que peut faire une entreprise ?
Surveiller et gérer le trafic
Pour relever le défi de l'AIT, il est important de surveiller et de gérer le trafic de messagerie. Les fournisseurs de CPaaS proposent parfois des suites logicielles qui aident à lutter contre ce type de fraude.
CM.com a présenté Safeguard, spécialement pour lutter contre la fraude AIT, à ses clients. Safeguard propose deux fonctionnalités, toutes deux destinées à la prévention de l'AIT :
Safeguard :
Blocage de destinations : les clients peuvent désormais bloquer de manière sélective le trafic de messagerie vers des destinations spécifiques. Il s’agit là de destination où ils n'ont aucune activité commerciale ni aucun intérêt. Cette fonctionnalité offre aux clients un contrôle granulaire sur leur trafic de messagerie. Elle garantit une allocation efficace des ressources. Nos experts CM.com vous aideront à évaluer les risques liés à chaque destination et vous conseilleront en conséquence.
Liste blanche : pour une sécurité encore plus stricte, les clients peuvent mettre en place une approche de « liste blanche ». Dans ce cas, toutes les destinations de messagerie sont bloquées par défaut, à l'exception des pays explicitement ajoutés à la liste. Ce paramètre rigoureux ajoute une couche de protection supplémentaire. Il protège ainsi les clients contre le trafic indésirable.
Restrictions IP : lorsque des fraudeurs obtiennent le jeton secret d'un client, ils tentent de l'utiliser de manière abusive via leurs propres serveurs. En définissant des restrictions IP, vous pouvez empêcher toute activité non autorisée sur des serveurs qui ne vous appartiennent pas.
Limitation de débit : définissez des règles pour le nombre maximal de messages pouvant être envoyés dans un délai déterminé. Cela vous aidera à gérer et à modérer les coûts imprévus résultant d'attaques AIT.
Safeguard Plus :
Profilage du trafic en temps réel : grâce à l'apprentissage automatique, Safeguard Plus établit un profil dynamique du trafic de chaque client. Cela permet au système d'évaluer et de classer le niveau de risque de chaque message.
Options de déploiement flexibles : les clients peuvent choisir entre surveiller leur trafic à l'aide d'analyses approfondies ou bloquer automatiquement les messages identifiés comme AIT.
Formules évolutives : à partir de seulement 199 € par mois, Safeguard Plus traite jusqu'à 100 000 messages par mois. Pour les clients haut de gamme, une formule illimitée est disponible pour surveiller en continu l'ensemble du trafic.
Restez en sécurité avec CM.com
CM.com est l'un des principaux fournisseurs de solutions CPaaS (Communication Platform as a Service). L’entreprise propose des solutions de prévention de la fraude à tous les niveaux : des mots de passe à usage unique aux méthodes de vérification les plus récentes, le tout intégré dans une API simple d’utilisation. Elle inclut également une suite de gestion du trafic de pointe appelée Safeguard. Cette solution utilise l’apprentissage automatique avancé pour offrir une protection en temps réel contre l’AIT.
Vous souhaitez commencer à protéger vos services et votre trafic contre la fraude avec CM.com ? Ou vous souhaitez discuter avec nos experts pour voir comment nous pouvons aider votre entreprise ? Laissez vos coordonnées ci-dessous, nous sommes toujours ravis de vous aider !
+33 1 86 26 28 58
