Fraude APP

Dans la fraude non autorisée, le payeur n'a pas consenti, et le droit est clair depuis des années: le prestataire de services de paiement rembourse, sauf si le client a agi frauduleusement ou avec une négligence grave. Dans une arnaque APP, le payeur a consenti après avoir été trompé, de sorte que le paiement est valable comme ordre de paiement et nul comme opération voulue par le client.

L'argent arrive sur un compte que l'escroc contrôle et en repart en quelques minutes, ce que les virements instantanés ont accéléré. La banque du bénéficiaire, et non la banque émettrice, est la seule partie qui aurait pu voir le compte bénéficiaire se comporter de façon anormale. Et aucun chargeback de type carte n'existe sur un virement, et c'est pourquoi les paiements de compte à compte avaient besoin d'une nouvelle réponse juridique au lieu d'une réponse commerciale existante.

L'usurpation est la première catégorie: un appel ou un message qui semble venir de la banque, du fisc ou de la police demande au client de transférer son argent vers un compte sûr. La fraude au changement de RIB vise les entreprises: la vraie facture d'un fournisseur arrive avec un IBAN modifié, souvent après piratage de sa messagerie. L'arnaque à l'achat encaisse le prix de biens inexistants. L'arnaque à l'investissement porte sur des sommes plus élevées et des relations plus longues, l'arnaque sentimentale sur les plus grosses sommes et les plus longues relations.

Les schémas visant les entreprises appellent des contrôles distincts, car ils ne ressemblent pas aux arnaques visant les particuliers. Une fraude au changement de RIB réussit contre une direction financière, pas contre un individu, et elle déjoue tout processus où une seule personne peut modifier l'IBAN d'un bénéficiaire et libérer le paiement. Un rappel au numéro du contrat fournisseur, et non de la facture, en arrête l'essentiel.

Depuis le 7 octobre 2024, le Payment Systems Regulator oblige les prestataires de paiement à rembourser les victimes de fraude APP, le coût étant partagé à 50/50 entre prestataire émetteur et prestataire receveur. Les règles couvrent les paiements entre comptes britanniques via Faster Payments et CHAPS, et la plupart des demandes doivent être tranchées en cinq jours ouvrés, ou 35 jours si l'établissement suspend le délai pour enquêter.

Le PSR l'avait fixé à 415 000 livres, la limite du médiateur, puis l'a abaissé à 85 000 livres en septembre 2024 sous la pression du secteur. Which? en a mesuré l'effet: le plafond haut aurait couvert 98 % du montant des arnaques, le plus bas environ 90 %, et l'écart pèse sur les victimes de fraudes à l'investissement et à l'immobilier. Une franchise de 100 livres maximum par demande est aussi possible.

Le remboursement n'est pas automatique, et un prestataire peut refuser quand le client n'a pas respecté le standard de prudence du consommateur: ignorer un avertissement précis donné par l'établissement, ne pas signaler l'arnaque dans les 13 mois suivant le dernier paiement, ne pas répondre à des demandes d'information raisonnables ou refuser de signaler l'affaire à la police. L'établissement doit démontrer une négligence grave, définie comme un degré d'imprudence très important, et c'est un seuil élevé.

Les clients vulnérables face à l'arnaque précise qui les a piégés échappent entièrement à ce standard et à la franchise de 100 livres, et ont donc droit à un remboursement intégral. Trois types de paiement sont exclus du régime: les paiements par carte, qui ont leur propre voie de chargeback, les paiements internationaux et les transferts de crypto-actifs. Un litige civil avec un vrai commerçant n'est pas non plus une arnaque, aussi mal que l'achat ait tourné.

La réponse de l'UE est plus étroite que celle du Royaume-Uni et arrive plus tard. Selon le règlement sur les services de paiement, un payeur obtiendrait un droit au remboursement pour un schéma d'arnaque précis: l'usurpation de l'identité du prestataire de services de paiement, quand un escroc se fait passer pour la banque et que le client est trompé et paie. C'est volontairement plus strict qu'un droit général couvrant tous les types d'arnaque.

Le droit au remboursement proposé se rattache aussi à une obligation que l'UE a déjà imposée. Quand un prestataire n'a pas effectué la vérification du bénéficiaire et que le payeur a perdu de l'argent en conséquence, le risque repose sur le prestataire, et c'est le levier que le règlement sur les paiements instantanés a déjà créé. L'accord politique provisoire sur la DSP3 et le RSP date de novembre 2025, avec une application attendue vers 2028, de sorte qu'une banque allemande opère aujourd'hui sous l'obligation de contrôle du nom et pas encore sous un droit légal au remboursement des arnaques. La régulation des paiements en Allemagne couvre le volet de la supervision.

Un contrôle du nom peut détecter le détournement de factures: l'escroc fournit un vrai IBAN appartenant à un compte à un autre nom, le contrôle signale l'écart, et le service financier voit un avertissement avant l'envoi du fichier. Les IBAN mal saisis et les fiches fournisseurs obsolètes sont détectés de la même façon.

Le contrôle échoue souvent contre l'usurpation d'identité, car un escroc qui mène une arnaque au compte sécurisé a souvent déjà préparé un compte de mule à un nom qui correspond à ce que la victime doit saisir, de sorte que le contrôle renvoie une concordance parfaite et rassure la victime. La limite est structurelle: le contrôle vérifie que le nom correspond au compte, pas que le bénéficiaire mérite l'argent. C'est à cause de cette lacune que les contrôles côté réception sur les mules financières pèsent autant que l'avertissement côté émission.

La détection doit noter un paiement sortant au regard de l'historique du client et des schémas connus, dans les secondes d'un virement instantané. L'intervention doit délivrer un avertissement que le client lit vraiment, propre à l'arnaque suspectée et non un bandeau générique, car un avertissement générique échoue au test de prudence pour l'établissement autant que pour le client.

Le traitement des demandes doit trancher la plupart des cas en cinq jours ouvrés selon les règles britanniques, ce qui exige des processus opérationnels pour respecter ce délai. Le côté receveur doit surveiller les crédits entrants pour repérer les mules et répondre à l'alerte de l'établissement émetteur, car avec un partage à 50/50 il paie désormais pour ce qui arrive sur ses comptes. Le KYC en Allemagne et l'AML en Allemagne couvrent les contrôles d'entrée en relation.

La fraude APP, ou fraude par virement autorisé, est une arnaque dans laquelle la victime est trompée et autorise un paiement de son propre compte vers un compte que l'escroc contrôle. Comme le client a donné une instruction valable, le paiement n'est pas une fraude non autorisée, et les recours viennent de règles de remboursement dédiées au lieu du droit des opérations non autorisées.

Au Royaume-Uni, en général oui, jusqu'à 85 000 livres, coût partagé entre prestataires émetteur et receveur, sauf si l'établissement prouve la négligence grave du client au regard du standard de prudence. Dans l'UE, il n'existe pas encore de droit légal général; le RSP en créerait un pour l'usurpation de la banque, avec une application attendue vers 2028. Un client allemand dépend aujourd'hui de la politique de sa banque et de l'obligation de contrôle du nom.

Traitez tout changement de coordonnées bancaires d'un fournisseur comme un événement à vérifier, jamais comme une simple mise à jour. Appelez le fournisseur au numéro du contrat et non de la facture, exigez deux validations pour changer un bénéficiaire et tenez propres les données fournisseurs, pour que la vérification du bénéficiaire donne une alerte utile au lieu d'un bruit quotidien.