Fraude par account takeover
La fraude par account takeover se produit lorsqu'un attaquant accède au compte d'un client existant et agit comme ce client. Des mots de passe volés, des codes d'authentification obtenus par phishing ou un numéro de téléphone détourné peuvent donner aux criminels l'accès dont ils ont besoin. Dans la banque, un identifiant de connexion compromis peut exposer les données du compte et permettre à un attaquant d'initier des paiements sans la permission du client.
Prévenir l'account takeover exige une protection à la connexion et pendant la session qui suit. Les banques peuvent contrôler l'authentification et les activités inhabituelles pour repérer les accès ou les paiements qui ne correspondent pas au comportement habituel du client. En Allemagne, les paiements non autorisés imposent en général un remboursement, tandis que la responsabilité du client dépend des circonstances, dont la fraude, l'intention ou la négligence grave.
Comment les attaquants entrent dans un compte
La voie la moins chère est le credential stuffing, que l'OWASP décrit comme la soumission automatisée de paires de noms d'utilisateur et de mots de passe volés dans des formulaires de connexion. Le credential stuffing fonctionne parce que les gens réutilisent leurs mots de passe d'un site à l'autre, si bien qu'une fuite ouvre des comptes ailleurs. Le BSI liste les autres voies vers l'accès à la banque en ligne: e-mails de phishing, chevaux de Troie qui capturent les données d'accès et bases de données volées chez des prestataires de services.
Un mot de passe seul déplace rarement de l'argent dans une banque européenne, car l'authentification forte du client demande un second élément. Les attaquants visent donc aussi cet élément: un TAN saisi sur une page de phishing, un code lu à un faux employé de banque au téléphone, ou des codes SMS redirigés par un SIM swap.
Qui supporte la perte en Allemagne
Un paiement que l'attaquant initie n'est pas autorisé, et selon la section 675u du Code civil, la banque doit le rembourser immédiatement, au plus tard à la fin du jour ouvrable qui suit le jour où elle en a connaissance. Selon la section 675v, le client supporte au plus 50 EUR lorsqu'un instrument de paiement a été détourné, ne supporte la perte entière qu'en cas de fraude, d'intention ou de négligence grave, et ne supporte rien si la banque n'a pas exigé d'authentification forte du client.
Le rapport 2025 de l'ABE et de la BCE sur la fraude aux paiements montre comment la limite entre paiements non autorisés et autorisés déplace les pertes. Pour plus de 90 pour cent de la valeur de la fraude à la carte, le fraudeur a émis l'ordre de paiement, et les utilisateurs ont supporté 38 pour cent des pertes de fraude à la carte. Pour les virements, où la plupart des fraudes venaient de la manipulation du payeur pour qu'il paie, les utilisateurs ont supporté environ 85 pour cent.
Les contrôles bancaires après connexion
Les passkeys lient la connexion au domaine propre de la banque, si bien qu'une page de phishing ne peut pas les réutiliser. La biométrie comportementale compare les schémas de frappe et de toucher pendant la session avec les schémas habituels du client. L'ENISA décrit une interface que certains opérateurs mobiles proposent aux banques, pour que la banque puisse demander si la carte SIM d'un client a été changée peu avant qu'elle envoie un code.
Le règlement sur les services de paiement ajoute des obligations aux prestataires: selon le Parlement européen, les prestataires de services de paiement doivent proposer des plafonds de dépenses et des mesures de blocage pour réduire le risque de fraude. La détection de la fraude par IA évalue le risque des paiements après la connexion des clients.
Prochains événements fraude et identité numérique en Allemagne
Quelle est la différence entre l'account takeover et l'usurpation d'identité?
L'usurpation d'identité est l'utilisation abusive des données personnelles d'une personne en général. L'account takeover en est la forme qui vise un compte que la victime détient déjà: l'attaquant se connecte comme le client et agit de l'intérieur. Le BSI cite la banque en ligne parmi les comptes dont les criminels prennent le contrôle avec des données volées.
L'account takeover relève-t-il des règles sur la fraude APP?
La fraude au paiement push autorisé couvre les paiements que le client effectue lui-même après avoir été trompé. Dans un account takeover, le fraudeur initie le paiement et le rend ainsi non autorisé, et selon le règlement sur les services de paiement, une opération qu'un fraudeur lance ou modifie compte aussi comme non autorisée.
Fraude par account takeover et Finance Loop
Finance Loop est le lieu de rencontre des équipes sécurité, identité et fraude des banques et des sociétés de paiement en Allemagne, en Autriche et en Suisse. Finance Loop a mis en avant fAInance de Sopra Steria et du Fraunhofer IAIS, qui comportait une station sur l'IA contre la criminalité financière.
Finance Loop est un réseau professionnel qui favorise l'usage institutionnel des technologies émergentes en finance, comme l'IA, les paiements numériques, le cloud et les solutions blockchain. Finance Loop aide ses membres à développer des compétences et des réseaux personnels dans ces domaines: Investissement & actifs numériques, Paiements & monnaie numérique, Infrastructure numérique & souveraineté et Risque & conformité.