Michael Reitblat (Forter) : “Le secteur financier est déconnecté des activités de lutte contre la fraude des autres secteurs”

Dans un monde de plus en plus connecté, comment évolue la fraude ? 

La fraude a beaucoup évolué récemment. Ses auteurs se sont adaptés à l’évolution du commerce, d’abord, qui est passé d’une relation basée sur une simple transaction à quelque chose de plus poussé. Aujourd’hui, en plus de vous vendre son produit, le commerçant cherche à savoir ce que vous aimez, combien de fois vous venez, ce qu’il peut vous offrir en fonction de vos besoins avant même que vous ne les exprimiez…

Or les fraudeurs s’adaptent et visent les failles induites par ces nouveaux comportements. Cela signifie qu’au lieu de cibler votre carte bancaire, ils vont peut-être décider de prendre le contrôle de votre compte. Et si vous le protégez, ils se tourneront vers vos miles ou vos programmes de fidélité. Qu’importe le moyen tant qu’ils atteignent leur but :  le produit définitif, qu’ils pourront ensuite monétiser. 

Dans quelle mesure l’intelligence artificielle a-t-elle bouleversé ce domaine ?

Elle était encore peu développée lorsque nous avons débuté, mais son usage a explosé. Les fraudeurs l’utilisent pour automatiser leurs attaques ou encore reproduire de faux profils. Cela les aide à morceler leurs activités, en disant à l’un “tu te charges de hacker et récupérer les données”, à l’autre “tu te charges de les utiliser pour créer de fausses identités numériques”, au troisième “tu automatises un million d’attaque sur un million de sites différents”.

Ces innovations, qui comprennent aussi les crypto-actifs auquel nous nous attendions peu, permettent aux fraudeurs de s’organiser en écosystème et de modifier leurs modes opératoires. L’économie de la fraude est considérable ; elle représente 1 500 milliards de dollars. L’intelligence artificielle est donc vrai moteur dans l’optimisation des activités criminelles et pour espérer pouvoir endiguer ce phénomène, nous devons nous aussi l’exploiter. 

Pouvez-vous préciser à quoi ressemble la fraude aux programmes de fidélité ?

Admettons qu’un commerçant dispose par exemple d’un programme où il vous offre 10 euros la première fois que vous vous connectez. Certains se diront qu’il suffit d’ouvrir quelques comptes Gmail supplémentaires pour percevoir davantage. Si 1 ou 2% des acheteurs suivent ce raisonnement, le marchand aura vite fait de mettre fin à son programme car celui-ci lui fera perdre trop d’argent.

Dans un nombre croissant d’enseignes, il y a aussi la possibilité de restituer gratuitement les produits. Avec cette liberté, certains consommateurs peuvent décider de faire d’un magasin leur dressing attitré, porter un vêtement pour un événement, le rendre ensuite, puis recommencer. Cela représente un coût réel (stockage, livraison, etc) pour les entreprises, mais il est difficile d’identifier et d’empêcher ce type de pratique.

Comment répondez-vous à ce type de problématique ? 

De deux manières différentes. L’enjeu de la lutte contre la fraude, c’est que le fraudeur a besoin de trouver une seule faille pour arriver à ses fins – c’est relativement facile pour lui. En revanche, du côté de l’(e-)commerçant, il faut réussir à tout verrouiller. Nous somme donc partis du constat qu’à plusieurs, il est plus facile de se défendre. Nous cherchons donc à réunir plusieurs revendeurs (une centaine à l’heure actuelle) pour les associer dans la lutte contre la fraude. 

A plusieurs, il est plus facile de se défendre

Michael Reitblat

CEO et cofondateur de Forter

Nous fournissons d’autre part des outils de protection des paiements. Le contexte que j’ai exposé crée un fort besoin d’authentification. Pour le vendeur, il s’agit de savoir qui est le consommateur, et si on peut lui faire confiance. Pour cela, il a traditionnellement été efficace de réunir des commerçants pour acheter et échanger toutes sortes de données différentes – des adresses IP, de la géolocalisation, des e-mails, etc. – puis de les agréger pour surveiller les comportements. 

Sauf que le RGPD et les réglementations équivalentes empêchent ce genre de pratique…

Effectivement. Le besoin de confidentialité (privacy) et de protection des données personnelles se fait croissant et empêche les commerçants de dire simplement : “donnez-moi une liste de personnes suspectées de fraude, et je m’en protégerai”. Le meilleur moyen de réagir, à notre avis, c’est de bâtir un système central dans lequel on collecte les données relatives aux clients, ce qui permet de les identifier, mais sans partager d’informations sur eux. Cela veut dire que nous achetons des données – ce sont des exemples fictifs – à Galeries Lafayette et à Asos. Mais vous, en tant que client, vous ne voulez pas qu’Asos sache ce que vous avez acheté chez Galeries Lafayette. Et de toute façon Asos n’a pas besoin de le savoir. 

C’est là qu’intervient Forter : nous analysons toutes les interactions que vous avez avec les marchands de notre réseau, les outils avec lesquels vous vous connectez habituellement, les comportements que vous adoptez généralement avant de payer, pour pouvoir ensuite certifier à Asos que vous êtes bien la personne à l’origine de la transaction, et que vous êtes digne de confiance. Tout cela sans lui fournir la moindre information spécifique sur vos activités. 

Vous comptez des partenaires dans l’écosystème financier. Quelle place cherchez-vous à leur donner dans cette démarche d’authentification et de lutte contre la fraude ? 

Nous avons commencé par essayer de nous étendre à l’international car la fraude, comme le commerce, est de dimension mondiale. Aujourd’hui, nous travaillons aussi à mieux intégrer le secteur financier dans notre démarche, car il s’agit d’un interlocuteur de taille dans la lutte contre la fraude. De plus, il a déjà l’habitude de travailler sur ce sujet. Pour chaque transaction par carte bancaire, par exemple, la banque est la première à prendre une décision. C’est-à-dire que si elle décide de la bloquer, ni le commerçant ni Forter ne peut faire quoi que ce soit – il faudra que l’acheteur débloque le processus ou commande une nouvelle carte. La difficulté, c’est que le secteur bancaire est très déconnecté de tout ce que je viens de décrire – le commerce, la fraude, la lutte contre la fraude chez les acteurs non financiers… 

Certes, mais il dispose de ses propres mécanismes de lutte contre la fraude et le blanchiment d’argent.

Oui, mais la banque ne dispose pas des données dont je parlais précédemment. Elle ne sait pas quels outils vous utilisez ou quelles sont vos habitudes lorsque vous effectuez un achat. Donc si vous faites une transaction à l’étranger, votre banque n’a pas le contexte, elle ne sait pas que vous pré-commandez quelque chose, que vous venez de partir, etc. Bref, si elle commence par penser que la transaction est frauduleuse, cela prendra un temps fou avant qu’elle ne finisse par l’accepter. C’est une rupture dans l’expérience client. Pourtant, la banque pourrait conclure des partenariats comme ceux que j’évoquais pour les commerçants, et vérifier plus facilement les identités. 

Cela n’existe-t-il pas déjà ? 

Pour les plus grands revendeurs américains, c’est effectivement déjà le cas. Mais il n’y a aucun espoir pour les plus petites enseignes ou les petits prestataires de service de paiement de conclure des partenariats similaires avec les banques. De toute façon il y a trop de banques, trop de commerçants pour que tout le monde s’associe. C’est pourquoi nous cherchons à nous intercaler entre ces différents acteurs pour améliorer la surveillance et la lutte contre la fraude de chacun.

Et en définitive, nous ne dirons pas qui achète quoi, nous ne communiquerons pas les données qui permettent de l’expliquer – de toute façon les banques n’en voudraient pas car cela créerait un poids réglementaire trop important – mais nous certifierons que telle opération est légitime et bien le fait de la personne qui l’initie ; tandis que telle autre transaction mérite vérification car elle a de fortes chances d’être frauduleuse. Selon nous, cette répartition des rôles est bénéfique pour tout le monde, puisqu’elle permet d’assurer une meilleure efficacité du processus bancaire, une vente pour le commerçant, et une meilleure expérience pour le consommateur.