🛡️ Prévention de la fraude et outillage

Friendly fraud : le premier ennemi

La friendly fraud (fraude « amicale », ou first-party misuse dans la terminologie Visa) désigne un chargeback déposé par le porteur légitime lui-même. L'achat a bien eu lieu, mais il est contesté comme frauduleux ou non reçu. Les estimations convergentes du secteur (Visa, Datos Insights) la situent à 60-80 % des chargebacks e-commerce. Cette proportion déplace l'objet du travail anti-fraude. L'essentiel de la « fraude » vue par un marchand en ligne relève du comportement de ses propres clients, et non de l'usage de cartes volées par des tiers.

Scoring : règles vs machine learning

Le scoring anti-fraude attribue à chaque transaction une note de risque avant ou pendant l'autorisation, note dont dépend l'issue retenue, acceptation, refus, défi 3DS ou envoi en revue manuelle. Deux approches coexistent et se complètent. Les règles expertes sont lisibles et d'application immédiate. Les modèles de machine learning capturent des corrélations invisibles (graphes d'entités, vitesse de frappe, réutilisation d'appareils) au prix d'une moindre explicabilité.

# Les regles servent de garde-fous rapides autour du score ML.
regles:
  - id: velocite-carte
    condition: nb_cartes_distinctes_par_device_24h >= 3
    action: refuser
    commentaire: test de cartes volees (card testing / enumeration)

  - id: incoherence-geo
    condition: pays_ip != pays_bin ET montant > 150
    action: defier_3ds
    commentaire: friction ciblee plutot que refus sec

  - id: client-fidele
    condition: anciennete_compte > 180j ET nb_commandes_livrees >= 5 ET score_ml < 20
    action: demander_exemption_tra
    commentaire: exemption TRA acquereur si taux de fraude sous les seuils EBA

  - id: zone-grise
    condition: score_ml entre 60 et 85
    action: revue_manuelle
    file_attente: prioritaire_si_montant > 300
    commentaire: la revue humaine absorbe la zone d'incertitude du modele

Alertes et déflection : tuer le litige avant le chargeback

La déflection consiste à résoudre la contestation du porteur avant qu'elle ne se transforme en chargeback formel. Entre les deux s'ouvre une fenêtre de 24 à 72 heures pour éteindre le litige. Les réseaux d'alertes Verifi (filiale Visa) et Ethoca (filiale Mastercard) occupent ce terrain, branchés directement sur les émetteurs participants. Un litige déflecté ne compte pas comme chargeback dans les ratios de programme, à une exception près détaillée plus bas. Son coût représente une fraction de celui d'un chargeback.

3DS : systématique ou ciblé ?

Dans l'EEE, l'authentification forte du client (SCA) est obligatoire. Le choix du marchand ne porte donc pas sur « avec ou sans 3DS », mais sur qui demande les exemptions et lesquelles. Le 3DS authentifié transfère la responsabilité fraude à l'émetteur (liability shift). Une exemption TRA (analyse de risque transactionnelle) garde la fluidité du parcours, mais laisse la responsabilité au demandeur de l'exemption. Le pilotage fin de ce curseur agit directement sur la conversion.

• Seuils EBA pour la TRA : exemption possible jusqu'à 100 € si le taux de fraude du PSP demandeur est ≤ 13 points de base, 250 € si ≤ 6 pb, 500 € si ≤ 1 pb, sachant que c'est le taux du PSP, pas celui du marchand, qui compte.
• Faible montant : exemption sous 30 €, avec compteurs cumulatifs (5 opérations ou 100 € consécutifs) gérés par l'émetteur, d'où des challenges « surprise » sur de petits paniers.
• Efficacité mesurée : en France, la généralisation de la SCA s'est accompagnée d'une baisse durable du taux de fraude sur les paiements à distance, d'environ 0,27 % au début des années 2010 à ~0,16 % en 2023 (OSMP).

Le remboursement proactif

Le remboursement proactif consiste à rendre les fonds au client avant que sa contestation ne devienne un chargeback. Son intérêt tient à l'écart de coût entre les deux issues. Un remboursement coûte le montant seul, quand un chargeback perdu coûte le montant + 15-50 € de frais + le point de ratio. La politique de remboursement proactif fixe à l'avance les situations dans lesquelles le marchand rembourse sans instruire le dossier.

• Alerte reçue (CDRN/Ethoca) sur un dossier perdant : rembourser sous 72 h, systématiquement, car c'est la raison d'être de l'alerte.
• Réclamation client pré-litige (« je vais voir ma banque ») sur un montant faible : rembourser si le coût du combat dépasse l'enjeu, même en cas de doute sur la bonne foi.
• Erreur avérée du côté du marchand (doublon, avoir non émis, colis perdu sans preuve) : rembourser immédiatement ; toute représentation serait perdue avec frais.
• Limite anti-abus : plafonner par client (montant cumulé, nombre de gestes commerciaux) et tracer les bénéficiaires récurrents, car le remboursement proactif ne doit pas devenir une prime à la récidive de friendly fraud.

Les KPI fraude à piloter

Le pilotage d'un dispositif anti-fraude repose sur un arbitrage économique, chaque euro de fraude évitée ayant une contrepartie mesurable. Cette contrepartie prend deux formes, les faux positifs, ventes légitimes refusées faute d'être distinguées des fraudes, et le coût de l'outillage qui produit cette distinction. Le tableau de bord minimal croise donc quatre familles d'indicateurs, la fraude subie, les litiges, les faux positifs et le coût total.