Gérer la fraude à l'international. 6 chapitres et un QCM final.

Chapitre 1. Cartographier avant de régler : la matrice par marché.

Un dispositif antifraude se règle par combinaison, plutôt que par pays. Le rail qui porte le paiement, le régime qui répartit la perte et le seuil qui sanctionne l'opérateur forment trois axes distincts. Ils ne coïncident pas. Le Royaume-Uni et la zone euro exploitent tous deux un rail de virement instantané, sous deux régimes de remboursement opposés. Les États-Unis et l'Australie ignorent l'un comme l'autre l'authentification forte obligatoire, sans relever du même programme de surveillance. La maille utile est cette combinaison. Pas la frontière.

Les quatre questions qui ouvrent un marché

• Le paiement dominant est-il tiré ou poussé ? Un instrument tiré laisse une voie de contestation après coup ; un instrument poussé referme la fenêtre au règlement
• Existe-t-il un régime de remboursement, et qui le finance ? Trois réponses possibles : personne, le prestataire, ou une récupération de fonds organisée par le régulateur
• Quel seuil peut me sanctionner, et sur quel calcul ? Programme de réseau côté carte, données publiées par le régulateur côté virement
• Quelle donnée locale alimente mes règles ? Pays d'émission des cartes, ancienneté d'un identifiant proxy, résultat d'une vérification de bénéficiaire
• Qui répond au client, et sous quel délai opposable ? Le guichet de réclamation appartient au dispositif antifraude, pas au service après-vente

# regles/gb.yaml
marche: gb
rail_prioritaire: faster-payments        # pousse
regime_remboursement: psr-obligatoire    # 50/50, plafond 85000 GBP
horloge_decision_jours_ouvres: 5
controles:
  verification_beneficiaire: obligatoire # Confirmation of Payee
  temporisation_nouveau_beneficiaire_h: 4
  plafond_premier_virement_gbp: 500
indicateur_surveille: taux_de_remboursement_publie

---
# regles/us.yaml
marche: us
rail_prioritaire: carte                  # tire
regime_remboursement: aucun              # Regulation E : non autorise seulement
authentification_forte: facultative
controles:
  challenge_3ds_si: "montant > 300 USD ou appareil inconnu"
  avs_et_cvv: exiges
indicateur_surveille: ratio_vamp         # seuil marchand 1,5 % au 01/04/2026

Chapitre 2. Calibrer un seuil sur le coût des deux erreurs.

Un seuil de décision produit deux erreurs, et elles ne coûtent pas le même prix. Le refus à tort détruit une marge et parfois un client, tandis que la fraude non détectée détruit un panier, des frais de litige et un ratio de surveillance. Calibrer revient à trouver le score où le coût marginal des deux s'égalise. Ce point se déplace d'un marché à l'autre, parce que la marge unitaire, le coût administratif d'un litige et la propension du client à réessayer se déplacent avec lui. Un seuil hérité d'un autre pays arrive donc calibré sur trois grandeurs qu'il ne mesure plus. Il est faux dès le premier jour.

# calibrer_seuil.py : un seuil par marche, recalcule chaque mois
# sur l'historique RESOLU du marche, jamais sur l'historique agrege

def cout_total(seuil, historique):
    refus_a_tort = [t for t in historique if t.score >= seuil and not t.fraude]
    fraudes_passees = [t for t in historique if t.score < seuil and t.fraude]

    perte_conversion = sum(t.marge * t.p_non_retour for t in refus_a_tort)
    perte_fraude = sum(t.montant + t.cout_du_bien + FRAIS_LITIGE
                       for t in fraudes_passees)
    return perte_conversion + perte_fraude

seuil_retenu = min(SCORES_CANDIDATS, key=lambda s: cout_total(s, historique_gb))

# Contrainte : le ratio de surveillance reseau borne le resultat.
# Si le seuil optimal fait franchir le seuil du programme, il n'est pas retenu.

Les six paramètres à collecter, marché par marché

• Marge unitaire après coût du bien, dans la devise locale : un refus à tort sur un panier à faible marge coûte peu
• Probabilité de non-retour après un refus, mesurée sur cohorte et non estimée : elle diffère fortement selon la disponibilité d'un moyen de paiement alternatif
• Coût administratif d'un litige chez l'acquéreur local, frais de réseau compris
• Taux de récupération des fonds : élevé là où un mécanisme de restitution existe, nul sur un rail sans recours
• Distance au seuil de surveillance en vigueur sur le marché, qui plafonne la fraude tolérable
• Délai de résolution des dossiers : un historique non résolu surestime la performance de toute règle

Chapitre 3. Royaume-Uni : tenir le guichet de réclamation APP.

Le régime britannique de remboursement transforme la fraude au virement autorisé en processus industriel. Un client signale, un prestataire décide, un autre paie la moitié, et tout se joue sur une horloge courte et sur des motifs de refus limitativement définis. Le dispositif couvre les paiements exécutés depuis le 7 octobre 2024 sur Faster Payments Service et CHAPS. Une équipe qui aborde ce marché construit d'abord un guichet capable de qualifier, d'instruire et de motiver dans la fenêtre, et seulement ensuite des modèles de détection. L'ordre inverse produit des décisions hors délai.

L'écart entre ces deux taux de remboursement est le poste à instruire. Les réclamations dans le champ sont remboursées à 97 %. Toutes réclamations confondues, le taux atteint 65 %. La différence ne vient pas d'une résistance des établissements, puisqu'elle mesure les dossiers hors périmètre. Cartes, paiements internationaux, litiges commerciaux avec un vendeur bien réel. Un guichet efficace qualifie donc le périmètre avant d'instruire le fond, et communique ce tri au client dès le premier contact.

Chapitre 4. Rail poussé : les contrôles qui mordent vraiment.

Sur un rail poussé, la victime authentifie elle-même l'opération. Biométrie, code, notification validée dans l'application, tout fonctionne exactement comme le produit l'a prévu. Renforcer l'authentification ne réduit donc pas cette fraude d'une unité monétaire, tandis que le budget qu'on y consacre se lit dans le compte de résultat, sans jamais apparaître dans les pertes évitées. Les contrôles qui mordent agissent ailleurs, sur trois moments distincts. Avant l'ordre, en vérifiant à qui il part. Pendant l'ordre, en ralentissant ce qui vient d'être créé. Après l'ordre, en courant après les fonds pendant qu'ils sont encore quelque part.

• Temporiser plutôt que bloquer : un blocage produit un appel au support et une nouvelle tentative, un délai casse le scénario du fraudeur qui tient la victime au téléphone
• Plafonner l'amorçage : les premières heures d'un bénéficiaire, d'un appareil ou d'un identifiant proxy concentrent le risque, et le plafond y coûte peu en conversion
• Journaliser ce que le client a vu, avec la version de l'écran : c'est la seule preuve utilisable dans une instruction de réclamation
• Surveiller le côté receveur : notifications entrantes par compte, vitesse de vidage, chaînage vers un deuxième compte en quelques secondes
• Chiffrer le coût de la friction avant de l'ajouter : une temporisation générale sur tous les virements se paie en abandons et ne cible rien

Chapitre 5. États-Unis : décider soi-même quand authentifier.

Aucune obligation d'authentification forte ne s'applique aux États-Unis. Pas d'exemption à documenter, pas de taux de fraude à tenir pour conserver le droit de ne pas authentifier. Le 3-D Secure y devient un instrument commercial, activé transaction par transaction, alors qu'une équipe venue de l'Espace économique européen arrive avec le réflexe inverse du bon. Elle cherche à éviter le challenge. La question locale porte sur le moment où il rapporte plus qu'il ne coûte. La réponse se calcule segment par segment, à partir du transfert de responsabilité obtenu et de la conversion abandonnée en échange.

Les signaux disponibles ici, et qui n'existent pas partout

• AVS (Address Verification Service) : contrôle du numéro de rue et du code postal, exploitable sur les adresses américaines, canadiennes et britanniques. Inutile ailleurs, et une équipe européenne l'ignore souvent
• Contrôle du cryptogramme visuel : refus sur non-correspondance, à décider explicitement plutôt qu'à hériter du réglage par défaut du PSP
• Jetons de réseau : renouvellement automatique des identifiants et meilleur taux d'autorisation, sans rapport avec l'authentification du porteur
• Regulation Z et Regulation E : elles répartissent la perte entre le porteur et sa banque, jamais avec le commerçant. Aucune protection ne descend jusqu'à lui
• Règles de réseau : elles restent le seul terrain où le commerçant se défend, avec les preuves de livraison et d'authentification qu'il a su conserver

Chapitre 6. Taux de refus comparés et arbitrage fraude / conversion.

L'interprétation d'un taux de refus dépend du point où le paiement a été rejeté. Quatre points de rejet se succèdent, et quatre acteurs différents les contrôlent, d'abord le filtre du marchand, ensuite l'authentification, puis l'autorisation de l'émetteur, enfin la relance après refus. Un même taux global de 12 % recouvre des situations opposées, ici un filtre trop serré, là des challenges abandonnés, ailleurs un émetteur étranger méfiant. Le dénominateur ajoute sa propre ambiguïté, selon qu'il compte les tentatives présentées au réseau ou l'ensemble des paniers arrivés en page de paiement. Comparer deux marchés sans cette décomposition produit une conclusion fausse, et une décision coûteuse.

Le soft decline n'est pas un refus

Un émetteur qui réclame une authentification sur une transaction qui n'en porte pas répond 65 chez Mastercard, 1A chez Visa et CB. Ces codes ne refusent rien. Ils commandent de rejouer l'opération avec 3-D Secure, si bien qu'un système qui ne gère pas ce rebond enregistre des refus qui étaient des ventes. À l'inverse, rejouer un refus définitif expose à des pénalités, puisque Visa plafonne à quinze tentatives par carte sur trente jours, avec des frais au-delà. La règle de relance se pilote donc par code réponse, jamais en masse.

• Segmentez par pays d'émission, pas par pays du marchand : dans l'EEE, un paiement dont l'autre extrémité se situe hors zone affiche dix-sept fois le taux de fraude domestique (ABE / BCE, données 2024)
• Séparez volume et valeur : le rapport entre les deux varie fortement d'un instrument à l'autre, et un taux calculé en valeur ne se compare pas à un taux calculé en nombre
• Datez la mesure : les déclarations de fraude arrivent avec plusieurs semaines de retard, et un ratio récent sous-estime toujours le résultat final
• Distinguez la tentative bloquée de la perte nette : trois chiffres circulent pour un même événement, et ils ne se additionnent pas
• Rapportez la fraude au canal, pas au chiffre d'affaires total : dans l'EEE, la vente à distance porte 83 % de la fraude carte pour 28 % de la valeur (ABE / BCE, données 2024)