IA et lutte contre la fraude. 6 chapitres et un QCM final.

Chapitre 1. Le coût de la fraude et les limites des règles.

La fraude au paiement désigne les opérations non autorisées par le titulaire du compte, ainsi que celles qu'il a autorisées sous l'effet d'une manipulation. Deux rapports en donnent l'ordre de grandeur, l'un mondial et l'autre européen. Selon le Nilson Report (2024), les pertes mondiales sur cartes ont atteint 33,83 milliards de dollars en 2023, le cabinet projetant un cumul supérieur à 400 milliards sur la décennie à venir. En Europe, le rapport conjoint BCE / EBA sur la fraude aux paiements (août 2024) chiffre la fraude totale à 4,3 milliards d'euros en 2022 tous instruments confondus. La ventilation par canal d'acceptation fait apparaître une concentration nette. La fraude carte se concentre massivement sur le card-not-present (paiement à distance), qui représente près de 79 % de la valeur de la fraude carte dans l'EEE.

L'authentification forte a déplacé la fraude, pas fait disparaître

En Europe, la DSP2 et l'authentification forte du client (SCA), déployées via 3-D Secure, ont fait chuter la fraude sur les transactions authentifiées. D'autres marchés reposent sur des mécanismes d'authentification différents. La fraude s'est déplacée vers les flux hors périmètre SCA. Y figurent les transactions cross-border avec un acquéreur hors EEE, les paiements initiés par le commerçant (MIT) et les opérations exemptées au titre de l'analyse de risque de transaction (TRA). Deux autres voies contournent l'authentification sans avoir à la franchir. L'ingénierie sociale amène le porteur à authentifier lui-même un paiement qu'il croit légitime, et le détournement de compte (account takeover) place les moyens d'authentification du titulaire entre les mains du fraudeur. Le SCA n'a donc pas éteint le problème. Une barrière unique posée à l'entrée du parcours ne couvre plus ces situations. La détection doit donc scorer chaque transaction en continu, avant, pendant et après l'autorisation.

• Règle : logique explicite figée, décision binaire, contournable dès que le seuil est connu
• Modèle statistique / ML : apprend des corrélations sur des milliers de transactions, produit un score de risque continu
• En pratique, on combine les deux : les règles gèrent le connu et le réglementaire (listes de sanctions, plafonds), le modèle gère le nuancé et l'inédit

Chapitre 2. Les features : la matière première de la détection.

Une feature est une variable numérique qui décrit un aspect d'une transaction et sert d'entrée au modèle. L'ensemble des features d'une opération forme son vecteur de features, une transaction traduite en dizaines ou centaines de variables numériques. La qualité de ces features détermine 80 % de la performance, bien avant le choix de l'algorithme. On les regroupe en grandes familles. Beaucoup ne prennent leur sens que dans le temps et dans le réseau.

Le device fingerprint et l'empreinte comportementale

Le device fingerprint identifie un appareil sans recourir à un cookie, en combinant la configuration du navigateur, la résolution, le fuseau, les polices et les capteurs. La réapparition d'une même empreinte d'appareil sur des cartes différentes compte parmi les alertes classiques. La biométrie comportementale modélise comment l'utilisateur interagit, par la vitesse de frappe, la façon de tenir le téléphone et le parcours de navigation. Un fraudeur en possession des identifiants et du mot de passe reproduit rarement la gestuelle du titulaire. Ces deux signaux sont passifs. Ils n'ajoutent aucune friction pour le client légitime.

Chapitre 3. Les modèles : règles, gradient boosting, graphes.

La détection de fraude en production met en oeuvre plusieurs modèles à la fois, organisés en un empilement de couches complémentaires. Chaque couche répond à une question différente et couvre les angles morts des autres. Aucune ne les couvre toutes seule. Les fournisseurs parlent pour cette raison de « moteur de décision » plutôt que d'« algorithme ».

Pourquoi le gradient boosting domine (GBM)

Le gradient boosting sur arbres (GBM) est l'algorithme le plus répandu en détection de fraude, devant le réseau de neurones profond comme devant l'arbre de décision unique, sous les implémentations XGBoost et LightGBM. Il construit des centaines d'arbres de décision successifs, chacun corrigeant les erreurs du précédent. Trois propriétés expliquent cette place. Il excelle sur des données tabulaires et hétérogènes (numériques + catégorielles) et gère nativement les données manquantes. Il tolère le déséquilibre extrême des classes, la fraude représentant souvent moins de 1 % des transactions. Il se prête enfin à l'explicabilité par valeurs de SHAP, qui indiquent quelles features ont poussé le score vers le haut.

Les graphes : voir la fraude organisée

L'analyse de graphe représente les entités du système de paiement comme un réseau et cherche la fraude dans les liens qui les unissent. Un GBM score une transaction quasi isolément. Il n'exploite pas l'information selon laquelle une carte, un e-mail jetable et un appareil appartiennent au même anneau de mules. La modélisation pose des noeuds et des arêtes : noeuds = cartes, comptes, appareils, IP ; arêtes = transactions partagées. On y cherche des sous-structures suspectes, par exemple des composantes densément connectées, des comptes reliés à une entité déjà frauduleuse ou une propagation de risque de proche en proche. Les réseaux de neurones de graphe (GNN) automatisent cette lecture. Cette couche sépare la détection d'une fraude opportuniste, une carte volée, de celle d'une fraude industrialisée, une plateforme de blanchiment.

{
  "transaction_id": "tx_8842",
  "score_fraude": 0.87,
  "decision": "STEP_UP",
  "top_features": [
    { "feature": "cartes_distinctes_device_24h", "contribution": 0.34 },
    { "feature": "montant_sur_panier_moyen", "contribution": 0.21 },
    { "feature": "distance_entite_signalee", "contribution": 0.18 }
  ],
  "latence_ms": 42
}

Chapitre 4. Scoring temps réel et l'arbitrage des faux positifs.

Le scoring en temps réel désigne le calcul d'un score de risque pendant le déroulement de l'autorisation elle-même. Le score doit donc être produit avant que l'autorisation ne parte au réseau, soit un budget de latence de l'ordre de quelques dizaines de millisecondes. Tout le pipeline tient dans cette fenêtre. Il enchaîne la récupération des agrégats glissants, le calcul des features, l'inférence du modèle et l'application des règles. Le problème relève de l'ingénierie temps réel autant que de la data science, avec un feature store à faible latence, des modèles compilés et une mise en cache des compteurs de vélocité.

Précision, rappel et seuil de décision

• Rappel (recall) : part de la fraude réelle effectivement attrapée, à maximiser sans exploser les faux positifs
• Précision : part des alertes qui sont de vraies fraudes, sachant qu'une précision faible sature les équipes de revue manuelle
• Le seuil n'est pas un réglage technique : c'est une décision métier qui traduit combien coûte un euro de fraude face à un euro de vente perdue
• La revue manuelle (défi 3DS, step-up, appel client) est la troisième voie entre approuver et refuser : elle transforme un doute en décision informée

Les moteurs en production découpent l'échelle de score en plusieurs zones, au lieu de retenir un seuil unique. Au-dessus d'un score élevé, refus automatique ; en dessous d'un score faible, approbation fluide ; dans la zone grise, step-up d'authentification ou revue. Cette segmentation réduit la friction pour la grande masse des transactions légitimes et concentre l'effort de vérification sur les cas douteux. Les schémas de fraude évoluant, les bornes de ces zones sont recalibrées en permanence. Cette recalibration consomme des fraudes confirmées et des refus jugés après coup, que seule la boucle de feedback fournit.

Chapitre 5. La boucle de feedback : chargebacks et labels.

Les labels sont les étiquettes « fraude » ou « légitime » attachées a posteriori aux transactions, et sur lesquelles un modèle supervisé apprend. La vérité terrain arrive en retard et incomplète, la principale source étant le chargeback (impayé contesté). Les signalements réseau la complètent en remontant les fraudes déclarées par les émetteurs, TC40 chez Visa et SAFE (System to Avoid Fraud Effectively) chez Mastercard. Ces deux sources partagent un trait. Elles décrivent la transaction après coup, et seulement lorsqu'un tiers l'a signalée : le porteur qui conteste, l'émetteur qui déclare.

Le cycle vertueux et ses fuites

Deux phénomènes limitent l'efficacité de cette boucle. Le feedback biaisé vient de ce que le statut réel n'est connu que pour les transactions approuvées. Une transaction refusée ne produit ni chargeback ni confirmation, et le modèle ne reçoit donc aucune information sur les refus injustifiés. La dérive (drift) tient à l'évolution conjointe de la distribution des transactions et des tactiques de fraude, qui dégrade la performance d'un modèle resté inchangé. Ces deux phénomènes imposent des campagnes de labellisation actives et un monitoring permanent, portant sur le taux d'alerte, la précision réalisée et les distributions de features.

Chapitre 6. GenAI des fraudeurs, outils et gouvernance.

La GenAI désigne les modèles génératifs capables de produire textes, images, voix et vidéos. L'IA se trouve aussi du côté du fraudeur, et la GenAI a industrialisé son arsenal. La GenAI sert à rédiger des messages de phishing sans faute et personnalisés à grande échelle, à créer des identités synthétiques, à contourner les contrôles KYC par deepfake (visage et voix) et à automatiser des campagnes entières. Des modèles malveillants vendus sur le dark web abaissent la barrière technique, comme FraudGPT et WormGPT (2023). Un escroc sans compétence en développement produit désormais un kit de fraude en quelques prompts.

Le paysage des outils

Le marché mêle les schemes (Visa, Mastercard), qui scorent au niveau du réseau, et les spécialistes e-commerce (Forter, Signifyd, Riskified, Sift, Ravelin, SEON). S'y ajoutent les plateformes AML/fraude bancaire (Feedzai, Featurespace, NICE Actimize, SAS) et les briques intégrées aux PSP (Radar chez Stripe). La consolidation s'accélère. Le rachat de Featurespace par Visa (annoncé en 2024, finalisé en 2025) illustre l'intégration verticale du scoring dans les réseaux eux-mêmes.

Gouverner un modèle de décision automatisée