Imaginez un paiement signalé. Un client commence un virement de 40 000 $ vers un compte qu’il n’a jamais payé auparavant. La surveillance le détecte, et la banque envoie un code d’accès à usage unique. Le client l’entre correctement, du premier coup, depuis son propre téléphone. Le paiement est versé.
Sur le papier, chaque contrôle fonctionnait. Le client était celui qu’il prétendait être, et il a approuvé le paiement lui-même. L’argent a toujours disparu, car la personne qui recevait n’était pas celle qu’elle prétendait être.
C’est la fraude au paiement push autorisé, ou fraude APP : une arnaque où le vrai titulaire du compte est piégé pour envoyer l’argent. C’est aussi le moment où l’authentification par step-up, l’un des contrôles les plus fiables dans la pile de fraude, cesse de faire quoi que ce soit d’utile.
La fraude au paiement push autorisé passe toutes les vérifications d’identité
L’authentification par extension répond à une question : est-ce vraiment le titulaire du compte ? Pour la prise de contrôle de compte, c’est exactement la bonne question. Si un criminel a volé un mot de passe, un code d’accès envoyé au vrai téléphone du client le bloque net.
Dans une arnaque APP, la réponse à cette question est oui. La personne qui tient le téléphone est votre client. Ils connaissent leur mot de passe, ont leur appareil, et ils veulent que le paiement soit effectué. Ils ont simplement été convaincus que la personne qu’ils paient est un associé, un membre de la famille, une relation amoureuse ou le service fraude de leur propre banque.
Le modèle ScamClassifier de la Réserve fédérale trace exactement cette ligne. Elle distingue les arnaques où une victime a donné accès à un criminel à son compte des arnaques où la victime a effectué elle-même le paiement. L’authentification par extension a été conçue pour le premier type. Cela n’a rien à dire sur la seconde.
Cela peut même empirer les choses. Pour un client trompé, un code d’accès de sa propre banque donne l’impression que la banque approuve le paiement. Les escrocs le savent et s’y prévoient. Certains conseillent même aux victimes quoi dire à ceux qui demandent pourquoi ils déplacent l’argent, c’est pourquoi la FTC considère que le fait de mentir à propos d’un transfert important est un signe évident d’arnaque.
C’est là que vont les pertes
Les arnaques aux applications ne sont pas un problème de niche. Les consommateurs ont déclaré avoir perdu 15,9 milliards de dollars à cause de la fraude en 2025, et les paiements bancaires ont été le mode de paiement ayant enregistré les pertes totales les plus élevées, devant les cryptomonnaies, selon le témoignage de la FTC devant le Congrès en mars 2026.
Les données de fraude américaines ne sont pas détaillées par fraude APP, mais les données britanniques le sont, et c’est un signal précoce utile. Le rapport annuel sur la fraude 2026 de UK Finance a évalué les pertes liées à la fraude d’APP à 576,4 millions de livres sterling en 2025, soit une hausse de 19 % sur un an, avec un nombre de cas à son plus haut niveau depuis le début des bilans comparables. Sur la même période, les pertes dues à des fraudes non autorisées (criminels entrant dans des comptes ou utilisant des cartes volées) ont diminué de 5 %. Les pertes s’éloignent des criminels qui s’introduisent et des clients sont convaincus de payer.
À mesure que les rails de paiement plus rapides se répandent aux États-Unis, la fenêtre pour détecter un mauvais paiement après son départ ne cesse de diminuer. Cela donne encore plus d’importance à la décision prise avant que l’argent ne circule.
Les avertissements et les frictions supplémentaires n’arrêtent pas un client convaincu
Lorsque l’authentification par step-up ne règle pas un paiement signalé, la plupart des banques optent pour l’une des deux options de secours.
La première est plus de friction : un autre écran d’avertissement, une case à cocher pour confirmation, une courte mise en place. Le problème, c’est qu’une victime d’arnaque est, par définition, convaincue. UK Finance souligne ce point à propos des arnaques à l’investissement, la plus grande catégorie d’APP, dans son rapport 2026 : une fois qu’une victime croit que le bénéficiaire est authentique, elle enverra probablement l’argent quand même, avertissements ou non. Plus de friction ralentit surtout vos clients légitimes pendant que celui qui a été arnaqué passe par la clientèle.
Le second est un critique humain, et celui-ci fonctionne vraiment. Un analyste formé qui appelle le client et pose les bonnes questions peut détecter ce qu’aucun code d’accès ne peut détecter. Mais ça ne s’étend pas. Le volume signalé croît chaque trimestre, et vous ne pouvez pas embaucher des analystes aussi vite que les paiements avancent.
Nous avons déjà écrit sur la façon dont la fraude autorisée échappe plus largement aux contrôles traditionnels. L’authentification par montée en puissance est l’exemple le plus clair, car c’est le contrôle que la plupart des équipes considèrent comme une protection.
Vérifiez le bénéficiaire, pas seulement le payeur
Si le client n’est pas le problème, vérifier à nouveau ne résoudra pas le problème. La question qui résout réellement une arnaque APP concerne l’autre côté du paiement : le compte récepteur appartient-il vraiment à la personne ou à l’entreprise que votre client pense payer ?
C’est une question à laquelle une banque peut répondre sans ajouter de friction au client. C’est la question autour de laquelle PayVerify a été construit : vérifier le destinataire d’un paiement avant qu’il ne soit soumis au réseau. Il ne s’applique qu’à des contrôles plus forts lorsque quelque chose semble suspect, plutôt que d’ajouter une étape à chaque paiement. Lorsqu’un paiement est signalé, la banque obtient une vraie réponse sur qui est à l’extrémité du destinataire, au lieu de choisir entre un autre code d’accès et un autre analyste.
L’autre moyen d’arrêter une arnaque APP est avant qu’un paiement n’existe. La plupart de ces arnaques commencent par un message, pas par un virement. Des outils comme KnowScam permettent aux clients de vérifier un e-mail ou un SMS suspect, ou de confirmer si quelqu’un rencontré en ligne est réel, avant même d’ouvrir leur application bancaire.
La question à amener lors de votre prochaine revue de fraude
Vérifiez les pertes confirmées pour arnaque du trimestre dernier et posez-vous une question : combien de ces paiements ont passé l’authentification en progression ?
Si la réponse est « la plupart d’entre eux », le contrôle n’est pas cassé. C’est répondre à une question qui n’a jamais été douteuse. Votre client était toujours celui qu’il prétendait être. La question qui comptait était de savoir qui attendait à l’autre bout.
