Comment les escrocs utilisent l’IA dans les fraudes bancaires

L’IA a donné aux fraudeurs les moyens de contourner les vérifications anti-contrefaçon et la vérification vocale, leur permettant de produire des pièces d’identité et des documents financiers contrefaits de manière remarquablement rapide. Leurs méthodes sont devenues de plus en plus ingénieuses à mesure que la technologie générative évolue. Comment les consommateurs peuvent-ils se protéger, et que peuvent faire les institutions financières pour les aider?

1. Les deepfakes améliorent l’arnaque à l’impersonnalisation

L’IA a permis aux fraudeurs de réaliser la plus grande arnaque à l’impersonnalisation jamais enregistrée. En 2024, la société de conseil en ingénierie Arup, basée au Royaume-Uni, a perdu environ 25 millions de dollars après que des fraudeurs aient trompé un membre du personnel pour qu’il transfère des fonds lors d’une conférence vidéo en direct. Ils avaient cloné numériquement des dirigeants de la direction, y compris le directeur financier.

Les deepfakes utilisent des algorithmes de générateur et de discriminateur pour créer une copie numérique et évaluer le réalisme, leur permettant de simuler de manière convaincante les traits faciaux et la voix d’une personne. Avec l’IA, les criminels peuvent créer une copie en utilisant seulement une minute d’audio et une seule photographie. Puisque ces images, enregistrements audio ou vidéos artificiels peuvent être préenregistrés ou en direct, ils peuvent apparaître n’importe où.

2. Les modèles génératifs envoient des avertissements de fraude faux

Un modèle génératif peut envoyer simultanément des milliers d’avertissements de fraude faux. Imaginez quelqu’un qui pirate un site web de produits électroniques grand public. Lorsque de grosses commandes arrivent, leur IA appelle les clients, en disant que la banque a signalé la transaction comme étant frauduleuse. Il demande leur numéro de compte et les réponses à leurs questions de sécurité, en disant qu’il doit vérifier leur identité.

L’appel urgent et l’implication de fraude peuvent convaincre les clients de donner leurs informations bancaires et personnelles. Puisque l’IA peut analyser de vastes quantités de données en quelques secondes, elle peut rapidement référencer des faits réels pour rendre l’appel plus convaincant.

3. La personnalisation de l’IA facilite la prise de contrôle de compte

Alors qu’un cybercriminel pourrait forcer son chemin en devinant sans fin les mots de passe, il utilise souvent des informations d’identification volées. Il change immédiatement le mot de passe, l’adresse e-mail de sauvegarde et le numéro d’authentification multifacteur pour empêcher le véritable propriétaire du compte de les expulser. Les professionnels de la cybersécurité peuvent se défendre contre ces tactiques car ils comprennent le livre de jeu. L’IA introduit des variables inconnues, ce qui affaiblit leur défense.

La personnalisation est l’arme la plus dangereuse qu’un fraudeur puisse avoir. Ils ciblent souvent les gens pendant les périodes de trafic de pointe lorsque de nombreuses transactions ont lieu — comme le Black Friday — pour rendre plus difficile la surveillance de la fraude. Un algorithme pourrait adapter les heures d’envoi en fonction de la routine d’une personne, de ses habitudes d’achat ou de ses préférences de message, ce qui les rend plus susceptibles de s’engager.

La génération de langage avancée et le traitement rapide permettent la génération de courriels de masse, le spoofing de domaine et la personnalisation de contenu. Même si les mauvais acteurs envoient 10 fois plus de messages, chacun semblera authentique, persuasif et pertinent.

4. L’IA générative révolutionne l’arnaque du site web faux

La technologie générative peut tout faire, depuis la conception de wireframes jusqu’à l’organisation de contenu. Un fraudeur peut payer quelques centimes pour créer et éditer un site web d’investissement, de prêt ou de banque faux, sans code, en quelques secondes.

Contrairement à une page de phishing classique, il peut se mettre à jour en quasi-temps réel et répondre à l’interaction. Par exemple, si quelqu’un appelle le numéro de téléphone indiqué ou utilise la fonction de chat en direct, il pourrait être connecté à un modèle formé pour agir comme un conseiller financier ou un employé de banque.

Dans un tel cas, les fraudeurs ont cloné la plate-forme Exante. La société de fintech mondiale donne aux utilisateurs l’accès à plus d’un million d’instruments financiers dans des dizaines de marchés, les victimes pensaient donc qu’elles investissaient légitimement. Cependant, ils déposaient involontairement des fonds sur un compte JPMorgan Chase.

Natalia Taft, responsable de la conformité d’Exante, a déclaré que la société a trouvé « plusieurs » arnaques similaires, suggérant que la première n’était pas un cas isolé. Taft a déclaré que les fraudeurs ont fait un excellent travail en clonant l’interface du site web. Elle a déclaré que des outils d’IA ont probablement créé cela car c’est un « jeu de vitesse », et qu’ils doivent « toucher autant de victimes que possible avant d’être neutralisés ».

5. Les algorithmes contournent les outils de détection de l’activité

La détection de l’activité utilise la biométrie en temps réel pour déterminer si la personne devant la caméra est réelle et correspond à l’ID du titulaire du compte. En théorie, contourner l’authentification devient plus difficile, empêchant les gens d’utiliser de vieilles photos ou des vidéos. Cependant, ce n’est plus aussi efficace qu’avant, grâce aux deepfakes alimentés par l’IA.

Les cybercriminels pourraient utiliser cette technologie pour simuler des personnes réelles pour accélérer la prise de contrôle de compte. Alternativement, ils pourraient tromper l’outil pour vérifier une fausse personne, facilitant le blanchiment d’argent.

Les fraudeurs n’ont pas besoin de former un modèle pour cela — ils peuvent payer pour une version préformée. Une solution logicielle prétend qu’elle peut contourner cinq des outils de détection de l’activité les plus importants que les sociétés de fintech utilisent pour un achat unique de 2 000 dollars. Les publicités pour des outils comme celui-ci abondent sur les plateformes comme Telegram, démontrant la facilité de la fraude bancaire moderne.

6. Les identités IA permettent de nouvelles fraudes de compte

Les fraudeurs peuvent utiliser la technologie générative pour voler l’identité d’une personne. Sur le dark web, de nombreux endroits offrent des documents émis par l’État contrefaits, tels que des passeports et des permis de conduire. Au-delà de cela, ils fournissent de fausses selfies et des dossiers financiers.

Une identité synthétique est une personne fictive créée en combinant des détails réels et faux. Par exemple, le numéro de sécurité sociale peut être réel, mais le nom et l’adresse ne le sont pas. Par conséquent, ils sont plus difficiles à détecter avec des outils conventionnels. Le rapport sur les tendances de la fraude et de l’identité de 2021 montre qu’environ 33 % de faux positifs que Equifax (EFX ) voit sont des identités synthétiques.

Des fraudeurs professionnels avec des budgets généreux et des ambitions élevées créent de nouvelles identités avec des outils génératifs. Ils cultivent la personnalité, en établissant un historique financier et de crédit. Ces actions légitimes trompent les logiciels de connaissance du client, leur permettant de rester détectés. Finalement, ils épuisent leur crédit et disparaissent avec des gains nets positifs.

Bien que ce processus soit plus complexe, il se produit de manière passive. Des algorithmes avancés formés sur les techniques de fraude peuvent réagir en temps réel. Ils savent quand effectuer un achat, rembourser une dette de carte de crédit ou contracter un prêt comme un humain, les aidant à échapper à la détection.

Que peuvent faire les banques pour se défendre contre ces arnaques IA

Les consommateurs peuvent se protéger en créant des mots de passe complexes et en faisant preuve de prudence lorsqu’ils partagent des informations personnelles ou de compte. Les banques devraient faire encore plus pour se défendre contre la fraude liée à l’IA, car elles sont responsables de la sécurité et de la gestion des comptes.

1. Utiliser des outils d’authentification multifacteur

Puisque les deepfakes ont compromis la sécurité biométrique, les banques devraient s’appuyer sur l’authentification multifacteur à la place. Même si un fraudeur vole avec succès les informations d’identification de connexion de quelqu’un, il ne peut pas accéder.

Les institutions financières devraient informer les clients de ne jamais partager leur code d’authentification multifacteur. L’IA est un outil puissant pour les cybercriminels, mais elle ne peut pas contourner de manière fiable des codes de passe à usage unique sécurisés. Le phishing est l’un des seuls moyens par lesquels il peut tenter de le faire.

2. Améliorer les normes de connaissance du client

La connaissance du client est une norme de service financier qui oblige les banques à vérifier l’identité des clients, les profils de risque et les dossiers financiers. Bien que les fournisseurs de services opérant dans des zones grises juridiques ne soient pas techniquement soumis à la connaissance du client — de nouvelles règles impactant DeFi n’entreront en vigueur qu’en 2027 — il s’agit d’une pratique exemplaire à l’échelle de l’industrie.

Les identités synthétiques avec des historiques de transactions légitimes et soigneusement cultivés sur plusieurs années sont convaincantes mais sujettes à erreurs. Par exemple, un simple ingénierie de prompt peut forcer un modèle génératif à révéler sa véritable nature. Les banques devraient intégrer ces techniques dans leurs stratégies.

3. Utiliser des analyses de comportement avancées

Une bonne pratique pour lutter contre l’IA est de se battre avec le feu. Les analyses de comportement alimentées par un système d’apprentissage automatique peuvent collecter une quantité considérable de données sur des dizaines de milliers de personnes simultanément. Il peut suivre tout, depuis les mouvements de la souris jusqu’aux journaux d’accès horodatés. Un changement soudain indique une prise de contrôle de compte.

Bien que des modèles avancés puissent simuler les habitudes d’achat ou de crédit d’une personne s’ils ont suffisamment de données historiques, ils ne sauront pas simuler la vitesse de défilement, les modèles de balayage ou les mouvements de la souris, ce qui donne aux banques un léger avantage.

4. Effectuer des évaluations de risque complètes

Les banques devraient effectuer des évaluations de risque lors de la création de compte pour prévenir la fraude de nouveau compte et refuser des ressources aux mules d’argent. Ils peuvent commencer par rechercher des incohérences dans le nom, l’adresse et le numéro de sécurité sociale.

Bien que les identités synthétiques soient convaincantes, elles ne sont pas infaillibles. Une recherche approfondie des dossiers publics et des réseaux sociaux révélerait qu’ils n’ont existé que récemment. Un professionnel pourrait les supprimer étant donné suffisamment de temps, empêchant le blanchiment d’argent et la fraude financière.

Un blocage temporaire ou une limite de transfert en attente de vérification pourrait empêcher les mauvais acteurs de créer et de se débarrasser de comptes en masse. Même si le processus peut être moins intuitif pour les utilisateurs réels, il pourrait économiser aux consommateurs des milliers ou même des dizaines de milliers de dollars à long terme.

Protéger les clients des arnaques et de la fraude IA

L’IA pose un problème grave pour les banques et les sociétés de fintech, car les mauvais acteurs n’ont pas besoin d’être des experts — ou même très techniquement lettrés — pour exécuter des arnaques sophistiquées. De plus, ils n’ont pas besoin de construire un modèle spécialisé. Au lieu de cela, ils peuvent jailbreaker une version à usage général. Puisque ces outils sont si accessibles, les banques doivent être proactives et diligentes.