Les applications financières détiennent ce que les fraudeurs veulent le plus : de l'argent qui circule. Leurs logins sont attaqués avec des mots de passe fuités, leur onboarding est alimenté d'identités synthétiques, et leurs parcours carte servent à tester des numéros volés. Chaque attaque commence par de l'automatisation avant de devenir de la fraude.
Ce que les bots font aux services financiers
- Prise de contrôle de compte. Du credential stuffing contre les logins web et mobiles, puis un virement rapide ou un changement des coordonnées.
- Fausse ouverture de compte. Des demandes par script avec des identités volées ou synthétiques, pour des primes d'inscription, des comptes de mules ou du crédit.
- Test de cartes. Des cartes volées vérifiées via l'ajout de carte ou de petites recharges.
- Énumération. Les formulaires d'inscription et de réinitialisation de mot de passe utilisés pour savoir quels e-mails ou numéros de téléphone sont clients.
Où placer une vérification anti-bots
Une vérification anti-bots ne remplace ni le KYC, ni la surveillance des transactions, ni l'authentification forte. Elle se place devant, à faible coût, pour que les sessions automatisées n'atteignent jamais les vérifications coûteuses et que les vrais clients rencontrent moins de friction :
- Connexion : répondez à
bot_highcomme à un mauvais mot de passe ; exigez une passkey ou un code à usage unique pourbot. Plus dans le credential stuffing à la connexion. - Ouverture de compte : refusez
bot_highavant de payer la vérification d'identité ; examinezbot. - Réinitialisation de mot de passe et changement de coordonnées : un second facteur pour
bot, et la même réponse que le compte existe ou non. - Ajout d'une carte : refusez
bot_high; 3-D Secure pourbot.
Le drapeau step_up de chaque réponse signale le cas peu fréquent de fortes preuves des deux côtés : c'est le moment de demander la preuve la plus forte, jamais un CAPTCHA.