Garder une longueur d'avance sur les cybercriminels en alignant sécurité et fraude

Parfois, la fraude peut ressembler à un jeu du chat et de la souris : Les criminels sont généralement agressifs et sont sur la défensive, tandis que les entreprises luttent pour se protéger et sont sur la défensive. Pour les entreprises, le jeu devient de plus en plus difficile à jouer. Les outils des organisations criminelles deviennent plus sophistiqués et leurs attaques plus complexes. Les sociétés de services financiers et les commerçants ont du mal à adapter en permanence leurs défenses en matière de sécurité et de fraude pour faire face à l’évolution rapide des attaques. Et si vous ne suivez pas le rythme, vous prenez du retard. Les dangers sont des pertes plus importantes, des transactions abandonnées et l’insatisfaction des clients. Perdre de l’argent et des clients : ce n’est pas une bonne combinaison.

Il est temps de repenser votre approche en matière de prévention de la fraude. Mais je peux l'entendre maintenant. « Je manque de personnel et de fonds. Comment voulez-vous que je puisse suivre des organisations criminelles plus agiles et mieux financées ? Dans cet environnement difficile, il est temps de travailler plus intelligemment, et non plus dur. Les commerçants et les sociétés de services financiers qui ont résolu ce problème y sont parvenus en regardant à la fois vers l’intérieur et vers l’extérieur.

Regarder vers l'intérieur

En regardant vers l’intérieur, les entreprises prospères ont admis leurs inefficacités en matière de sécurité et de lutte contre la fraude. Il est courant d’avoir un département de cybersécurité protégeant les réseaux informatiques et les applications externes contre les infiltrations, les exploits et les attaques par déni de service, ainsi qu’un département de fraude axé sur les transactions en ligne/numériques, la corrélation des événements et les réponses aux incidents. Cela crée une séparation des responsabilités et deux départements avec des outils, des ensembles de données, des indicateurs de performance, du personnel et des budgets différents. Voyons comment cela nuit à une entreprise.

Les violations de données et les fuites d’informations d’identification ont exposé des milliards d’enregistrements d’informations personnelles identifiables, y compris des paires nom d’utilisateur/mot de passe. Lors d'une attaque typique, un attaquant effectuera un credential stuffing à l'aide de botnets hautement distribués pour tester ces paires à grande échelle afin d'identifier les paires nom d'utilisateur/mot de passe qui sont toujours valides. Avec une paire valide, un attaquant devient facilement un cybercriminel en prenant le contrôle du compte en ligne d’un client, en extrayant de l’argent, en blanchissant des points de fidélité ou en effectuant des achats non autorisés. En fonction des contre-mesures de sécurité rencontrées, le cybercriminel peut modifier l'attaque à l'aide d'outils allant des scripts réseau et des botnets à ceux qui émulent le comportement humain ou des frameworks pouvant effectuer des appels API vers des fermes de clics humaines pour résoudre le CAPTCHA.

Ce type d’attaque concerne à la fois les responsabilités des équipes de sécurité et de lutte contre la fraude. Si les équipes de sécurité et de lutte contre la fraude ou leurs outils ne communiquent pas, les renseignements sur les menaces et le contexte sont perdus, et il est difficile (voire impossible) de voir l’intégralité de l’attaque. En conséquence, les fraudeurs passent entre les mailles du filet et les entreprises et leurs clients subissent des pertes financières.

Il est temps de briser les cloisonnements organisationnels. La collaboration entre les équipes et la technologie peut être le vecteur de la convergence, de l’augmentation des revenus et, en fin de compte, du succès de l’entreprise. De plus, la mise en commun des ressources et des données améliore la visibilité, ce qui permet d’éloigner les organisations criminelles tout en laissant passer les bons clients sans frictions. Dans une étude récente du groupe Aite-Novarica portant sur 110 entreprises fintech, celles qui disposent d'un système de lutte contre la fraude intégré sont deux fois plus susceptibles de dire qu'il est assez ou très facile de gérer la fraude, par rapport aux entreprises disposant de systèmes de lutte contre la fraude séparés et distincts.

Une plateforme intégrée présente l’avantage d’avoir une vision plus large du paysage de la fraude grâce à la mise en commun et à l’analyse continue des données. Avec un ensemble de données plus vaste, et donc davantage de signaux de fraude, il est possible de créer des modèles d’apprentissage automatique plus prédictifs et plus précis. Cela peut non seulement conduire à des renseignements plus proactifs et exploitables, mais également à une meilleure expérience utilisateur, car la précision accrue peut accélérer l'authentification, offrant ainsi aux clients un moyen transparent d'effectuer des transactions sans augmenter la fraude.

Regarder vers l'extérieur

Il est également important de regarder vers l’extérieur pour créer un écosystème de fraude efficace. Il est courant pour les sociétés de services financiers et les commerçants d’acheter des outils et de gérer la fraude en interne, le personnel configurant les outils pour prévenir la fraude. À mesure que les attaques frauduleuses évoluent au fil du temps, l’entreprise doit adapter ses stratégies de lutte contre la fraude pour les contrer, ajuster les règles d’authentification et enquêter sur les faux positifs. En d’autres termes, l’entreprise doit subir une nouvelle attaque frauduleuse (et une perte financière) avant de pouvoir en prévenir d’autres. Cette stratégie réactive laisse l’entreprise exposée pendant que les services internes enquêtent et corrigent la faille de sécurité.

Pourquoi ne pas être proactif ? Les fournisseurs proposant des solutions commerciales tirent parti de leur vaste expérience et de leur visibilité pour protéger leurs clients mieux qu’un client individuel ne peut se protéger lui-même. Comment? Eh bien, un fournisseur disposant d’une large base de clients répartis dans plusieurs zones géographiques et secteurs d’activité a une vision très large de la fraude, en particulier lorsque les renseignements sur les menaces sont partagés sur l’ensemble de son réseau de défense collectif. Si un nouveau vecteur d’attaque frauduleuse apparaît, le fournisseur peut rapidement modifier ses défenses contre la fraude pour protéger tous les clients.

La solution gagnant-gagnant-gagnant

Il est difficile de rester en avance sur la sophistication croissante des organisations criminelles et de leurs attaques, en particulier dans un contexte de pénurie de personnel et de ressources. Il est temps de regarder vers l’intérieur et vers l’extérieur. Réunir la cybersécurité et la gestion de la fraude au sein d’une équipe intégrée et tirer parti d’une expertise externe offre trois avantages principaux. La cybersécurité et la gestion des fraudes sont simplifiées, les pertes sont réduites et les clients bénéficient d'une meilleure expérience en ligne. Une solution gagnant-gagnant-gagnant.

Par David Mattei, conseiller stratégique, groupe Aite-Novarica

_____

Pour une perspective supplémentaire, lisez le rapport Aite pour découvrir de nouvelles stratégies visant à minimiser les pertes dues à la fraude.