Attaques d'énumération automatisées : Une menace croissante pour la fraude numérique
Les attaquants utilisent de plus en plus l'automatisation pour réaliser des attaques de test de cartes, exploitant des botnets et des scripts pour faciliter des transactions non présentes physiques (CNP) frauduleuses. Cette tendance alarmante a entraîné des pertes de fraude s'élevant à 1,1 milliard de dollars rien que l'année dernière.
La rapidité et l'ampleur des attaques d'énumération
Les attaques d'énumération se distinguent par leur rapidité et leur ampleur massive. Les cybercriminels exploitent des technologies d'automatisation avancées, lançant souvent des milliers d'attaques en quelques secondes. Cette capacité surpasse les défenses cybernétiques traditionnelles, rendant la détection et la prévention particulièrement difficiles.
L'évolution des tactiques cybernétiques
Les cybercriminels affinent continuellement leurs techniques, intégrant des méthodes d'automatisation de pointe qui échappent à une détection simple. Ils utilisent toutes les nouvelles technologies à leur disposition, notamment l'IA générative et les modèles de langage de grande taille (LLMs), en complément d'outils d'automatisation classiques.
Christophe Van de Weyer, PDG de Telesign, a souligné la sophistication croissante de ces fraudeurs : « Ils sont des adopteurs précoces de technologies comme l'IA générative, améliorant la qualité et l'ampleur de leurs attaques. » Il a ajouté que les fraudeurs ont perfectionné leurs tactiques d'ingénierie sociale, se faisant souvent passer pour des employés afin de manipuler les départements informatiques à réinitialiser des mots de passe et des dispositifs MFA. En conséquence, la fraude mondiale est devenue une industrie de 6 trillions de dollars, dépassant le PIB de nombreuses nations.
Michael Jabbara, vice-président senior chez VISA, a noté l'augmentation rapide des attaques d'énumération, en particulier en raison de la numérisation du commerce et de la prolifération du commerce en ligne. Les données de VISA révèlent que 33 % des comptes énumérés ont été victimes de fraude dans les cinq jours suivant l'accès de l'attaquant aux informations de paiement.
Les mécanismes derrière les attaques d’énumération
Ce qui rend les attaques d'énumération particulièrement dangereuses, c'est leur capacité à soumettre rapidement des combinaisons uniques de valeurs de paiement — telles que les numéros de compte principaux (PAN), les valeurs de vérification de carte (CVV2), les dates d’expiration et les codes postaux —, en cassant efficacement les transactions CNP. Ces attaques ciblent généralement des systèmes qui fournissent des retours utilisateurs, permettant aux attaquants de savoir quand leurs tentatives sont réussies.
La recherche de VISA montre que les attaques d'énumération exploitent souvent des faiblesses dans les plateformes de commerce en ligne, notamment celles manquant de mesures de limitation de taux ou de vérification robustes. L’entreprise conseille aux commerçants d’implémenter des CAPTCHA, de surveiller les transactions pour détecter des activités inhabituelles et d'adopter un cryptage solide ainsi qu'une authentification multifactorielle pour atténuer les risques.
Le rôle de l'IA dans la lutte contre la fraude
En réponse à la sophistication croissante des tactiques de fraude, VISA a lancé le Visa Account Attack Intelligence (VAAI) en 2019 pour contrer la montée des attaques de fraude par paiement. Cette solution se concentre sur l'identification des transactions CNP en utilisant une approche de défense unifiée qui intègre des informations sur les violations, la cybersécurité et les paiements.
Aujourd'hui, VISA améliore ses capacités avec le nouveau VAAI Score alimenté par l'IA générative, qui évalue en temps réel les attaques d'énumération. Chaque transaction reçoit un score de risque, permettant aux émetteurs de prendre des décisions éclairées rapidement et de protéger les transactions clients légitimes tout en minimisant les pertes financières. Le VAAI Score est partagé via VisaNet, offrant aux commerçants et partenaires des informations immédiates sur les probabilités de transactions frauduleuses.
Le VAAI Score peut générer une évaluation des risques en 20 millisecondes après le traitement d'une transaction, en analysant plus de 182 attributs de risque pour évaluer la probabilité de fraude. Développé à partir de l'analyse de plus de 15 milliards de transactions VisaNet, ce score propose six fois plus de caractéristiques que ses prédécesseurs, renforçant ainsi ses capacités de détection de fraude et réduisant potentiellement les faux positifs de 85 %. En intégrant l'IA générative et l'apprentissage automatique, le VAAI Score s'adapte continuellement pour identifier les tentatives des attaquants de contourner les mesures de sécurité CNP.
VISA a investi plus de 10 milliards de dollars dans des technologies d'IA et d'apprentissage automatique pour améliorer la prévention de la fraude et la sécurité du réseau, bloquant avec succès 40 milliards de dollars de transactions frauduleuses en une seule année.
Le défi de l'exactitude et de la rapidité en temps réel
Jabbara a souligné l'importance des évaluations de risques en temps réel, affirmant que VisaNet repose sur des normes ISO pour une intégration fluide avec les partenaires et commerçants afin de diffuser les VAAI Scores. « Nous fournissons le VAAI Score directement dans le message de transaction », a-t-il expliqué, permettant aux clients d'adapter leurs stratégies de gestion des risques en fonction de leurs besoins opérationnels spécifiques.
Le domaine de la détection de fraude évolue rapidement, Jabbara soulignant la nécessité pour les entreprises d'évaluer le risque de fraude tout au long du parcours client. Telesign utilise également l'IA et l'apprentissage automatique à des fins similaires.
« Chez Telesign, notre Intelligence API fournit des informations sur les risques et les modèles sous-jacents », a déclaré Van de Weyer. « Nous identifions les signaux d'alerte en analysant l'activité des numéros de téléphone, l'utilisation des e-mails, les adresses IP et les modèles d'appels pour aider à signaler les numéros à risque, informant ainsi nos recommandations et scores de risque pour améliorer les processus d'authentification. »
Classement
