Coupe du Monde, fraude bancaire : l’Europe est en retard sur l’IA utilisée par les attaquants

1. La Banque de France chiffre la fraude aux moyens de paiement à 618 millions d'euros au premier semestre 2025. Derrière cette progression de 7%, quelles nouvelles formes de fraude observez-vous concrètement sur le terrain ?

La hausse de la fraude au paiement annoncé par la Banque de France est inquiétante, mais surtout révélatrice de la transformation profonde qui s’opère sur la nature même des attaques. Historiquement, les fraudeurs agissaient de façon isolée ou en réseaux réduits. Ce n’est plus le cas. Désormais, nous affrontons des organisations structurées comme de véritables entreprises. Objectifs et KPIS cibles, outils CRM, systèmes d’automatisation... Les fraudeurs ont bien intégré l’IA générative à leur process, et s’en servent à la fois pour complexifier leurs attaques, mais aussi pour en augmenter l’ampleur.

Le cas du KK Park en Birmanie en est une illustration frappante : des milliers de personnes travaillant en simultané sur des opérations de fraude à grande échelle, le tout piloté par la data. Concrètement, cela se traduit par une progression nette de nouveaux types de fraude, déployées de façon plus rapides et massives. Ces derniers mois, nous avons notamment vu une hausse des tentatives de fraudes au virement instantané, le spoofing d’identité ou encore les attaques automatisées via des bots capables de tester des milliers de combinaisons en quelques secondes seulement.

2. Vous évoquez une 'rupture nette' dans la nature des menaces liées à l'IA générative. Pouvez-vous nous donner des exemples précis de ce que permettent aujourd'hui ces technologies aux fraudeurs ?

La rupture est réelle, mais surtout elle s’accélère. L’IA générative a radicalement abaissé le coût d’entrée dans la fraude sophistiquée. Auparavant, fabriquer un faux document d’identité convaincant, rédiger un email de phishing sans faute dans plusieurs langues ou imiter la voix d’un conseiller bancaire demandait des compétences rares. Aujourd’hui, cela est devenu accessible à n’importe quel individu ayant un accès à un ordinateur. La filière est structurée avec des sous-traitants proposants des kit clé en main pour quelques dizaines d’euros. L’IA générative offre une qualité de rendu sans précédent aux fraudeurs : deepfake ultra réalistes, mails et scripts de conversations, connaissance fine des parcours utilisateurs des banques... Mais c’est l’essor des agents IA qui propulse la fraude dans une nouvelle dimension.

Ces techniques de fraudes pointues passent rapidement à grande échelle via deux mécanismes distincts. D’abord, le développement d’agents frauduleux autonomes, des systèmes à qui les fraudeurs délèguent entièrement le déploiement et le pilotage des tentatives d'attaque, sans intervention humaine. Ensuite, et c’est encore un point peu abordé, la conception d’agents manipulateurs : des agents frauduleux dont la seule mission est de corrompre des agents légitimes pour les inciter à prendre des décisions à risques. Par exemple, un agent manipulateur peu injecter des instructions malveillantes dans les données que traite un agent sain pour détourner son comportement à l’insu de l’utilisateur.

3. Les deepfakes sont-ils déjà utilisés massivement dans la fraude bancaire ou s'agit-il encore d'un phénomène émergent ? Quels sont les secteurs les plus exposés ?

Les deepfakes sont déjà opérationnels dans la fraude, même si leur usage de masse dans le secteur bancaire reste inégal selon les marchés. Leur cas d’usage le plus fréquent est l’ingénierie sociale par téléphone, via par exemple
l’usurpation de l’identité d’un proche en reproduisant sa voix, afin de demander des virements frauduleux. Les deepfakes vocaux sont particulièrement efficaces car la voix demeure un facteur de confiance fort, et le risque d’incohérence est moins élevé qu’en vidéo.

Les secteurs les plus exposés sont logiquement ceux qui représentent à la fois une forte valeur, et des process de vérifications 100% digitaux : cryptos, fintech, banques en ligne, néobanques... Mais les entreprises d’autres secteurs et les institutions publiques n’échappent pas aux risques : le contexte géopolitique actuel a vu se développer des attaques très ciblées contre des décideurs, via des systèmes complexes d’usurpation d’identité et de manipulation sociale (le whaling).

4. Vous pointez un décalage entre la vitesse d'évolution des menaces et la capacité de réponse réglementaire. Concrètement, quels sont les principaux 'trous dans la raquette' de la régulation européenne actuelle ?

La problématique n’est pas tant l’absence de régulation que l’incomplétude de certaines régulations. DSP3, DORA, travaux autour de l’euro numérique : les directives sont actuellement rédigées par des juristes et experts des paiements, mais rarement des experts de l’IA. Or, la fraude au paiement évolue progressivement vers de la fraude IA appliquée au paiement ; et ce sont justement les experts IA qui sont les mieux à même de détecter des tendances d’évolution dans les techniques de fraude. Le vrai angle mort, c'est l'absence de mécanismes d'expertise technique en IA au cœur du processus réglementaire.

5. Vous critiquez la fragmentation des réponses antifraude en Europe. Comment les fraudeurs exploitent-ils cette situation à leur avantage ? Avez-vous des exemples d'attaques transfrontalières coordonnées ?

La fragmentation des réponses antifraude est aujourd’hui une opportunité en or pour les fraudeurs. Tant que chaque pays traitera la fraude comme un enjeu domestique, alors les fraudeurs bénéficieront d’une voix d’entrée sur chaque territoire. Les réseaux (de plus en plus organisés) connaissent cette faiblesse et en font une stratégie explicite. Concrètement, ils initient des transactions dans un premier pays, acheminent les fonds dans un deuxième et blanchissent dans un troisième. La fraude aux virements instantanés augmente le niveau de risque d’un cran : le temps que les établissements concernés échangent l’information, les fonds ont souvent déjà transité plusieurs fois.

Le problème relève davantage de la coordination que de la technique. Cela soulève également le besoin de créer davantage de synergie entre la lutte anti-fraude et la lutte contre le blanchiment. Le réseau Saphir en est l'illustration parfaite. Ce réseau criminel, qui a dérobé au moins 240 millions de dollars depuis 2021, avait développé un système de fraude sophistiqué. Structuré comme une véritable entreprise, Saphir comptait des agents de “conversion” chargés d’enrôler de nouvelles victimes, et des agents de “rétention” chargés de les maintenir dans le système. Le tout piloté avec des KPIs et tableaux de bords.

Le mode opératoire était rodé : les agents identifiaient la banque de chaque victime, puis adaptaient leurs scripts en conséquence afin de franchir les différentes étapes de sécurité propres à chaque établissement bancaire, avant de faire transiter les fonds d’un pays à l’autre pour brouiller les pistes. Et ce avant que les établissements concernés n’aient eu le temps de s’alerter mutuellement. Si Saphir est un exemple d'une ampleur exceptionnelle, elle montre à quel point la fragmentation devient critique.

6. Face à cette industrialisation de la fraude, quelle est la capacité réelle des banques européennes à détecter et bloquer ces nouvelles formes d'attaques en temps réel ? La situation est contrastée.

Les grandes banques européennes, dont 6 des 10 premières travaillent avec nos solutions d’IA. Elles ont investi massivement dans des capacités d’IA de scoring en temps réel. Nos systèmes traitent plus de 70 milliards de transactions par an, avec un temps de scoring moyen de 10 millisecondes. Les capacités existent et les performances sont au rendez-vous. Mais la réalité du marché est que certains acteurs ont commencé à anticiper ces nouvelles techniques de fraude il y a plusieurs années déjà ; tandis que d’autres fonctionnent toujours avec des règles statiques. Le véritable enjeu aujourd’hui n’est pas seulement de viser la performance à l’instant T, mais de réussir à faire évoluer les modèles en continu face à des fraudeurs qui s’adaptent dès qu’une contre mesure est déployée. C'est tout l’objectif de la chaire de recherche FraudShift que nous avons initié avec l’université d’Anvers.

7. Vous alertez sur les risques de dépendance aux solutions extra-européennes. Quels sont les enjeux de souveraineté technologique dans la lutte antifraude ? L'Europe a-t-elle les moyens de ses ambitions ?

La souveraineté technologique dans la lutte antifraude est avant tout une question de contrôle stratégique. Confier ses outils de détection de fraude sur les transactions européennes à des acteurs dont les centres de décision, les modèles et les données sont hors d’Europe, c’est accepter une dépendance structurelle. Or la lutte contre la fraude, pour être efficace, doit avoir accès à d’importants jeux de données sensibles. En cas de tension politique ou économique, qu’en est-il du stockage des données sensibles ? Ne risque-t-on pas une « guerre commerciale » à travers des hausses de tarifs agressives ? Mais surtout : qu’en est-il de l’accessibilité même à l’outil ? Nous l’avons vu il y a quelques jours à peine : sous la pression du gouvernement américain, Anthropic a bloqué l’accès à son modèle Fable.

La lutte antifraude est un sujet bien trop stratégique pour prendre le risque de dépendre d’un acteur externe sans aucune garantie de contrôle. AdvanThink existe depuis 36 ans, justement parce qu’un programme de recherche Européen sur la datascience (le programme ESPRIT) a fait le pari de construire une filière européenne souveraine de l’IA. Ce modèle a démontré sa pertinence. Les talents existent, les institutions académiques excellent dans ce domaine, les entreprises sont volontaires. Ce qu’il faut, c’est la volonté de l’organiser collectivement.

8. L'IA agentique représente-t-elle la prochaine étape de cette course à l'armement technologique ? À quoi faut-il s'attendre dans les 12 à 18 prochains mois ?

En réalité, l’IA agentique est déjà présente aujourd’hui. Les agents frauduleux, c’est-à-dire les systèmes autonomes capables d’identifier des cibles, et passer à l’action sans intervention humaine, sont déjà très actifs. Ils ont déjà bouleversé l’échelle des attaques, mais aussi la rapidité d’action et de réaction des fraudeurs. Nous anticipons 3 menaces dans les 12 à 18 prochains mois :
- La multiplication des attaques par des bots agentiques capables de détourner des
systèmes d’authentification et de paiements
- L’émergence du data poisoning ciblé directement sur des modèles de détection
- L’usurpation d’agents légitimes dans les chaînes d’automatisation.
Cela requiert des modèles capables de s’adapter continuellement et en temps réel, ce qui est
au cœur de nos travaux de R&D.

9. Quelle architecture européenne de lutte antifraude préconisez-vous ? Faut-il créer de nouvelles institutions ou renforcer l'existant ?

Je ne crois pas que la création d’une institution supplémentaire soit la solution la plus adaptée à court terme. Ce dont nous avons besoin, c’est d’une communauté forte, dynamique et ambitieuse : un réseau transversal et européen par essence, qui réunit chercheurs en IA, praticiens de la lutte antifraude, établissements financiers et régulateurs. L’OSMP et la Banque des France ont engagé des travaux utiles sur la compréhension de l’IA dans la fraude, et nous avons été ravis d’y avoir participé, c’est une initiative salutaire. Mais ces initiatives restent nationales et progressent lentement faut d’un réseau d’experts structuré à disposition.

Ce que nous proposons, c’est de mutualiser les méthodes, les modèles et la veille ; pas les données clients qui restent la propriété des établissements. Les chaires de recherche partenariales, comme FraudShift, montrent qu’un tel modèle
fonctionne. Il est désormais temps de le déployer à échelle européenne.

10. La Coupe du Monde est là et vous anticipez une intensification des risques. Sur quels types d'arnaques les consommateurs doivent-ils être particulièrement vigilants ?

Chaque événement populaire s’accompagne d’une hausse significative du niveau de fraude au paiement. Tout comme les Jeux Olympiques en 2024, la coupe du monde cette année ne fera pas exception à la règle. Pour cet événement, le premier type d’arnaque est le faux site de billetterie. Souvent extrêmement bien conçu, il est indiscernable des sites officiels à quelques détails près (mentions légales, coordonnées...) qui sont rarement vérifiés lors de l’achat, car la forte
demande nous pousse à concrétiser l’achat le plus vite possible. D’autres types d’arnaque sont aussi fréquents : hébergements inexistants ou usurpation d’établissement sur les sites d’hôtellerie, faux concours et jeux promotionnels qui collectent des données bancaires...

Mais aussi les arnaques plus classiques telles que les campagnes de phishing ciblées. Prudence lors des achats en ligne donc, et vigilance accrue sur les émetteurs de mails, sms et éditeurs de sites. Les messages se sont largement perfectionnés ces dernières années avec l’IA générative. Le réflexe de base reste le même : ne jamais cliquer sur un lien reçu par email ou SMS, toujours accéder directement aux sites officiels, et se méfier de toute offre qui crée un sentiment d'urgence.

11. Les fraudeurs utilisent déjà l'IA de manière industrielle. Les banques et les régulateurs européens ont-ils pris la mesure de cette accélération technologique ?

Les banques et les régulateurs européens ont déjà pris conscience de l’ampleur et de l’urgence de lutter contre la fraude IA. Il n’y a aucun débat à ce sujet. Le vrai sujet est notre capacité à y répondre rapidement. Du côté des banques, le problème est bien souvent organisationnel, mais les équipes ont toutes la volonté d’avancer sur le sujet.
Du côté réglementaire, le problème est le manque d’onboarding d’experts IA pour participer aux discussions qui vont nourrir le socle des textes qui seront promulgués demain. Il nous faut cette compétence, pour aboutir à une vision plus fine, plus profonde des vrais risques que pose l’IA dans la fraude, afin de mieux les anticiper.

12. En tant qu'éditeur français de solutions antifraude, comment votre entreprise se positionne-t-elle face aux géants technologiques américains ou asiatiques sur ce marché ?

Notre positionnement repose sur 3 différenciateurs clairs :

Le premier est la profondeur technique. 36 ans de R&D continue, 75% de nos effectifs affectés à la recherche, et une équipe dont 85% des membres sont des ingénieurs et PhD dont certains figurent même en TOP 10 dans le prestigieux classement mondiale IA Kaggle. C’est cette profondeur technique qui nous a permis de développer le datamorphing, une innovation maison qui permet de visualiser des milliards de données en temps réel.

Le deuxième différentiateur est notre proximité avec les équipes Métiers. Nous travaillons au quotidien avec 95% des banques françaises, et 100 banques à l’international. Nous connaissons les enjeux auxquels les équipes font face, et nous comprenons les contraintes réglementaires, les architectures techniques et les enjeux métier d’une façon qu’un acteur américain ou asiatique ne peut égaler de l’extérieur. Nous savons leur apporter des solutions d’IA adaptées à leurs besoins et les accompagner dans leurs déploiement et adoption.

Le troisième différenciant est notre indépendance : nous sommes une entreprise 100% française, indépendante, un gage de confiance pour des clients qui traitent des données sensibles. Face aux géants technologiques, nous ne prétendons pas être les plus grands, mais nous sommes les plus pointus sur notre domaine. Les résultats le montrent : 6 des 10 plus grandes banques européennes font confiance à nos solutions.