Mardi soir, 22 h 40. Vous commandez une paire de baskets sur un site que vous ne connaissez pas trop. Le paiement passe… ou pas. Parfois, l’appli de votre banque vous demande de confirmer. Parfois, la carte est refusée tout net. Derrière ce verdict rendu en une fraction de seconde, des logiciels scrutent chacune de vos opérations. Sans agence ni conseiller attitré, les banques en ligne n’ont pas vraiment le choix : c’est la machine qui monte la garde. Voici comment ça fonctionne concrètement, et où se trouvent les failles.
Que se passe-t-il entre votre clic et la validation ?
Quand vous tapez le numéro de votre carte, une demande d’autorisation file vers votre banque via le réseau Visa ou Mastercard. Elle a très peu de temps pour répondre, généralement moins d’une seconde, sinon le commerçant affiche une erreur. Dans cet intervalle, son outil antifraude fait le tri. Il ne lit pas votre panier, évidemment. Il regarde le montant, le type de commerçant, le pays, l’heure, le terminal utilisé, et compare tout ça à votre historique. Pour un virement depuis l’appli, même logique, avec quelques données en plus : qui est le bénéficiaire, depuis quand il figure dans votre liste, depuis quel téléphone vous êtes connecté. La plupart du temps, vous ne voyez rien. Et c’est voulu !
Comment l’algorithme décide-t-il qu’un paiement est louche ?
Pendant longtemps, les banques se contentaient de règles fixes, du genre « bloquer tout paiement au-delà de tel montant dans tel pays ». Efficace contre les arnaques grossières, beaucoup moins contre les fraudeurs qui connaissaient les seuils et restaient sagement juste en dessous. Aujourd’hui, la plupart des établissements combinent ces règles avec des modèles d’apprentissage automatique. On les nourrit avec des millions d’opérations passées, en leur indiquant lesquelles se sont révélées frauduleuses. À force, ils repèrent des combinaisons qu’aucun analyste n’aurait pensé à écrire noir sur blanc. Ces modèles sont réentraînés régulièrement, parce que les techniques des escrocs évoluent vite.
Un score de risque, c’est quoi exactement ?
Chaque opération reçoit une note. Plus elle est haute, plus le paiement ressemble à une fraude. Votre plein d’essence dans la station habituelle ? Note quasi nulle, ça passe. Un virement de 2 500 euros vers un IBAN ajouté il y a quatre minutes, à 3 heures du matin ? La note s’envole. Ensuite, la banque applique son propre barème : en dessous d’un certain niveau, elle valide ; au milieu, elle vous demande de confirmer dans l’appli ; tout en haut, elle bloque et vous prévient. Le réglage est délicat. Trop sévère, et les clients pestent en voyant leurs courses refusées à la caisse. Trop souple, et c’est la banque qui finit par rembourser les dégâts.
Votre façon de tenir le téléphone peut-elle vous trahir ?
Oui, et c’est sans doute l’aspect le plus surprenant. Certaines banques mesurent la manière dont vous utilisez leur application : rythme de frappe du code, pression du doigt, inclinaison du smartphone, vitesse de défilement des écrans. On appelle ça la biométrie comportementale. Chacun a ses petites manies, sans même s’en rendre compte. Quelqu’un qui aurait récupéré vos identifiants peut se connecter, mais il ne tiendra pas le téléphone comme vous. Autre indice très surveillé : un appel en cours au moment où vous validez un gros virement. C’est souvent le signe qu’un escroc est au bout du fil, en train de vous dicter chaque étape. Malin, non ?
Quels indices déclenchent l’alerte ?
Aucun signal ne suffit à lui seul. Partir en vacances au Portugal n’a rien de suspect, acheter un ordinateur non plus. C’est l’accumulation qui pose problème. Parmi les éléments qui pèsent le plus dans la balance :
- un téléphone, une adresse IP ou un navigateur jamais vu auparavant ;
- une localisation incohérente, comme un paiement à Lyon dix minutes après un retrait à Lisbonne ;
- un montant très éloigné de vos dépenses habituelles ;
- un nouveau bénéficiaire ajouté puis payé dans la foulée ;
- une rafale de petits paiements, technique classique pour tester une carte volée ;
- un changement récent de numéro de téléphone ou d’adresse e-mail sur le compte.
En revanche, un ordinateur à 1 800 euros acheté à Athènes le soir même de votre arrivée, depuis un téléphone que la banque n’a jamais vu… ça commence à faire beaucoup de coïncidences !
Toutes les banques en ligne se protègent-elles de la même manière ?
Sur le fond, oui : toutes sont soumises aux mêmes obligations réglementaires et utilisent un moteur de scoring. Mais côté client, les outils mis à disposition varient franchement d’un établissement à l’autre. La banque en ligne de BNP Paribas mise sur la Clé Digitale, intégrée à l’application, pour valider les opérations sensibles. Boursobank, de son côté, permet de se connecter avec des clés de sécurité au standard FIDO : empreinte, visage ou code sur un appareil de confiance, et plus besoin de mot de passe. Revolut propose des cartes éphémères, qui changent de numéro après chaque achat : pratique pour payer sur un site dont on se méfie. La même appli peut bloquer la carte par géolocalisation. Presque partout, vous pouvez geler votre carte d’un geste, couper les paiements à l’étranger ou le sans contact, et recevoir une notification à chaque débit. Ces options ne se valent pas toutes, et certaines sont réservées aux formules payantes. Si la sécurité compte dans votre décision, mieux vaut les passer en revue avant d’ouvrir un compte. En parcourant un comparatif de banques en ligne, vous verrez rapidement lesquelles incluent cartes virtuelles, alertes en temps réel ou plafonds modifiables depuis l’appli.
L’authentification forte suffit-elle ?
Depuis la directive européenne DSP2, la majorité des paiements en ligne doivent être validés par une authentification forte. Il faut réunir deux éléments sur trois : quelque chose que vous savez (un code), quelque chose que vous avez (votre téléphone), quelque chose qui vous appartient physiquement (une empreinte, votre visage). C’est l’écran de confirmation 3D Secure qui apparaît dans l’appli. Le texte prévoit des exemptions pour les petits montants ou certains commerçants jugés fiables, à condition que l’analyse de risque soit favorable. Autrement dit, c’est encore le scoring qui décide si on vous sollicite ou pas. Et ça marche : les travaux de l’Observatoire de la sécurité des moyens de paiement soulignent le niveau de protection élevé apporté par l’authentification forte et le protocole 3D Secure. Le dispositif a pourtant une limite de taille, on y revient plus bas.
Que faire quand la banque bloque un paiement légitime ?
Ça arrive, même aux clients les plus sages. Un billet d’avion réservé à la dernière minute, une location de voiture en Italie, un premier achat sur un site américain… et la carte est refusée. Les spécialistes parlent de faux positif. Dans la plupart des cas, une notification arrive dans la minute pour vous demander si c’est bien vous. Vous confirmez, vous relancez le paiement, et l’affaire est réglée. Si rien ne se passe, contactez le service client par le chat de l’appli plutôt que de multiplier les tentatives, qui risquent de prolonger le blocage. Avant un voyage, pensez aussi à vérifier vos plafonds et vos réglages de paiement à l’étranger. Agaçant sur le moment ? Bien sûr. Mais franchement, on préfère ça à un compte vidé pendant la nuit !
Pourquoi les arnaqueurs visent-ils désormais les clients ?
Parce que contourner les systèmes devient trop compliqué. Il est bien plus simple de pousser la victime à valider elle-même l’opération. La fraude au faux conseiller en est le meilleur exemple : un appel, un numéro qui ressemble à celui de votre banque, une voix calme qui évoque un « paiement suspect » à annuler d’urgence. Et vous finissez par confirmer, dans votre propre appli, un virement vers le compte de l’escroc. Pour l’algorithme, tout semble normal : c’est votre téléphone, votre empreinte, votre geste. D’après la Banque de France, cette fraude par manipulation a atteint 516 millions d’euros en 2025, soit plus de 40 % de la fraude totale aux moyens de paiement ! Les banques tentent de riposter. Depuis le 9 octobre 2025, la vérification du bénéficiaire est obligatoire pour les virements SEPA : si le nom ne correspond pas à l’IBAN, vous êtes prévenu avant d’envoyer l’argent. Reste une règle simple à garder en tête… aucune banque ne vous demandera de valider une opération pendant un appel. Au moindre doute, raccrochez et rappelez vous-même le numéro officiel !
- Partager l'article :
