Revue - Gazette du Palais - Hors Série du 25 juin 2024 - Nouvelles technologies : Des Horizons élargis pour les juristes ? - 46

Actes de colloque
Imaginons maintenant l'assistant, le comptable appelé en
direct en visio par une IA se faisant passer pour un associé,
le directeur général lui-même qui lui demande sur le
dossier « bidule » (information récupérée grâce à un « malware
» qui a scanné les répertoires informatiques et qui fut
déclenché par un salarié ayant cliqué sur la pièce jointe d'un
mail) pour lequel il convient de virer en urgence une somme
d'argent au RIB qu'il vient de lui adresser par courriel.
Ces fraudes qui jouent sur le besoin de reconnaissance,
d'empathie, l'envie de bien faire notamment dans l'urgence
et sous pression psychologique amènent la victime
à délaisser toutes les procédures de sécurité pour répondre
à la demande pressante. Or désormais, il est très
facile de récupérer une image, une voix sur internet et de
fabriquer du « Deepfake ».
Que ferions-nous si c'était une IA se faisant passer pour
notre fille ou notre fils qui nous demandait en urgence une
somme d'argent pour le sortir d'une mauvaise passe ?
L'intelligence artificielle sert aussi à rendre crédible le
message écrit, souvenons-nous des premiers hameçonnages
avec des fautes d'orthographe et une syntaxe
déplorable or désormais ils sont plus vrais que nature,
quasi indétectables et imitent le style de l'entreprise ou
de l'administration.
Pour parer au mieux à ces attaques, il faut rappeler le respect
des procédures de sécurité et procéder à des tests
réguliers.
Mais cessons de nous faire peur et voyons en quoi les
technologies et notamment l'IA peuvent être aussi un
moyen de se prémunir contre la fraude.
III. LES NOUVELLES TECHNOLOGIES
DONT L'IA ET LA RÉGLEMENTATION
CONTRIBUENT À LA SÉCURISATION
DES PAIEMENTS ET LA PROTECTION
DU CONSOMMATEUR
La DSP2 et sa transposition en droit français a permis de
mettre en place un certain nombre de dispositifs rendant
plus compliquée la vie du fraudeur. En voici quelques-uns :
L'authentification forte. On a vu plus tôt que l'authentification
forte, mise en place dans les paiements en ligne
par carte bancaire, avait contribué à faire baisser le taux
de fraude, mais selon quels critères peut-on considérer
que la protection offerte relève de l'authentification forte ?
Il faut pour la considérer comme telle que la solution employée
fasse appel à deux des trois critères ci-après :
- la « connaissance » : quelque chose que je suis seul à
connaître comme un mot de passe ou code pin en évitant
bien entendu d'utiliser le même sur tous les sites, car une
fois qu'il est « hacké » il est très facile à un robot de se
rendre sur les principales plateformes pour le tester. En
renonçant également à utiliser le prénom d'un membre
de la famille ou une date de naissance signifiante. Utilisez
plutôt lorsque c'est possible une phrase mnémotechnique
comme « Je suis du 75 et j'aime Netflix » le dernier mot
pouvant varier selon le site ;
- la « possession » : quelque chose que je détiens comme
mon portable, ma clé USB, mon Token...
- « l'inhérence » : quelque chose qui m'est constitutif
comme mon iris, mes empreintes digitales, ma voix, mon
visage, ma morphologie, mes veines...
44
GAZETTE DU PALAIS - mardi 25 juin 2024 - n O
hor s-sér ie
Vous payez sur un site marchand et authentifiez la transaction
via votre code sécurité (connaissance du code pin)
sur la banque mobile (possession du téléphone), c'est bien
de l'authentification forte.
Le scoring. L'intelligence artificielle s'avère bien utile
lorsqu'il s'agit de traiter d'innombrables données à partir
desquelles élaborer des tendances. En l'occurrence, les
banques se servent de plus en plus de celles-ci pour faire
de l'analyse comportementale sur leurs clients. Est-ce que
le client fait peu ou beaucoup de virements ? À quelle fréquence
? Quels sont les montants moyens et maximums ?
Depuis quelle adresse IP ? Y a-t-il des virements vers
l'étranger ? Quels pays ? Vers des banques en ligne où les
procédures d'ouverture de comptes et de KYC (Know Your
Consumer) sont parfois plus légères... Toutes ces données
vont permettre d'élaborer un profil et, lors de la transmission
d'un ordre de paiement, de déterminer un score
de risque qui pourrait permettre à la banque de stopper
ou d'annuler la transaction et de vérifier avec le client le
bien-fondé de celle-ci. Cette méthode permet également
de détecter des comptes de mules (clients ayant accepté
contre rémunération d'encaisser de nombreuses petites
sommes (à blanchir) et de transférer périodiquement les
fonds globalisés vers d'autres comptes.
Le filtrage. Il s'agit initialement, via de l'intelligence artificielle,
de lutter contre le terrorisme et le blanchiment
en contrôlant l'ordre de paiement avant exécution afin de
s'assurer que le bénéficiaire ou le donneur d'ordre en cas
de réception de fonds ne fait pas partie des listes européennes
ou américaines de gel des avoirs. Cette solution
est souvent étendue à la gestion contre la fraude en intégrant
des listes internes de « Bad guys » ce qui permet
de bloquer l'opération le temps de confirmer l'identité et
l'honorabilité de la personne.
Les techniques de scoring et de filtrage pour gagner en
efficience font l'objet d'un apprentissage constant afin
de diminuer les taux de faux positifs, faux négatifs et
corriger les éventuelles hallucinations de l'intelligence
artificielle. De même, pour éviter des dérives ou des
biais, les gendarmes de la banque que sont l'Autorité de
contrôle prudentiel et de résolution (ACPR) et la BCE pour
les établissements de nature systémique demandent que
les algorithmes des intelligences artificielles déployées
soient auditables.
Le client, victime malgré tout d'une fraude, bénéficie
néanmoins d'une législation protectrice.
Ainsi, les banques se sont engagées à suivre les recommandations
de l'observatoire de la sécurité des moyens de
paiement qui préconise qu'en vertu des articles L. 133 et
suivants du Code monétaire et financier en cas de contestation
par un client d'une opération non autorisée, sans
preuve d'un comportement frauduleux du plaignant ou
d'un manquement intentionnel ou d'une négligence grave,
que celui-ci soit remboursé sans délai y compris lorsque
le paiement aurait bénéficié d'une authentification forte.
Les banques quant à elle sensibilisent régulièrement leurs
clients par des campagnes de publicité, des messages sur
les banques en ligne et des actions auprès des ordres professionnels
afin que les clients deviennent acteurs de leur
propre sécurité et ne soient plus, par candeur, le maillon
faible de la chaîne de traitement.
464v4
Revue - Gazette du Palais - Hors Série du 25 juin 2024 - Nouvelles technologies : Des Horizons élargis pour les juristes ?

Table des matières de la publication Revue - Gazette du Palais - Hors Série du 25 juin 2024 - Nouvelles technologies : Des Horizons élargis pour les juristes ?
