Flash BankNews | AES – Comment se protéger des fraudes liées aux cryptoactifs et arnaques financières en ligne à l’ère de l’IA ?

Dans ce contexte, les AES ont publié deux fiches d’informations pratiques afin d’aider les consommateurs et les acteurs financiers à se protéger face à ces risques.

Un contexte marqué par la montée en puissance des arnaques financières et fraudes sur cryptoactifs favorisées par le développement de l’IA

Au cours des dernières années, les autorités européennes constatent une évolution des arnaques financières en ligne ainsi que des fraudes liées aux cryptoactifs. S’agissant spécifiquement des cryptoactifs, la rapidité des transactions, leur caractère souvent anonyme et leur irréversibilité créent un environnement particulièrement favorable aux escroqueries, permettant aux fraudeurs d’opérer rapidement. Plus largement, en ce qui concerne les arnaques financières, les escrocs mobilisent une variété croissante de stratagèmes pouvant entraîner des pertes financières significatives ainsi que la compromission de données personnelles sensibles.

Pour arriver à leurs fins, les escrocs exploitent désormais des contenus générés par intelligence artificielle (audio, vidéo ou images) pour reproduire la voix ou l’apparence d’interlocuteurs de confiance, tels qu’un conseiller bancaire, un proche ou une personnalité publique. Cette capacité à imiter des comportements humains crédibles renforce la vraisemblance des approches frauduleuses et rend leur détection plus complexe. Ces attaques s’appuient sur une multiplicité de canaux – réseaux sociaux, emails ou applications de messagerie – et reposent sur des messages, images et enregistrements qui paraissent authentiques.

Des signaux d’alerte récurrents permettant de déceler en amont les tentatives de fraudes

Les autorités ont recensé un faisceau d’indices qui constitue une aide à la détection des tentatives de fraude parmi lesquels :

• La formulation de promesses trop belles pour être vraies ou offres non sollicitées ;
• Des rendements rapides et garantis ;
• Une urgence à agir (par exemple (par exemple, par la mention d’offres à durée limitée) ;
• Des demandes de paiement via des moyens peu traçables ou irréversibles (cryptoactifs, cartes‑cadeaux, virements, cartes prépayées) ;
• Des sollicitations d’informations sensibles (mots de passe, identifiants bancaires, codes) ;
• L’usage de liens/QR codes à cliquer, des applications à installer, une demande de prise de contrôle à distance d’un appareil, des URLs suspectes ou des pièces jointes potentiellement malveillantes ;
• L’usage de grammaire/format douteux – à noter cependant que cela est de mieux en mieux masqué par l’IA) - des intonations qui semblent artificielles ou robotiques (clonage vocal, usage de deepfakes).

En ce qui concerne les fraudes liées à des cryptoactifs, s’ajoutent des marqueurs spécifiques tels que :

• Les demandes de clés privées ou « seed phrases » (phrase mnémonique permettant l’accès à ou la récupération d’un portefeuille crypto) ;
• la redirection vers des plateformes inconnues ou des sites imitant des acteurs légitimes (logos modifiés, adresses incorrectes).
   

Des typologies de fraudes amplifiées par l’émergence de l’IA

Les AES présentent par ailleurs plusieurs cas types de fraudes, dont les suivantes, qui se sont renforcées ces dernières années avec un usage de plus en plus marqué de l’IA :

• L’usurpation d’identité via l’usage de Deepfakes : Elle se matérialise via des appels émanant d’un supposé tiers de confiance (ex. banque, autorité publique etc.). L’IA permet de générer des voix et visages plausibles pour instaurer l’urgence et obtenir des transferts, l’installation de logiciels malveillants ou la divulgation d’identifiants personnels afin d’aboutir au vol des fonds de la victime.
   
• Hameçonnage (phishing) et ingénierie sociale : Il s’agit de messages imitant des institutions légitimes (logos, mises en page), parfois insérés dans des fils de conversation existants. L’IA personnalise les contenus sur la base de données collectées en lien avec la victime. L’objectif est de capter les identifiants d’accès, rediriger vers de faux sites et pousser à l’installation d’applications malveillantes.
   
• Arnaques à l’investissement ou à l’assurance : Elles se matérialisent par l’usage de publicités et par du démarchage en ligne vantant des rendements élevés et un risque faible. Les fraudeurs s’appuient sur des documents, plateformes et interactions qui paraissent professionnels. Le scénario type consiste à demander des dépôts initiaux modestes suivis de montants croissants, une impossibilité de retrait puis la disparition des fonds et des interlocuteurs.
   
• Arnaques aux sentiments : Ces arnaques démarrent par la construction progressive d’une relation de confiance (réseaux sociaux, applications de rencontre etc.) avant un basculement vers des demandes de transferts ou des opportunités d’investissement (souvent en crypto). S’ensuit une coupure de contact et le vol des fonds et/ou de données.
   
• Arnaques à l’achat en ligne : Il s’agit d’offres attrayantes sur une marketplaces avec contournement des systèmes de protections de la plateforme via un lien tiers. L’IA est utilisée pour cloner les interfaces bancaires et des chatbots peuvent être intégrés pour simuler un service client crédible afin de voler des données/identifiants bancaires.

Les typologies suivantes, spécifiques aux cryptoactifs, sont également détaillées :

• « Pump‑and‑dump » et « rug pull » : Il s’agit de la promotion agressive d’un jeton ou projet via les réseaux sociaux avec des promesses de profits rapides et une incitation à investir sans attendre. Le cours est artificiellement gonflé avant la revente massive par les initiateurs (« dump ») ou bien le projet cesse brutalement avec départ des organisateurs (« rug pull »).
   
• Usurpation d’identité : Elle se matérialise via des sollicitations par quelqu’un se faisant passer pour un support officiel (plateforme d’échange, wallet etc.). La personne réclame la seed phrase, le mot de passe ou les clés privées dont la divulgation entraîne le contrôle total et la perte irréversible des actifs.
   
• Phishing : Il s’agit de courriels, pop‑ups ou messages redirigeant vers des applications ou sites contrefaits en prétextant par exemple des mises à jour de sécurité ou actualisation d’une application. Le fait par l’utilisateur de cliquer sur le lien malveillant va permettre l’installation de logiciels malveillants et l’exfiltration d’informations permettant le vol d’actifs.
   
• Arnaque au cadeau :  Il s’agit d’une promesse de doubler les actifs envoyés en utilisant des mises en scène impliquant des célébrités ou des marques via l’usage d’images ou vidéos souvent non autorisées. Après envoi des fonds il n’y a plus aucun retour de la part de l’interlocuteur et les fonds sont perdus.
   
• « Address poisoning » : Il s’agit de l’injection d’une fausse adresse ressemblante dans l’historique du portefeuille de la victime qui se matérialise par un petit versement préalable par l’escroc. L’utilisateur copie-colle par habitude la mauvaise adresse et, en raison de l’irréversibilité des transferts, les actifs sont perdus.
   

Des bonnes pratiques rappelées par les autorités de surveillance

Sont rappelées les règles de prudence à mettre en œuvre afin d’éviter ces types de fraudes :

• Ne pas partager d’informations personnelles ou sécuritaires (PIN, mots de passe, codes, clés privées, seed phrases) ;
• Vérifier l’origine des messages même si l’apparence semble officielle et ne pas cliquer sur des liens ou QR codes non sollicités. 
• Installer uniquement des applications officielles, ne jamais autoriser une prise de contrôle à distance sur demande et n’utiliser que des mots de passe robustes et uniques /activer l’authentification forte lorsqu’elle est disponible.
• Vérifier l’identité des interlocuteurs via des canaux de confiance et utiliser uniquement des coordonnées vérifiées pour joindre une entreprise.
• Procéder à un contrôle de l’URL (orthographe, présence d’éléments suspects).
• Pour les cryptoactifs, il est recommandé de vérifier l’agrément/autorisation des prestataires ainsi que les listes noires des autorités nationales avant d’effectuer toute opération.
   

Une impérative adaptation des dispositifs de sécurité financière des établissements assujettis en réponse à une évolution des risques

Si la vigilance des consommateurs demeure essentielle, l’ensemble des signaux d’alerte et des typologies de fraude doit également être pleinement intégré par les acteurs financiers assujettis aux obligations LCB‑FT. Ces évolutions imposent en effet une adaptation continue des dispositifs de sécurité financière, compte tenu de l’émergence de schémas frauduleux de plus en plus sophistiqués et difficiles à détecter. Dans ce contexte, les établissements doivent faire évoluer leurs évaluations des risques, ajuster les contrôles et adapter les scénarios de surveillance afin de mieux appréhender ces nouveaux vecteurs de menace.

Nos experts sont disponibles pour vous aider à améliorer l’efficacité de vos dispositifs de détection et appréhender les risques émergents.

RESTEZ INFORMÉ(E) DE L'ACTUALITÉ BANCAIRE, ABONNEZ-VOUS AUX FLASH BANKNEWS.