Fraude au virement : la sécurité bancaire face au défi de l'intention

La fraude au virement explose malgré les contrôles bancaires. Face aux fraudes par manipulation, les banques doivent analyser l'intention et le comportement, au-delà de l'authentification.

Le 7 mai 2026, la Banque de France a activé le dispositif FNC-RF (Fichier National des Comptes – Retour de Fraude). Ce nouvel outil renforce le partage d’informations entre établissements sur des comptes bénéficiaires signalés, sans traiter à lui seul le cœur du problème. Selon l’Observatoire de la sécurité des moyens de paiement (OSMP), le virement est devenu l’épicentre de la fraude : il concentre 37 % des montants détournés au premier semestre 2025, devant la carte bancaire (34 %)[1]. En un an, les pertes associées sont passées de 160 à 230 millions d’euros[2].

Cette progression ne s’explique pas par un affaiblissement des dispositifs techniques. Elle tient au fait que les fraudeurs ne forcent plus les systèmes. Ils amènent les clients à initier eux-mêmes les opérations dans un contexte manipulé.

L’illusion de la conformité

La fraude par manipulation, ou APP fraud (Authorized Push Payment), est devenue la menace prépondérante. Sa progression est constante (+37 % en un an)[3], notamment pour les virements initiés via la banque en ligne (+54 %)[4]. Ici, le protocole est respecté à la lettre : l’authentification forte (SCA) est franchie et l’ordre de paiement est donné par le titulaire lui-même.

Techniquement, l’opération est irréprochable. Mais contextuellement, elle est viciée. Qu’il s’agisse d’un faux changement de RIB après piratage d’une messagerie ou d’une usurpation d’identité bancaire (spoofing), la fraude repose sur une manipulation du client dans sa prise de décision. Les dispositifs historiques, conçus pour détecter des anomalies de forme, restent inopérants face à ces transactions en apparence régulières. Le défi pour les banques change de nature : il ne s'agit plus seulement de vérifier l'identité du donneur d'ordre, mais de s'assurer de la légitimité de son intention.

Les limites des contrôles traditionnels

L’arsenal déployé ces dernières années montre des limites structurelles. La vérification du bénéficiaire (VoP), qui compare le nom et l’IBAN, est une mesure utile mais incomplète. Un fraudeur habile sait utiliser des « mules » - ces comptes de passage recrutés pour blanchir les fonds – ou créer des structures juridiques aux dénominations proches de fournisseurs légitimes. Plus grave encore : face à une alerte, un client sous influence psychologique passera souvent outre l'avertissement, persuadé de l'urgence de l'opération.

Le Mécanisme d’Authentification des Numéros (MAN), conçu pour endiguer le spoofing, subit lui aussi l'adaptation des réseaux criminels qui se déplacent vers des canaux mobiles moins régulés. Quant au FNC-RF, s’il améliore la réactivité en signalant des comptes déjà compromis, il reste un outil de remédiation. Il intervient sur une fraude déjà identifiée mais n'empêche pas l'acte initial. Dans l'écosystème du virement instantané, où les fonds sont transférés de manière irrévocable en quelques secondes, la réponse a posteriori demeure insuffisante.

Une exigence accrue de vigilance

Ce contexte modifie l'équilibre juridique entre la banque et son client. Pendant longtemps, l’usage d’une authentification forte était un élément déterminant dans l’appréciation de la négligence du client. Ce principe est aujourd'hui nuancé par les tribunaux. La jurisprudence récente souligne que la validation technique ne vaut pas consentement juridique si la vigilance du client a été altérée par une mise en scène sophistiquée.

Pour les établissements, la responsabilité se déplace : il faut désormais démontrer une posture active de surveillance. L’absence de réaction face à un signal faible, tel qu'un montant inhabituel ou un bénéficiaire créé à la hâte, devient un risque juridique majeur. Avec le futur cadre européen (DSP3 et PSR), ce devoir de vigilance va s'intensifier, renforçant les exigences en matière de prévention et de détection.

De l'analyse de données au renseignement comportemental

Pour s’adapter, l'évaluation du risque doit devenir dynamique. Puisque les signaux formels sont au vert, l’enjeu est d’exploiter la biométrie comportementale. La vitesse de saisie ou l'enchaînement des pages consultées avant l'ordre de paiement sont des indicateurs précieux. Un client sous emprise ne se comporte pas comme un utilisateur effectuant une opération de routine.

Une autre réponse consiste à mutualiser les modèles de détection via le federated learning (apprentissage fédéré). En mutualisant la détection des schémas de fraude sans échanger de données confidentielles, les banques pourront anticiper les modes opératoires en temps réel. C’est en apprenant des tentatives subies par l'ensemble de la Place que chaque établissement pourra s’affranchir d’une logique purement réactive.

L’arbitrage stratégique : fluidité et sécurité

Le virement instantané est le pivot de la stratégie européenne des paiements de détail. Sa promesse est celle d'une fluidité totale, mais sa rapidité est aussi une opportunité pour la fraude. Les banques font face à un arbitrage complexe : répondre à l'exigence de fluidité tout en intégrant des contrôles de plus en plus fins.

La viabilité du modèle repose sur cette capacité à décider en quelques millisecondes. Une banque qui ne parvient pas à analyser le contexte de ses transactions s'expose soit à des coûts de fraude élevés, soit à une perte de compétitivité par excès de prudence. Le système financier doit être capable d’évaluer le contexte d’une opération au même rythme qu’il l’exécute. Faute de quoi, l'instantanéité restera un facteur structurel de risque.

[1]-2-3-4 Observatoire de la sécurité des moyens de paiement (OSMP), Banque de France, rapport sur la fraude aux moyens de paiement, premier semestre 2025