L'IA agentique, c'est-\u00e0-dire les syst\u00e8mes autonomes capables d'observer, de d\u00e9cider et d'agir \u00e0 travers plusieurs outils, est sur le point d'entrer en collision avec la fraude et les paiements en Europe, et ce des deux c\u00f4t\u00e9s de la lutte contre la fraude. Pour les commer\u00e7ants et les banques, la r\u00e9alit\u00e9 en 2026 ne sera pas celle d'\u00ab agents IA magiques qui font dispara\u00eetre la fraude \u00bb, mais plut\u00f4t un m\u00e9lange chaotique de r\u00e9glementations plus strictes, d'attaquants plus intelligents et de bo\u00eetes noires plus opaques chez les fournisseurs. <\/p>\n\n\n\n
A travers l'Europe selon le MRC<\/a> , les commer\u00e7ants en ligne europ\u00e9ens perdent d\u00e9j\u00e0 environ 2,8 % de leurs revenus \u00e0 cause de la fraude, qui repr\u00e9sente environ 3 % de toutes les commandes. Les usurpations d'identit\u00e9 et les piratages de comptes sont en forte augmentation, en partie aliment\u00e9s par l'IA qui peut g\u00e9n\u00e9rer \u00e0 grande \u00e9chelle des identit\u00e9s fictives convaincantes et des scripts d'ing\u00e9nierie sociale, selon l'agence britannique de lutte contre la fraude CIFAS<\/a>. L'IA agentique ne fait que renforcer cette tendance des deux c\u00f4t\u00e9s de la barri\u00e8re.\u00a0<\/p>\n\n\n\n Pour les commer\u00e7ants et les soci\u00e9t\u00e9s financi\u00e8res, cependant, un dilemme se pose. De plus en plus, les acheteurs et les nouveaux clients utiliseront l'IA pour rechercher et acheter des biens et des services. <\/p>\n\n\n\n \u00c0 partir de maintenant, vous disposez essentiellement de deux nouveaux \u00ab segments de client\u00e8le \u00bb dans vos donn\u00e9es : <\/p>\n\n\n\n La t\u00e2che des commer\u00e7ants et des prestataires de services financiers consiste \u00e0 collaborer avec leurs soci\u00e9t\u00e9s de d\u00e9tection des fraudes afin de se frayer un chemin \u00e0 travers ce champ de mines. Chez Oneytrust, nous avons observ\u00e9 cette tendance \u00e9merger au cours de l'ann\u00e9e 2025 et, comme le reste du monde, nous anticipons une forte augmentation en 2026. <\/p>\n\n\n\n Donc, ce que vous ne voulez pas bloquer ; l'IA agentique est d\u00e9j\u00e0 utilis\u00e9e comme interface consommateur pour les paiements et les achats : <\/p>\n\n\n\n Les r\u00e9gulateurs sont \u00e0 la tra\u00eene : la directive PSD2 ne mentionne pas l'IA, et m\u00eame la directive PSD3\/PSR ne fait r\u00e9f\u00e9rence \u00e0 l'IA qu'une seule fois, dans le cadre de la pr\u00e9vention de la fraude. Mais les agents consommateurs font leur apparition malgr\u00e9 tout. <\/p>\n\n\n\n Pour un commer\u00e7ant, cela signifie qu'une partie du \u00ab trafic bot \u00bb est d\u00e9sormais un trafic \u00e0 forte valeur ajout\u00e9e et conforme (l'IA faisant ce qu'un client fid\u00e8le lui a demand\u00e9 de faire). Ces agents proviennent souvent d'adresses IP de centres de donn\u00e9es, de navigateurs sans interface graphique ou d'appareils partag\u00e9s, et r\u00e9utilisent les identifiants et les moyens de paiement enregistr\u00e9s, c'est-\u00e0-dire qu'ils sont tr\u00e8s similaires aux bots que vous avez pass\u00e9 tant de temps \u00e0 essayer de dissuader. <\/p>\n\n\n\n Si vous bloquez tout ce qui ressemble \u00e0 un agent, vous d\u00e9truirez ce canal \u00e9mergent et contrarierez les programmes, les PSP et les grands partenaires technologiques qui le soutiennent. <\/p>\n\n\n\n Comment les fraudeurs utilisent l'IA agentique contre les commer\u00e7ants et les banques\u00a0<\/strong><\/p>\n\n\n\n Plusieurs tendances se d\u00e9gagent des rapports europ\u00e9ens et mondiaux : <\/p>\n\n\n\n Remplissage de credentials et ATO avec des agents utilisant des ordinateurs (CUA). <\/p>\n\n\n\n Selon un rapport de Push Security<\/a>, les CUA de type \u00ab Op\u00e9rateur \u00bb d'OpenAI montrent qu'ils peuvent se connecter \u00e0 n'importe quelle application web, lire des pages, cliquer sur des boutons et g\u00e9rer des flux complets comme un humain, mais \u00e0 l'\u00e9chelle d'un bot. Cela permet aux pirates de diffuser les identifiants vol\u00e9s sur des milliers de sites, puis d'effectuer des actions dans les applications une fois qu'ils y ont acc\u00e8s.\u00a0<\/p>\n\n\n\n Hame\u00e7onnage et ing\u00e9nierie sociale \u00e0 grande \u00e9chelle aliment\u00e9s par l'IA et visant les paiements. <\/p>\n\n\n\n Le rapport 2025 du Conseil europ\u00e9en des paiements<\/a> sur les menaces identifie le phishing et les deepfakes g\u00e9n\u00e9r\u00e9s par l'IA comme des facteurs cl\u00e9s de la fraude APP et des escroqueries par usurpation d'identit\u00e9, qui font dispara\u00eetre les barri\u00e8res linguistiques.\u00a0<\/p>\n\n\n\n Ouverture de compte et identit\u00e9 synth\u00e9tique \u00e0 l'\u00e9chelle industrielle. <\/p>\n\n\n\n Les sp\u00e9cialistes de la criminalit\u00e9 financi\u00e8re<\/a> pr\u00e9viennent que l'IA agentielle sera utilis\u00e9e pour inonder les services d'inscription en ligne des banques de demandes d'ouverture de compte tr\u00e8s coh\u00e9rentes et en plusieurs \u00e9tapes, en r\u00e9utilisant et en recombinant des \u00e9l\u00e9ments d'identit\u00e9 vol\u00e9s ou synth\u00e9tiques.\u00a0<\/p>\n\n\n\n Fraude au paiement \u00ab speedruns \u00bb. <\/p>\n\n\n\n Arkose Labs<\/a> parle des agents qui contournent la navigation normale, acc\u00e8dent directement aux points de terminaison \u00e0 forte valeur ajout\u00e9e (tests de cartes, cartes-cadeaux, BNPL, articles co\u00fbteux) et s'adaptent en temps r\u00e9el en cas de friction.\u00a0<\/p>\n\n\n\n Votre pile d'identification et de fraude va voir des agents IA tenter d'ouvrir des comptes et d'effectuer des achats 24 heures sur 24, 7 jours sur 7, certains de mani\u00e8re bienveillante, d'autres absolument pas. <\/p>\n\n\n\n Pourquoi les d\u00e9fenses classiques contre les bots ne suffisent pas\u00a0<\/strong><\/p>\n\n\n\n Le probl\u00e8me, bien r\u00e9sum\u00e9 par un r\u00e9cent blog sur la fraude, est qu'\u00e0 premi\u00e8re vue, l'IA b\u00e9n\u00e9fique et l'IA malveillante sont techniquement impossibles \u00e0 distinguer. Les deux : <\/p>\n\n\n\n Les r\u00e8gles traditionnelles relatives aux bots (\u00ab IP du centre de donn\u00e9es = blocage \u00bb, \u00ab trop rapide = bot \u00bb, \u00ab pas de souris = bot \u00bb) sont ici des outils peu efficaces qui p\u00e9nalisent les agents de paiement l\u00e9gitimes autant que les attaquants. Il faut cesser de raisonner en termes de \u00ab bot contre humain \u00bb et commencer \u00e0 r\u00e9fl\u00e9chir en termes d'intention et de comportement au niveau de l'identit\u00e9, de l'appareil et du parcours. <\/p>\n\n\n\n Comment distinguer les bons agents des mauvais\u00a0<\/strong><\/p>\n\n\n\n Pour les commer\u00e7ants et les banques qui utilisent un fournisseur de services d'identification et de lutte contre la fraude tel que Oneytrust, la strat\u00e9gie de d\u00e9tection pour ce cas d'utilisation se pr\u00e9sente globalement comme suit. <\/p>\n\n\n\n Traiter \u00ab l'agent \u00bb comme sa propre classe d'identit\u00e9 <\/p>\n\n\n\n La premi\u00e8re \u00e9tape consiste \u00e0 mod\u00e9liser explicitement le trafic des agents : <\/p>\n\n\n\n Marquez les sessions o\u00f9 l'agent utilisateur, le comportement de l'appareil ou le mod\u00e8le d'int\u00e9gration indiquent clairement une couche d'IA ou d'automatisation. <\/p>\n\n\n\n Maintenir des bases de r\u00e9f\u00e9rence distinctes pour les risques suivants : <\/p>\n\n\n\n S\u00e9ances humaines <\/p>\n\n\n\n Agents propri\u00e9taires (automatisation de votre propre application) <\/p>\n\n\n\n Agents tiers de confiance (moyens de paiement des grandes entreprises technologiques, partenaires officiels et nouveaux agents d'achat IA mentionn\u00e9s ci-dessus) <\/p>\n\n\n\n Agents inconnus \/ suspects <\/p>\n\n\n\n Les agents l\u00e9gitimes ont tendance \u00e0 \u00eatre stables dans le temps : m\u00eame fournisseur, plages d'adresses IP similaires, m\u00eame petit ensemble d'identit\u00e9s et calendrier pr\u00e9visible, tout comme les personnes l\u00e9gitimes. Les agents malveillants se dispersent entre diff\u00e9rentes identit\u00e9s, diff\u00e9rents commer\u00e7ants et diff\u00e9rentes institutions, imitant ainsi leurs cr\u00e9ateurs frauduleux. <\/p>\n\n\n\n Coh\u00e9rence au niveau de l'identit\u00e9 et des donn\u00e9es <\/p>\n\n\n\n C'est l\u00e0 que votre couche d'identit\u00e9 num\u00e9rique prend tout son sens. Le positionnement de Oneytrust est tr\u00e8s clair :<\/a>avec l'essor de l'IA g\u00e9n\u00e9rative, des deepfakes et de la fraude \u00e0 l'identit\u00e9 synth\u00e9tique, les contr\u00f4les KYC statiques deviennent un risque pour la s\u00e9curit\u00e9. D-Risk ID se concentre sur la coh\u00e9rence contextuelle des donn\u00e9es d'identit\u00e9 (t\u00e9l\u00e9phone, e-mail, appareil, adresse, etc.) et peut effectuer une validation crois\u00e9e avec un consortium d'identit\u00e9s r\u00e9elles et valid\u00e9es provenant des principaux d\u00e9taillants et banques europ\u00e9ens.\u00a0<\/p>\n\n\n\n Contre l'IA agentique <\/p>\n\n\n\n Les agents l\u00e9gitimes<\/a> r\u00e9utiliseront principalement des identit\u00e9s connues et fiables : longue histoire, habitudes de consommation normales, historique coh\u00e9rent des appareils, correspondances solides dans les donn\u00e9es des consortiums.\u00a0<\/p>\n\n\n\n Les agents malveillants qui tentent d'ouvrir des comptes en masse ou de tester des identit\u00e9s vol\u00e9es produiront : <\/p>\n\n\n\n Votre syst\u00e8me de notation doit consid\u00e9rer par d\u00e9faut les \u00ab nouvelles identit\u00e9s + sessions d'agent \u00bb comme pr\u00e9sentant un risque \u00e9lev\u00e9, sauf si l'identit\u00e9 est clairement ancr\u00e9e dans votre consortium \/ vos donn\u00e9es historiques. En r\u00e9alit\u00e9, les agents l\u00e9gitimes ressemblent en fait aux mod\u00e8les et aux identit\u00e9s des utilisateurs l\u00e9gitimes. Ouf ! <\/p>\n\n\n\n De plus, les agents de paiement l\u00e9gitimes proviennent souvent d'un petit parc d'appareils stable, avec des relations contractuelles claires. Vous pouvez progressivement ajouter ces mod\u00e8les \u00e0 votre liste blanche une fois que vous \u00eates certain qu'ils sont fiables. <\/p>\n\n\n\n Comportement sur place <\/p>\n\n\n\n C'est l\u00e0 que l'IA malveillante se trahit vraiment. <\/p>\n\n\n\n Les agents malveillants ont tendance \u00e0 passer directement de l'entr\u00e9e \u00e0 la connexion\/inscription\/paiement sans aucune navigation ni h\u00e9sitation ; ils n'explorent pas le contenu, ils se contentent de remplir les formulaires. Ils peuvent sur-indexer les entr\u00e9es de bons\/codes, les paiements BNPL, les cartes-cadeaux, les produits \u00e0 limite \u00e9lev\u00e9e, bref tout ce qui offre un meilleur rendement par seconde. L\u00e0 encore, leur comportement est tr\u00e8s similaire \u00e0 celui des fraudeurs humains, mais \u00e0 une vitesse sup\u00e9rieure. <\/p>\n\n\n\n En revanche, les agents consommateurs l\u00e9gitimes lisent le contenu des produits, comparent les options et respectent les pr\u00e9f\u00e9rences des utilisateurs d\u00e9finies en amont. Ils reviennent souvent vers les m\u00eames marchands et cat\u00e9gories, avec des taux de litiges\/r\u00e9trofacturation faibles au fil du temps. Vous pouvez cr\u00e9er un mod\u00e8le qui reconna\u00eet et autorise les bons comportements et les agents, comme vous le faites pour les bons acheteurs. <\/p>\n\n\n\n En r\u00e9sum\u00e9, votre pile anti-fraude doit \u00eatre capable de distinguer \u00ab un agent qui se comporte comme un proxy de client \u00e0 long terme \u00bb d'un \u00ab agent qui se comporte comme un script de credential stuffing avec une interface utilisateur \u00bb. <\/p>\n\n\n\n Int\u00e9grez explicitement la prise en charge du trafic des \u00ab agents de confiance \u00bb dans vos mod\u00e8les de risque au lieu de traiter toutes les sessions non humaines comme hostiles. <\/p>\n\n\n\n 2. Reliez tout \u00e0 une identit\u00e9 r\u00e9elle.\u00a0<\/strong><\/p>\n\n\n\n Appuyez-vous fortement sur les donn\u00e9es relatives \u00e0 l'identit\u00e9 et au consortium : si un agent agit pour le compte d'identit\u00e9s que vous ne pouvez pas ancrer dans le monde r\u00e9el, relevez consid\u00e9rablement la barre. Discutez avec Oneytrust de nos r\u00e9seaux graphiques. <\/p>\n\n\n\n 3. Utilisez une friction adaptative, pas des blocages g\u00e9n\u00e9raux.\u00a0<\/strong><\/p>\n\n\n\n Pour les cas \u00ab nouvelle identit\u00e9 + agent + produit \u00e0 haut risque \u00bb, optez par d\u00e9faut pour une v\u00e9rification suppl\u00e9mentaire : SCA renforc\u00e9e, contr\u00f4les d'identit\u00e9 suppl\u00e9mentaires ou confirmation hors bande. Les r\u00e8gles europ\u00e9ennes PSD3\/PSR<\/a> poussent de toute fa\u00e7on les PSP \u00e0 renforcer leurs contr\u00f4les et leur responsabilit\u00e9 en mati\u00e8re de fraude par usurpation d'identit\u00e9 \u2013 les commer\u00e7ants peuvent surfer sur cette vague.\u00a0<\/p>\n\n\n\n\n
\n
\n
\n
\n
\n