Deux mondes longtemps séparés
Dans beaucoup d’établissements financiers, la lutte contre la fraude et la cybersécurité fonctionnent comme deux mondes distincts. D’un côté, des équipes fraude, avec leurs moteurs de détection, leurs règles, leurs analystes et leurs indicateurs. De l’autre, un SOC et des équipes de gestion des incidents, avec leurs outils de supervision, leurs sources de renseignement et leurs procédures. Deux organisations, deux jeux de données, deux cultures.
Cette séparation était tenable tant que la fraude et la cybercriminalité relevaient de logiques distinctes. Elle l’est de moins en moins. Les attaques récentes — ingénierie sociale assistée par IA, deepfakes vocaux, prise de contrôle de comptes, fraude au virement — combinent une dimension cyber et une dimension fraude. Un même événement peut être, simultanément, une compromission de sécurité et une opération de fraude. Dans ce contexte, maintenir les deux dispositifs cloisonnés devient coûteux, et le rapprochement des signaux devient un véritable levier de détection.
Cet article propose une lecture opérationnelle de cette convergence : pourquoi rapprocher anti-fraude et cybersécurité, à travers quels cas d’usage de corrélation, avec quelle organisation, et en levant quels obstacles. Il actualise, sous un angle centré sur la corrélation des signaux, la réflexion plus ancienne sur les « fusion centers ».
Pourquoi la frontière fraude/cyber s’efface
La convergence des menaces est le premier moteur. Plusieurs tendances récentes brouillent la frontière entre fraude et cyber.
La prise de contrôle de comptes en est l’exemple le plus clair. Un identifiant volé par un infostealer, ou un jeton de session dérobé, permet à un attaquant d’accéder à un compte légitime, puis d’initier une opération frauduleuse. L’événement commence comme une compromission (cyber) et se termine comme une fraude.
L’ingénierie sociale assistée par l’IA amplifie ce phénomène. Le Threat Landscape 2025 de l’ENISA décrit une industrialisation du phishing et l’usage croissant de l’IA par les attaquants. Les deepfakes vocaux et vidéo rendent les tentatives de fraude au virement ou de fraude au président plus crédibles, en s’appuyant sur des techniques qui relèvent autant de la manipulation que de la compromission technique.
Les comptes mules, enfin, illustrent l’imbrication des deux mondes : ils relèvent de schémas de fraude, mais s’appuient souvent sur des comptes compromis, des identités synthétiques ou des parcours d’ouverture détournés, autant d’éléments que la cybersécurité et la lutte contre la fraude observent chacune de leur côté.
Dans tous ces cas, un signal cyber d’un côté et un signal fraude de l’autre, considérés séparément, passent inaperçus. Rapprochés, ils révèlent l’attaque plus tôt.
Des cas d’usage de corrélation concrets
La valeur de la convergence se mesure sur des cas d’usage précis. Plusieurs sont directement transposables.
Le premier est la compromission de compte menant à une fraude. Un signal cyber — connexion depuis un nouvel appareil, déplacement géographique impossible, anomalie de session, exposition dans un log d’infostealer — précède ou accompagne une transaction suspecte. Corréler l’anomalie d’authentification et le comportement transactionnel permet de bloquer l’opération avant sa finalisation, là où chaque signal isolé aurait été jugé insuffisant.
Le deuxième est la prise de contrôle de session. Le détournement d’une session authentifiée, événement typiquement cyber, se traduit par une reprise de compte pouvant déboucher sur une fraude. Le SOC détecte l’anomalie de session ; l’équipe fraude observe l’opération. Le rapprochement des deux accélère la qualification.
Le troisième concerne les comptes mules et les réseaux de blanchiment. Les signaux d’ouverture ou de comportement de compte (cyber, parcours, appareil) et les schémas transactionnels (fraude) se renforcent mutuellement pour identifier des comptes utilisés à des fins illicites.
Le quatrième est la fraude au virement liée à une compromission de messagerie (BEC). Une boîte aux lettres compromise — cyber — conduit à un ordre de paiement frauduleux — fraude. La corrélation entre l’incident de messagerie et l’ordre de virement suspect est souvent le seul moyen de détecter la manœuvre à temps.
Partager les bons signaux et indicateurs
La convergence repose sur une couche de signaux partagés. Côté cybersécurité, les signaux utiles incluent les anomalies d’authentification, les signaux d’appareil et de session, les indicateurs de compromission, l’exposition d’identifiants ou de cookies dans des fuites, et le renseignement sur la menace. Côté fraude, ils incluent les schémas transactionnels, la réputation des bénéficiaires, la vélocité des opérations et les signaux comportementaux.
L’enjeu est de rendre ces signaux mutuellement exploitables : permettre au dispositif fraude d’intégrer un signal cyber, et au SOC de tenir compte d’un signal fraude. Cette corrélation s’opère d’abord en interne, entre les équipes de l’établissement. Elle peut aussi s’étendre, entre établissements, au partage d’indicateurs de fraude — un point sur lequel le cadre réglementaire évolue de manière décisive.
Ce que changent PSD3 et le futur PSR
Le paquet PSD3 / PSR constitue un accélérateur réglementaire de cette convergence. Après un accord politique provisoire fin novembre 2025 et l’approbation des textes de compromis au niveau du COREPER en avril 2026, sa publication au Journal officiel est attendue en 2026, pour une application différée d’environ 21 mois — faisant de 2026 une année de préparation.
Plusieurs dispositions du futur règlement sur les services de paiement (PSR) renforcent la logique de rapprochement des signaux. Le texte durcit les exigences de surveillance des transactions, y compris une surveillance en temps réel pour les virements instantanés, et relie l’absence de surveillance adéquate aux obligations de remboursement. Il généralise la vérification du bénéficiaire (Verification of Payee), c’est-à-dire la vérification de la correspondance entre le nom du bénéficiaire et son identifiant — un contrôle déjà obligatoire pour les virements instantanés SEPA depuis le 9 octobre 2025. Il encourage le recours à des approches dynamiques de détection (apprentissage automatique, analyse comportementale, signaux contextuels), au détriment des seules règles statiques.
Surtout, le PSR clarifie la base légale du traitement de données à des fins de prévention de la fraude et du partage d’informations sur la fraude entre prestataires, avec des garanties techniques et organisationnelles. Ce point est déterminant : l’incertitude juridique sur l’usage des données avait, jusqu’ici, freiné les dispositifs collaboratifs. En clarifiant ce qui est permis, le cadre lève l’un des principaux obstacles à la corrélation des signaux, en interne comme entre acteurs. Enfin, le PSR fait évoluer la responsabilité en la reliant à la qualité des contrôles : un défaut de mise en œuvre de la vérification du bénéficiaire, de surveillance ou de blocage d’une opération suspecte peut faire peser la responsabilité sur le prestataire.
Gestion unifiée des cas et articulation avec les incidents
Si un même événement est à la fois une compromission et une fraude, il devrait être traité comme un seul cas, et non comme deux dossiers parallèles. La gestion unifiée des cas consiste à relier l’investigation fraude et la réponse à incident : partager la chronologie, les preuves, les décisions, et éviter les doubles traitements.
Cette articulation rejoint directement les exigences de DORA en matière de gestion et de classification des incidents liés aux technologies de l’information et de la communication. Un incident cyber ayant une conséquence de fraude, ou une fraude reposant sur une compromission, doit pouvoir être qualifié, documenté et, le cas échéant, notifié de manière cohérente. Les orientations de l’Autorité bancaire européenne (EBA) sur la gestion des risques informatiques et de sécurité vont dans le même sens, en attendant une maîtrise intégrée des risques opérationnels.
Concrètement, cela suppose des passerelles entre les outils et les processus : qu’une alerte fraude puisse déclencher une investigation cyber, et qu’un incident de sécurité alimente l’analyse fraude, avec une trace commune.
Organisation et RACI
Rapprocher fraude et cybersécurité ne signifie pas nécessairement fusionner les deux organisations. Dans bien des cas, l’objectif est d’abord de créer des mécanismes de coordination et une corrélation des signaux, sans dissoudre les expertises spécifiques.
Plusieurs modèles coexistent : une cellule de corrélation transverse, un dispositif de type « fusion » réunissant fraude, SOC et risques, ou des processus partagés adossés à des outils communs. Quel que soit le modèle, la clé est un RACI clair : qui détecte, qui investigue, qui décide du blocage ou de la remédiation, qui notifie. Sans répartition explicite des rôles, la convergence reste théorique et se heurte aux réflexes de silo.
La gouvernance doit également fixer les objectifs communs et les indicateurs partagés, afin d’éviter que des KPI divergents — réduction des pertes de fraude d’un côté, réduction du temps de détection de l’autre — ne freinent la coopération.
Les obstacles à lever
La convergence se heurte à des obstacles réels qu’il faut nommer.
Le premier est organisationnel : des lignes hiérarchiques distinctes, des cultures différentes (la fraude, souvent proche du métier et du risque financier ; la cyber, proche de la technique et du risque SI) et des indicateurs propres à chaque fonction.
Le deuxième est technique et lié aux données : des systèmes séparés, des formats hétérogènes, l’absence d’identifiants communs permettant de rapprocher un événement cyber et un événement fraude portant sur la même entité.
Le troisième est réglementaire et juridique : les contraintes sur l’usage et le partage des données, notamment personnelles. C’est précisément sur ce point que le futur PSR apporte une clarification importante, en sécurisant les usages de données à des fins de prévention de la fraude, dans le respect des garanties du RGPD.
Le dernier concerne l’équilibre entre détection et expérience client : une corrélation plus agressive peut augmenter les faux positifs et dégrader les parcours. La convergence doit donc s’accompagner d’un pilotage fin des seuils et des frictions.
Traçabilité, preuve et conformité
Au-delà de la détection, la convergence produit un bénéfice de traçabilité. Un événement traité de bout en bout, avec une chronologie et des preuves partagées entre fraude et cyber, est plus facile à documenter, à auditer et à justifier.
Cette traçabilité sert plusieurs exigences : la qualification et la notification des incidents au titre de DORA, les attentes de l’EBA en matière de gestion des risques, et la logique de responsabilité du futur PSR, qui relie remboursement et qualité des contrôles. Documenter la corrélation — quel signal a déclenché quelle décision — devient un actif de conformité autant qu’un outil de détection.
Perspective Forum des Compétences
La frontière entre fraude et cybersécurité s’efface sous l’effet d’attaques hybrides, souvent assistées par l’IA. Maintenir les deux dispositifs cloisonnés n’est plus seulement une inefficacité organisationnelle : c’est un angle mort de détection et une source de pertes évitables.
La réponse ne passe pas nécessairement par une fusion des organisations, mais par une corrélation des signaux, une gestion unifiée des cas, un RACI clair et une couche de données partagée. Le paquet PSD3 / PSR agit ici comme un accélérateur : en clarifiant le partage d’informations sur la fraude et en reliant la responsabilité à la qualité des contrôles, il lève un obstacle majeur et renforce l’intérêt d’une approche intégrée.
Pour les banques et les assurances, la meilleure manière d’avancer est de partir de cas d’usage concrets — la compromission de compte menant à une fraude en est le plus évident — et de construire progressivement la corrélation autour de ces scénarios. L’objectif est clair : détecter plus tôt les attaques hybrides, réduire les pertes de fraude, mieux coordonner les équipes fraude, cyber et risques, et renforcer la traçabilité. Dans un environnement où une même attaque est à la fois cyber et fraude, la détection la plus efficace est celle qui, enfin, regarde les deux ensemble.
Sources publiques utilisées
Cet article s’appuie sur des textes et travaux publics relatifs à la résilience opérationnelle, à la gestion des risques et à la prévention de la fraude aux paiements :
- Règlement (UE) 2022/2554 (DORA), pour la gestion du risque lié aux technologies de l’information et de la communication et la gestion, la classification et la notification des incidents.
- Autorité bancaire européenne (EBA), orientations relatives à la gestion des risques informatiques et de sécurité.
- Paquet PSD3 / PSR (proposition de la Commission du 28 juin 2023 ; accord politique provisoire de novembre 2025 ; approbation des textes de compromis au niveau du COREPER en avril 2026, publication attendue en 2026), notamment les dispositions du futur règlement sur les services de paiement (PSR) relatives à la surveillance des transactions, à la vérification du bénéficiaire, au partage d’informations sur la fraude et à sa base légale, et à la responsabilité liée à la qualité des contrôles.
- European Payments Council (EPC), schéma de vérification du bénéficiaire (Verification of Payee) applicable aux virements SEPA.
- ENISA, Threat Landscape 2025, pour l’évolution des menaces (industrialisation du phishing, ingénierie sociale assistée par l’IA, vol d’identifiants et détournement de sessions).
