Quatre enseignements clés sur les nouvelles menaces de fraude et d’arnaque dans la banque et le crédit aux petites entreprises

Les petites et moyennes entreprises (PME) sont souvent présentées comme l’épine dorsale de l’économie américaine. Si les définitions de ce qu’est une PME varient, le Pew Research Center estime que 99,9 % des entreprises aux États-Unis peuvent être considérées comme des PME. Bon nombre de ces 33 millions de petites entreprises sont des « solopreneurs » (ou entreprises individuelles) sans salariés, mais les quelque 6 millions de PME qui emploient du personnel rémunéré représentent à elles seules près de la moitié (46 %) de l’emploi du secteur privé aux États-Unis.

Comme les consommateurs, les PME sont fréquemment la cible de fraudes et d’arnaques. Le risque pour les PME, et par extension pour leurs prestataires de services financiers, est sans doute même plus élevé : les montants en jeu peuvent être nettement supérieurs et les PME ne bénéficient pas des mêmes protections juridiques et réglementaires que les consommateurs.

Notre récente session Expert Talks, disponible à la demande, a exploré les nouvelles menaces de fraude et d’arnaque dans la banque et le crédit aux PME, avec les analyses et commentaires d’experts et de praticiens du secteur :

• Jonathan Awad, cofondateur et CEO de Baselayer ;
• Anchit Singh, Chief Business Officer de Fundbox ;
• Chris Tremont, Chief Digital Officer de Grasshopper Bank, et
• Alex de Jesus, responsable de la gestion de la fraude chez Ramp

1. Particuliers et entreprises : des risques variés selon les segments de PME

Regrouper des dizaines de millions d’entreprises sous l’étiquette PME est courant, mais cela gomme les écarts considérables entre elles et les différents types de menaces auxquelles elles peuvent être exposées. Les entreprises, que l’on suppose souvent plus averties que les particuliers, bénéficient de bien moins de protections juridiques et réglementaires. Par exemple, des lois comme le Truth in Lending Act, le Fair Credit Reporting Act, le Gramm-Leach-Bliley Act et l’Electronic Funds Transfer Act s’appliquent uniquement aux consommateurs, pas aux entreprises. Les PME, qui peuvent prendre des formes juridiques telles que la société à responsabilité limitée (LLC), la société de personnes ou la société de capitaux, comme une S corp ou une C corp, ne bénéficient pas de ces protections, même lorsque leur taille, leur portée et leur degré de sophistication se rapprochent de ceux des particuliers.

Comme l’ont expliqué les intervenants, les schémas de fraude des très petites entreprises ressemblent probablement à ceux de la fraude aux particuliers, avec notamment une vulnérabilité aux techniques d’ingénierie sociale. Les plus petites PME sont aussi plus susceptibles de ne pas avoir les contrôles des grandes entreprises, comme la double signature ou des fonctions telles que contrôleur de gestion ou audit interne, ce qui peut les rendre plus vulnérables.

Une différence nette avec les caractéristiques et comportements des particuliers est le rythme relativement rapide de création de nouvelles entreprises : en 2023, environ 5,5 millions de nouvelles entreprises ont été créées. Et l’une des premières démarches les plus courantes d’une entreprise nouvellement créée ? Ouvrir un compte bancaire. Pourtant, le manque relatif de données disponibles sur les entreprises récemment créées peut rendre l’onboarding plus difficile.

2. Types de fraudes et d’arnaques émergentes

C’est une évidence : lutter contre la fraude et les arnaques revient à jouer à « taupe-moi-ça » (« whack-a-mole »). Les acteurs malveillants cherchent en permanence des failles dans les systèmes des prestataires financiers et d’autres acteurs et, une fois qu’ils en trouvent, les exploitent sans scrupule jusqu’à ce que ces attaques soient détectées et que la faille soit corrigée.

Dans l’univers des PME, selon les intervenants, la prise de contrôle de compte et la fraude au virement restent des menaces courantes, qui visent souvent les entreprises réalisant des transactions de montants élevés. Les arnaques de l’intermédiaire, dans lesquelles des acteurs malveillants interceptent les échanges liés à une transaction légitime, sont également en hausse. Dans ces scénarios, l’intermédiaire usurpe généralement l’identité d’une partie ou d’un prestataire de la transaction, ce qui redirige les paiements vers son propre compte plutôt que vers leur véritable destination.

La fraude par entreprises sosies et par entreprises synthétiques est elle aussi en hausse et a été particulièrement populaire pendant la pandémie de COVID-19, les programmes publics d’aide comme le Paycheck Protection Program (PPP) offrant aux fraudeurs des cibles lucratives. La fraude de type « bust out » suscite également une inquiétude croissante : des entités prennent le temps de se construire une empreinte d’apparence légitime pour demander du crédit, puis disparaissent avec les fonds. Les outils et plateformes numériques ont rendu l’enregistrement d’une entreprise de plus en plus rapide, simple et relativement peu coûteux, ce qui permet aux fraudeurs de créer rapidement de nouvelles entités pour ces schémas. Enfin, l’essor des cryptomonnaies a contribué à la hausse des schémas d’ingénierie sociale comme le « pig butchering », des attaques par rançongiciel et d’autres types de fraudes et d’arnaques qui exploitent les lacunes des contrôles dans les cryptomonnaies.

3. Comment les partenariats banque-fintech doivent aborder les risques de fraude et d’arnaque

Les partenariats banque-fintech ont donné naissance à une nouvelle génération de produits bancaires et de crédit innovants, mais ces modèles opérationnels compliquent aussi l’identification et l’atténuation des risques de fraude et d’arnaque, ont expliqué les intervenants. Les banques engagées dans des relations de partenariat, parfois appelées banking as a service (BaaS), doivent traiter le BaaS comme une activité à part entière, et non comme une « expérience » ou un test, et consentir les investissements nécessaires pour exploiter ces unités de façon sûre et saine.

Le cadre de gestion des risques et de la conformité, ainsi que les politiques, procédures, systèmes et équipes correspondants, seront probablement très différents dans un modèle de partenariat banque-fintech de ce qu’ils sont dans une banque traditionnelle qui sert directement des clients PME. Les fintechs en contact avec les clients doivent intégrer leurs processus et leurs opérations de conformité à ceux de leurs banques partenaires. Surtout, les banques et leurs partenaires fintech doivent comprendre leurs objectifs respectifs et s’aligner sur l’équilibre entre croissance et pratiques sûres d’onboarding et de crédit. De plus en plus, fintechs et banques partenaires s’accordent à penser qu’une conformité bien menée et dotée de moyens suffisants peut être un avantage concurrentiel.

4. Le rôle de l’IA dans la fraude et les arnaques visant les PME

Pour le risque dans l’univers des PME, l’intelligence artificielle est à la fois un atout et une menace. Entre les mains d’acteurs malveillants, les outils d’IA générative, capables de créer rapidement et à grande échelle des images et des documents d’apparence réaliste, peuvent démultiplier les techniques de fraude et d’arnaque. Compte tenu des lacunes dans les données facilement disponibles sur les petites entreprises, il n’est pas rare que les banques et fintechs qui les servent s’appuient encore sur des documents téléversés manuellement, comme les statuts de constitution, les relevés bancaires ou les informations sur les bénéficiaires effectifs. Or les outils d’IA générative ont considérablement facilité et réduit le coût de la fabrication de faux documents à l’apparence authentique, ce qui accroît le risque pour les institutions qui s’en remettent encore à l’examen manuel des documents.

À l’inverse, l’IA est rapidement déployée pour assister l’onboarding des clients et les processus de due diligence sur les PME. Nos intervenants ont expliqué comment l’IA peut analyser de grands jeux de données, y compris des données non structurées comme du texte, afin d’identifier des schémas dont la détection demanderait un effort manuel considérable. Les outils d’IA peuvent aussi servir à riposter aux acteurs malveillants qui utilisent de faux documents, en détectant les pièces générées de manière synthétique, notamment les fausses pièces d’identité et factures.

La collaboration est essentielle pour garder une longueur d’avance sur les acteurs malveillants

Le paysage des fraudes et des arnaques visant les PME et les institutions financières qui les servent est complexe et évolue rapidement. Pour ce qui est d’agir vite, les acteurs malveillants ont à bien des égards l’avantage, car ils ne subissent pas les mêmes contraintes juridiques, réglementaires et organisationnelles que les entreprises légitimes. C’est particulièrement net dans le domaine de l’IA, où fraudeurs et escrocs adoptent rapidement des outils d’IA pour améliorer et amplifier leurs actions, même si le secteur continue de riposter en développant et en adoptant de manière responsable ses propres technologies et capacités d’IA.

À mesure que les modèles opérationnels de la banque et du crédit aux petites entreprises se complexifient, la collaboration entre institutions financières, fintechs et fournisseurs de données est et restera essentielle pour garder une longueur d’avance sur les acteurs malveillants et protéger les petites entreprises contre les préjudices financiers.