La fraude par USSD reste un problème majeur, et l'authentification ne suffit pas

Il est facile de supposer que l’USSD est une technologie héritée en voie de disparition. Ce n’est pas le cas. En Afrique, en Asie du Sud et dans certaines parties de l’Amérique latine, l’USSD -ces sessions de menu *123# sur des téléphones ordinaires- reste le principal moyen par lequel des centaines de millions de personnes déplacent de l’argent. Pour l’inclusion financière, il est indispensable. Pour les équipes de lutte contre la fraude, c’est un casse-tête persistant.

La raison est simple : l’USSD combine une valeur de transaction élevée avec une visibilité très faible. Et la réponse par défaut du secteur -une authentification plus forte- ne résout pas le problème, car ce n’est que rarement au niveau de l’authentification que la fraude par USSD se joue.

Pourquoi l’authentification est insuffisante sur l’USSD

La sécurité de l’USSD s’est traditionnellement appuyée sur deux éléments : un PIN et, parfois, un OTP. Les deux sont couramment déjoués, et aucune des voies d’attaque habituelles n’exige réellement de les casser :

• SIM swap. Prenez le contrôle du numéro et l’OTP arrive dans la main du fraudeur. Le PIN est souvent le seul rempart restant, or les PIN sont courts, réutilisés et observables.
• Téléphones volés ou empruntés. Un téléphone physique auquel s’ajoute un PIN observé par-dessus l’épaule ou obtenu sous la contrainte suffit. La session s’authentifie parfaitement.
• Ingénierie sociale. Les victimes sont guidées pas à pas à travers les sessions, ou persuadées de partager leur PIN avec un faux « agent » ou « responsable de la banque ».
• PIN compromis. Les PIN fuitent via le phishing, l’observation et la réutilisation d’un service à l’autre.
• Abus de session. Une fois une session ouverte sur un combiné contrôlé, le fraudeur effectue ses transactions comme l’utilisateur légitime.

Dans chaque cas, les identifiants sont valides. Empiler davantage d’authentification -plus de PIN, plus de codes- ajoute surtout de la friction pour les utilisateurs légitimes sur des appareils contraints, tout en dérangeant à peine l’attaquant.

Le vrai problème : l’USSD est un canal à faible télémétrie

La prévention moderne de la fraude fondée sur les applications se nourrit de données. Une application bancaire peut observer l’appareil, les capteurs, le rythme de frappe, la dynamique tactile, le flux de navigation et un contexte de session riche. L’USSD n’en offre presque rien. Une session USSD est un bref échange piloté par menu sur le réseau mobile : une poignée de saisies, un code de service, un montant, une destination.

Cette rareté de signal est précisément ce qui la fait préférer aux fraudeurs. Les contrôles qui dépendent du fingerprinting d’appareil ou de la biométrie comportementale d’un smartphone ont tout simplement moins de matière ici. Traiter l’USSD comme « l’application sans fonctionnalités » laisse un vide ; il lui faut une défense conçue pour ses contraintes.

Compenser par le contexte et le comportement

Si le canal vous donne peu de télémétrie d’appareil, vous devez tirer le maximum de valeur des signaux que vous avez, et de tout ce que vous savez du client au fil du temps. Cela déplace l’attention de l’authentification de la session vers le raisonnement sur son risque.

Même une session USSD ténue porte un contexte significatif :

• Comportement transactionnel. Ce montant, cette heure de la journée, cette fréquence et cette destination sont-ils cohérents avec la façon dont ce client transacte habituellement ? Un virement soudain de forte valeur vers un bénéficiaire tout nouveau à 3 h du matin raconte une histoire, même sans données d’appareil.
• Vélocité et séquence. Des virements rapides et répétés, ou un changement de PIN immédiatement suivi d’un retrait important, sont des schémas classiques de détournement.
• Risque lié au bénéficiaire. Les destinations liées à une activité de mules connue sont risquées quel que soit le canal.
• Signaux inter-canaux. Un SIM swap ou un événement suspect côté application juste avant un virement USSD relie les points entre les canaux.
• Contexte du cycle de vie du compte. Un compte nouveau, un compte dormant devenu actif ou un changement récent de coordonnées modifient tous le risque.

Individuellement ténus, ces signaux se combinent en une véritable évaluation du risque, capable de signaler une transaction USSD frauduleuse que l’authentification laisserait volontiers passer.

Comment Paygilant comble l’écart de l’USSD

La plupart des outils de prévention de la fraude sont conçus d’abord pour les applications et traitent l’USSD comme un accessoire. Paygilant est explicitement conçue pour offrir une détection solide à la fois sur les applications et l’USSD, précisément parce que tant d’utilisateurs de ses clients vivent sur des téléphones basiques.

Plutôt que de s’appuyer sur une télémétrie d’appareil que l’USSD ne peut fournir, Paygilant mise sur le scoring de risque comportemental et contextuel : elle évalue chaque transaction au regard des schémas établis du client, du risque lié au bénéficiaire, de la vélocité et de la séquence, ainsi que de tout signal inter-canaux, en continu et en temps réel. Le résultat est un verdict « sûr ou risqué » même lorsque les seules entrées sont une brève session de menu et tout ce que le système sait déjà de cet utilisateur.

L’USSD ne va pas disparaître, et la fraude par USSD non plus. Mais avec un scoring de risque contextuel et attentif au comportement, les banques n’ont plus à l’accepter comme un angle mort inévitable, ni à punir les clients de l’inclusion par une friction qui arrête les honnêtes et ne freine guère le fraudeur.