Définition
L'APP fraud (Authorised Push Payment fraud, ou fraude au virement autorisé) désigne une fraude où la victime est manipulée pour autoriser elle-même un virement vers un compte contrôlé par le fraudeur.
Le virement est techniquement légitime — la victime saisit le montant, valide la SCA, confirme — mais elle a été trompée sur l'identité du bénéficiaire. C'est devenue la première fraude sur virement en Europe et au Royaume-Uni depuis 2020, dopée par la généralisation du virement instantané (SCT Inst).
APP fraud vs fraude carte
La différence est fondamentale :
- Fraude carte (clonage, card not present) : la transaction n'est pas autorisée par le porteur. Le liability shift 3DS2 ou la DSP2 protège la victime, généralement remboursée.
- APP fraud : la transaction est autorisée par le payeur, qui a fait sa SCA. Sans réglementation spécifique, la victime n'est pas remboursée. C'est ce déséquilibre que le PSR vise à corriger.
Les principaux modes opératoires
- Faux conseiller bancaire : un fraudeur se fait passer pour le service fraude de la banque et demande de transférer les fonds vers un « compte sûr » qui est le sien. Le plus répandu en France et au UK.
- Faux RIB / faux fournisseur : interception d'une facture, modification du RIB ; le payeur (souvent une PME ou un particulier réglant un artisan) vire au mauvais compte.
- Romance scam : relation virtuelle de plusieurs mois, puis virements « urgents ». Pertes parfois énormes (50 à 500 K€ par victime).
- Investment scam : fausses plateformes crypto ou FX promettant des rendements miraculeux ; la victime vire et ne récupère rien.
- Compte de mule : le compte bénéficiaire est souvent ouvert par une mule (elle-même recrutée par arnaque). Les fonds y transitent et sont blanchis en cascade.
- Phishing + virement : faux mail (URSSAF, impôts, livraison) déclenchant un « petit » virement de régularisation.
Pourquoi ça explose
Trois facteurs se combinent :
- Virement instantané : les fonds sont irrévocables en quelques secondes, contre 1 à 2 jours pour rappeler un SCT classique.
- SCA forte : paradoxalement, l'authentification renforce la confiance — ayant validé, la victime ne soupçonne pas la tromperie.
- Ingénierie sociale outillée par l'IA : deepfake vocal, spoofing du numéro de la banque, bots conversationnels — l'attaque s'industrialise.
En France, l'Observatoire de la sécurité des moyens de paiement (Banque de France) souligne la forte croissance de la fraude par virement liée à la manipulation du payeur, devenue une part significative de la fraude scripturale.
La régulation : VoP et PSR
Deux outils majeurs en réponse :
- VoP (Verification of Payee) : depuis octobre 2025 (règlement IPR), tout PSP doit vérifier la concordance nom + IBAN avant d'exécuter un virement, ce qui bloque les attaques au faux RIB.
- PSR (Payment Services Regulation, proposé en 2023, application 2026-2027) : prévoit un remboursement obligatoire du payeur dans certains cas d'APP fraud (notamment spoofing), partagé entre PSP du payeur et du bénéficiaire.
Au Royaume-Uni, le PSR impose depuis le 7 octobre 2024 un remboursement obligatoire jusqu'à 85 000 £ par victime sur les Faster Payments, partagé 50/50 entre les deux PSP — un précédent suivi de près en Europe.
Côté banque : transaction monitoring
Les banques investissent dans le transaction monitoring (Hawk, ComplyAdvantage, Sardine, Featurespace, Feedzai) pour :
- repérer les bénéficiaires inhabituels (premier virement vers un nouvel IBAN, surtout étranger) ;
- détecter les patterns d'attaque (virements rapprochés, montants ronds atypiques) ;
- identifier les comptes de mule (compte récent, peu actif, soudain afflux) ;
- déclencher de la friction (pop-up d'avertissement, vérification téléphonique, délai sur le premier virement à un nouveau bénéficiaire).
Ce que l'APP fraud n'est pas
- Pas une fraude technique : aucune compromission, aucun virement non autorisé — c'est une fraude humaine et sociale.
- Pas couverte par le régime fraude de la DSP2 : la directive protège les paiements non autorisés, pas ceux autorisés sous escroquerie — d'où le PSR.
- Pas synonyme de fraude au président : celle-ci en est une forme côté entreprise ; l'APP fraud englobe particuliers et entreprises.
- Pas un cas de chargeback : aucun chargeback sur un virement ; la victime doit réclamer à son PSP, qui décide.
Dans l'écosystème PSD2
L'APP fraud est l'angle mort majeur de la DSP2 : la directive a sécurisé l'autorisation (SCA) mais pas l'intention réelle du payeur. PSR, VoP, transaction monitoring et éducation client forment l'arsenal de réponse 2025-2027 — l'un des sujets les plus chauds de la régulation paiements en Europe.
Exemples concrets
- Faux conseiller bancaire : « je suis du service fraude de votre banque, nous avons détecté une opération suspecte, transférez vos fonds vers ce compte sûr ». Victimes de tous âges, surtout au-delà de 60 ans, pour des montants moyens de 3 à 30 K€.
- Romance scam : en forte croissance depuis 2020 ; relation entretenue 3 à 12 mois avant des virements répétés, parfois plus de 100 K€ au total.
- Investment scam : fausses plateformes crypto promettant 10 % par mois ; virements croissants puis disparition au moment du retrait. AMF et Banque de France publient des listes noires.
- Royaume-Uni : depuis le 7 octobre 2024, remboursement 50/50 entre PSP jusqu'à 85 000 £ — avec, en contrepartie, beaucoup de friction ajoutée (cooling-off, pop-up).
- VoP en zone euro : depuis le 9 octobre 2025, les banques affichent un avertissement quand le nom du bénéficiaire ne correspond pas à l'IBAN ; l'effet réel sur la fraude au faux RIB reste à mesurer.
- Transaction monitoring : Revolut, N26 et Lydia ont investi dans des moteurs propriétaires couplés à Sardine ou Featurespace ; les pop-up « ce bénéficiaire est nouveau, êtes-vous sûr ? » deviennent la norme.
- Tension de fond : le PSR final, attendu en 2026, accroîtra la friction sur les virements (délais, cooling-off) au prix de l'UX — l'équilibre entre prévention de la fraude et simplicité du paiement.