Gérer la fraude avec les contrôles et outils de Stripe Issuing

En tant qu’outil de facilitation des paiements, Issuing entraîne des risques de fraude et de pertes, tant pour les entreprises que pour les émetteurs. Vous devez comprendre ce qu’est la fraude aux transactions, qui est responsable en cas de fraude et devez connaître les meilleurs moyens de surveiller et de prévenir la fraude à l’aide des ressources disponibles de Stripe. En prenant connaissance de vos rôles et responsabilités et en exploitant efficacement les ressources de Stripe, vous pouvez réduire ces risques à des niveaux que vous jugez adaptés à votre entreprise.

Gardez à l’esprit les points suivants pour déterminer votre approche en matière de gestion de la fraude :

• **Volume de fraude attendu **: Le volume moyen de fraudes mensuelles varie considérablement en fonction du secteur d’activité, de la zone géographique, du business model et d’autres facteurs. La plupart des utilisateurs signalent un niveau de fraude inférieur ou égal à 0,1 % de leur volume de transactions, mais ce chiffre peut varier considérablement en fonction de votre activité d’émission de cartes. Quelques rares business models permettent d’éviter totalement la fraude, mais à moins d’un volume de transactions particulièrement faible, la grande majorité des entreprises y sont exposées.
• **Définition d’un litige **: un litige intervient lorsqu’un titulaire de compte conteste un paiement figurant sur son relevé de carte auprès de l’émetteur de sa carte. Le motif du litige varie. Par exemple, le titulaire du compte peut ne pas reconnaître le paiement, le percevoir comme frauduleux ou ne pas être satisfait des biens ou services qu’il a achetés. Les litiges peuvent aider les émetteurs à récupérer des fonds en cas d’activité frauduleuse.

Fraude aux transactions

Il existe trois principaux types de fraude aux paiements :

• Fraude aux transactions : utilisation non autorisée d’une carte de paiement pour obtenir frauduleusement de l’argent ou des biens.
• Fraud commerciale : une personne crée un compte frauduleux (souvent en usurpant l’identité d’autrui) afin de commettre une fraude.
• **Fraude par prise de contrôle de compte **: un tiers non autorisé compromet l’identifiant d’un propriétaire de compte légitime et prend des mesures sur son compte.

Bien que les cas de fraude commerciale et de fraude par prise de contrôle de compte existent sur Issuing, la fraude aux transactions présente habituellement un risque plus important.

Sur Stripe Issuing, les transactions frauduleuses se manifestent par des paiements non autorisés sur une carte émise par Stripe. Les transactions frauduleuses peuvent survenir à n’importe quel moment du cycle de vie d’un titulaire de carte. Les achats effectués auprès d’entreprises légitimes sont également susceptibles de faire l’objet de transactions frauduleuses. Une carte bancaire peut être compromise pour les raisons suivantes :

• Vol physique
• Perte par le titulaire de la carte
• Informations de carte compromises par des pratiques frauduleuses telles que :
  • Hameçonnage
  • Logiciels espions
  • Paiements non sécurisés
  • Violations externes

Responsabilité des pertes

La responsabilité des pertes est engagée lorsque un problème lié à une transaction entraîne une perte financière pour une partie. Cela se produit typiquement en cas de transaction frauduleuse ou quand une entreprise ne respecte pas ses obligations suite à un achat.

La responsabilité des pertes peut incomber à l’entreprise (le fournisseur des produits ou services achetés), à vous en tant qu’utilisateur de Stripe Issuing, ou (dans de rares cas) au titulaire de la carte. Autrement dit, lorsque la responsabilité des pertes est attribuée à l’émetteur, vous êtes responsable, sauf exception. Pour en savoir plus sur les cas où l’émetteur est responsable des transactions frauduleuses, consultez la page Attribution de la responsabilité.

Stripe Issuing vous permet de concevoir votre système de surveillance de la fraude et de prendre vos propres décisions en ce qui concerne vos transactions et votre logique métier. Bien que Stripe puisse vous aider à prévenir les transactions frauduleuses, vous restez responsable de toutes les pertes desquelles l’émetteur est jugé responsable. Vous devez donc mettre en place les contrôles nécessaires pour surveiller, gérer et prévenir la fraude.

Attribution de la responsabilité

Dans de nombreux cas, l’entreprise assume la responsabilité des transactions frauduleuses. Il existe toutefois quelques facteurs qui peuvent faire en sorte que la responsabilité vous soit transférée, en tant qu’utilisateur d’Issuing :

• **Transactions avec présentation de la carte **: si une carte bancaire ou un wallet mobile est présenté lors de la transaction, l’émetteur est généralement responsable en cas de fraude, à quelques exceptions près :
  • Les puces ou bandes magnétiques des cartes et wallets doivent être lues électroniquement chaque fois que cela est possible, avec ou sans contact. Lorsque les numéros de carte bancaire sont saisis manuellement, par exemple lors d’une commande par courrier ou par téléphone, la responsabilité incombe à l’entreprise.
  • Si une carte à puce est utilisée sur un terminal qui ne prend en charge que les paiements par lecture de la bande magnétique, la responsabilité est transférée à l’entreprise.
  • Si le terminal utilisé par le marchand prend en charge la lecture de la puce, mais qu’une transaction donnée est effectuée par lecture de la bande magnétique, la responsabilité vous incombe en tant qu’utilisateur d’Issuing.
• Transactions sans présentation de la carte : si la carte n’est pas présentée lors de la transaction (e-commerce), la responsabilité est principalement déterminée par 3D Secure (3DS). La couche de vérification supplémentaire fournie par 3DS déclenche un « transfert de responsabilité », c’est-à-dire que la responsabilité de la fraude passe de l’entreprise à l’émetteur, quelles que soient les circonstances. Dans le contexte de Stripe Issuing, lorsqu’une entreprise déclenche l’authentification 3DS, la responsabilité de la fraude vous est généralement automatiquement transférée, en tant qu’utilisateur d’Issuing, que vous ayez activé ou non 3DS sur vos cartes. Par conséquent, l’activation de 3DS vous permet de réduire le risque de responsabilité financière en cas de transactions frauduleuses. Pour en savoir plus, consultez 3DS pour Stripe Issuing.
• Transactions via un wallet : indépendamment des considérations liées à l’authentification 3DS, l’utilisation d’une carte Stripe Issuing dans un wallet Apple Pay ou Google Pay pour une transaction sans présentation de la carte transfère également la responsabilité à l’émetteur.

Contrôles et outils pour contrer la fraude aux transactions

Compte tenu du risque que peut entraîner la responsabilité des fraudes, vous devez prendre des mesures proactives pour prévenir la fraude. Vous trouverez ci-dessous les contrôles et outils que vous pouvez ajouter à votre programme Stripe Issuing. Nous vous recommandons d’utiliser autant de contrôles et d’outils que possible pour limiter le risque de fraude sur les transactions de votre programme.

Contrôles proactifs de protection contre la fraude

Stripe offre les contrôles proactifs de protection contre la fraude suivants :

Contrôles de protection contre la fraude en temps réel

Stripe offre les contrôles de protection contre la fraude en temps réel suivants :

Outils à utiliser suite à une transaction frauduleuse

Suite à une transaction frauduleuse, Stripe propose les outils suivants :

Contrôles et informations utilisateur

Vous pouvez réajuster divers éléments des contrôles anti-fraude de Stripe et informer vos titulaires de carte afin de diminuer la fréquence à laquelle une intervention est requise.

Configurations des utilisateurs

En fonction de votre cas d’usage et de votre workflow, vous pouvez demander à modifier les contrôles par défaut de Stripe, notamment :

• Assouplissement des exigences 3DS
• Augmentation des plafonds de transaction

Bien que Stripe puisse répondre à ces demandes au cas par cas, vous êtes responsable de tout risque accru ou de toute perte résultant de ces demandes.

Informer vos titulaires de cartes

Expliquez à vos titulaires de carte comment protéger les informations relatives à leur carte. Apprenez-leur à surveiller de près l’activité de leurs comptes afin d’augmenter la probabilité qu’ils (et vous-même) détectent rapidement toute activité frauduleuse. Communiquez à vos titulaires de cartes les mesures préventives suivantes :

• Vérifiez la présence de skimmers de cartes bancaires dans les boutiques physiques : vérifiez qu’il n’y a pas de caméra ni d’équipement de skimming sur le terminal de paiement. Vérifiez qu’aucun périphérique n’est inséré ou connecté au lecteur de carte, aux ports, à l’écran ou au clavier.
• Effectuez des transactions après d’entreprises de confiance : ne communiquez les informations de votre carte qu’à des entreprises que vous connaissez et en qui vous avez confiance.
• En cas de vol ou de perte, annulez immédiatement votre carte : réagissez sans tarder pour empêcher toute utilisation non autorisée avant qu’un fraudeur ne puisse obtenir les identifiants de votre carte. Pour pouvoir continuer à effectuer des achats, créez une nouvelle carte après avoir annulé la carte perdue ou volée.

Surveiller les indicateurs

Nous vous recommandons de surveiller les indicateurs suivants pour vous aider à identifier et à mesurer la fraude sur vos comptes ayant activé Issuing.

Indicateurs clés

Les indicateurs précurseurs permettent d’identifier rapidement les risques de fraude.

• Refus d’autorisations due à des données de vérification incorrectes (CVC2, date d’expiration), dans le temps.
• Évolution du taux d’autorisation.
• Autorisations hors zone géographique, dans le temps.
• Autorisations par pays d’acquisition de l’entreprise, au fil du temps.
• Autorisations par code de catégorie d’entreprise, au fil du temps
• Captures forcées, dans le temps.

Indicateurs tardifs

Les indicateurs différés permettent d’évaluer après coup l’impact des activités frauduleuses sur votre programme Issuing.

• Pourcentage des dépenses totales contestées pour fraude, dans le temps.
• Taux de litiges remportés et perdus, dans le temps.
• Pertes absolues liées aux litiges, dans le temps.
• Entreprises acquéreuses ayant le pourcentage le plus élevé de transactions contestées.