Guides
Prévention de la fraude au paiement en ligne : types de fraude, outils et indicateurs
Prévenir la fraude au paiement, c'est bloquer le card testing, les achats par carte volée, les prises de contrôle de compte et la friendly fraud sans refuser les bons clients. Cela passe par des couches : contrôles de compte et de vélocité, empreinte d'appareil et score de risque, 3D Secure pour les commandes risquées, contrôles CVV et adresse, puis preuves en cas de litige. Suivez fraude, litiges et faux refus.
En bref
| Fraude aux paiements dans l'EEE, 2024 | 4,2 milliards d'euros, contre 3,5 milliards en 2023 (ABE et BCE, décembre 2025) |
|---|---|
| Fraude à la carte hors EEE | 17 fois plus élevée lorsque le bénéficiaire est hors de l'EEE, où la SCA n'est souvent pas appliquée |
| Seuil Visa VAMP pour les commerçants, Europe | Signalements de fraude plus litiges à 1,5 % des transactions à distance réglées depuis avril 2026, à partir de 1 500 événements par mois |
| Mastercard Excessive Chargeback Merchant | Ratio de rétrofacturations de 1,5 % et au moins 100 rétrofacturations dans le mois |
| Taux de fraude de référence de la TRA (DSP2) | 0,13 % jusqu'à 100 €, 0,06 % jusqu'à 250 € et 0,01 % jusqu'à 500 € pour les paiements par carte à distance |
| Commerçants prioritaires de l'OSMP en France | Fraude de plus de 5 000 € par mois à un taux supérieur à 0,13 % pendant 4 mois sur 6 chez 3 des 7 principaux émetteurs : plan d'action à présenter à la Banque de France |
Quels types de fraude au paiement touchent les commerçants en ligne ?
L'ABE et la BCE ont recensé 4,2 milliards d'euros de fraude aux paiements dans l'EEE en 2024, la fraude à la carte se concentrant sur les paiements à distance et vers des commerçants hors de l'EEE. Les commerçants en supportent l'essentiel par les rétrofacturations, les frais et les marchandises perdues.
Chaque type ci-dessous laisse des signaux différents et appelle une défense différente, ce qui explique qu'un seul jeu de règles ou un seul outil les couvre rarement tous.
| Type de fraude | Fonctionnement | Signal typique | Défense principale |
|---|---|---|---|
| Card testing | Des robots testent des numéros de cartes volées avec de petits paiements | Nombreuses tentatives de faible montant, taux de refus élevé | Limites de vélocité, détection de robots, CAPTCHA |
| Fraude à la carte volée (paiement à distance) | Un fraudeur achète avec de vrais numéros de carte | Nouvel appareil, pays ou adresse incohérents | Score de risque, 3D Secure |
| Prise de contrôle de compte | Des identifiants volés servent à commander ou à changer les coordonnées de paiement | Nouvel appareil, réinitialisation de mot de passe, adresse modifiée | Contrôle du risque à la connexion, authentification renforcée |
| Friendly fraud | Le vrai porteur conteste un achat qu'il a fait | Client récurrent, commande livrée, litige ultérieur | Libellé clair, preuves de livraison, dossier de preuves |
| Fraude par triangulation | Une fausse boutique revend vos produits payés avec des cartes volées | Adresse de livraison différente du porteur, schémas de revendeur | Rapprochement d'adresses et d'appareils, revue |
| Fraude MOTO | Des cartes volées servent à des commandes par téléphone ou courrier | Livraison urgente, montant élevé, pas de SCA | Rappel du client, contrôles CVV et adresse |
| Arnaques au virement et au remboursement | Clients ou employés trompés pour envoyer de l'argent | Coordonnées bancaires modifiées, demandes urgentes | Vérification du bénéficiaire, contrôles des paiements sortants |
Qu'est-ce que la friendly fraud et la contestation abusive est-elle illégale ?
La friendly fraud, ou fraude amicale, aussi appelée fraude au chargeback, survient lorsque le porteur qui a effectué un achat le conteste auprès de sa banque comme non autorisé ou non reçu. Certains cas relèvent d'une confusion sincère devant un libellé inconnu ou de l'achat d'un proche ; d'autres sont délibérés. Contester sciemment un achat légitime pour garder marchandise et argent peut constituer une escroquerie (article 313-1 du Code pénal), mais les commerçants la combattent surtout par la procédure de litige.
3D Secure n'empêche pas la friendly fraud, car le vrai porteur peut s'authentifier. Ce qui aide : un libellé de relevé reconnaissable, des e-mails de confirmation, des preuves de livraison et un remboursement facile. Pour les litiges Visa, Compelling Evidence 3.0 permet de répondre à une contestation pour fraude par deux transactions antérieures non contestées, datant de 120 à 365 jours, avec la même carte et des données d'appareil ou d'IP concordantes.
Quels outils antifraude un commerçant en ligne doit-il utiliser ?
Aucun outil ne couvre tous les types de fraude, et chacun ajoute du coût ou de la friction. Demandez-vous ce que chaque outil observe et quand il agit : avant la commande, avant l'autorisation, pendant l'authentification ou après la vente.
Les scores d'apprentissage automatique combinent de nombreux signaux faibles, tandis que les règles traduisent ce que vous savez déjà de votre activité. La plupart des commerçants ont besoin des deux : des règles pour les limites strictes et les blocages explicables, un score pour la zone grise.
- Règles : bloquer ou examiner par pays, montant, produit, mode de livraison ou liste noire d'e-mails, de cartes et d'appareils
- Contrôles de vélocité : limiter les tentatives par carte, appareil, adresse IP, e-mail et compte sur quelques minutes et quelques jours
- Empreinte d'appareil : reconnaître les appareils récurrents, les émulateurs, les proxys et les comptes multiples sur un même appareil
- Score de risque par apprentissage automatique : une note par paiement fondée sur le comportement, l'historique et les données de réseau
- 3D Secure 2 : authentification par l'émetteur, avec transfert de responsabilité de la fraude pour les paiements authentifiés
- Contrôles CVV et adresse (AVS) : vérifications de l'émetteur à l'autorisation ; l'AVS n'est surtout disponible que pour les cartes du Royaume-Uni, des États-Unis et du Canada
- Revue manuelle et blocage avant expédition : pour les commandes de grande valeur ou ambiguës, avant que la marchandise ne quitte l'entrepôt
Quels indicateurs de fraude faut-il suivre ?
Le taux de fraude seul récompense le refus de tout le monde. Suivez-le à côté du ratio de litiges surveillé par les réseaux et des faux refus que vous provoquez : un bon client écarté coûte toute la marge, et souvent ses commandes suivantes.
Le Visa Acquirer Monitoring Program additionne les signalements de fraude et les litiges, et son seuil pour les commerçants en Europe est passé à 1,5 % en avril 2026. Dépasser les seuils des réseaux entraîne des amendes, des frais d'acquisition plus élevés et, à terme, la perte de l'acceptation des cartes.
| Indicateur | Calcul | Valeur de référence |
|---|---|---|
| Taux de fraude en valeur | Volume frauduleux divisé par le volume total par carte | Tranches TRA de la DSP2 : 0,13 %, 0,06 % et 0,01 % pour les PSP |
| Ratio Visa VAMP | Signalements de fraude plus litiges divisés par les transactions à distance réglées | Seuil commerçant de 1,5 % en Europe depuis avril 2026 |
| Ratio de rétrofacturations Mastercard | Rétrofacturations divisées par les transactions du mois précédent | 1,5 % et 100 rétrofacturations pour un Excessive Chargeback Merchant |
| Taux de faux refus | Bonnes commandes refusées ou annulées divisées par toutes les bonnes commandes | À définir selon votre base ; examiner des échantillons chaque mois |
| Taux de challenge 3DS | Authentifications avec challenge divisées par toutes les authentifications | À comparer par pays d'émetteur et tranche de montant |
| Taux de revue manuelle | Commandes envoyées en revue divisées par toutes les commandes | Assez bas pour traiter les revues avant l'heure limite d'expédition |
À quoi ressemble une prévention de la fraude en couches ?
Chaque couche attrape ce que la précédente a laissé passer et permet de réserver la friction aux commandes qui la justifient. Les paiements à faible risque passent vite, ceux à risque moyen reçoivent une authentification, ceux à risque élevé sont bloqués ou examinés.
Placez chaque contrôle le plus tôt possible : bloquer un robot de card testing à l'inscription coûte moins cher que payer des frais d'autorisation pour des milliers de tentatives refusées.
| Couche | Moment | Contrôles | Friction pour l'acheteur |
|---|---|---|---|
| 1. Compte | Inscription et connexion | Détection de robots, risque à la connexion, authentification renforcée sur nouvel appareil | Aucune pour la plupart des utilisateurs |
| 2. Paiement | Avant le paiement | Limites de vélocité, empreinte d'appareil, listes noires | Aucune |
| 3. Score de risque | Avant l'autorisation | Règles plus score d'apprentissage automatique | Aucune |
| 4. Authentification | Risque moyen et élevé | Challenge 3D Secure 2 ou exemption | Challenge pour une part des commandes |
| 5. Autorisation | Chez l'émetteur | CVV, AVS, modèles de risque de l'émetteur | Refus uniquement |
| 6. Après la vente | Expédition et litiges | Blocages, preuves de livraison, dossier de preuves, remboursements | Délai sur les commandes examinées |
Comment le score de risque se relie-t-il au routage des paiements ?
Un score de risque est surtout utile lorsqu'il change le traitement du paiement, pas seulement lorsqu'il le bloque. Les scores bas partent avec une demande d'exemption TRA, les scores moyens passent par 3D Secure, les scores élevés sont bloqués ou retenus. Avec plusieurs acquéreurs, le score peut aussi décider de la connexion qui traite le paiement, par exemple pour diriger les paniers à risque vers le compte le mieux configuré en authentification.
Le routage crée aussi du risque. Retenter un paiement refusé chez un second prestataire aide pour les refus techniques et souples, mais retenter des refus définitifs ou un card testing présumé étend l'attaque à tous vos comptes. Les règles de nouvelle tentative doivent d'abord vérifier le motif du refus et le score.
Comment ajouter des contrôles antifraude avec OrsunPay ?
OrsunPay est un prestataire de services techniques placé au-dessus des comptes PSP du commerçant : les outils antifraude et les règles de responsabilité de chaque contrat PSP continuent donc de s'appliquer. Le reporting rassemble les résultats de paiement des prestataires connectés ; le module antifraude RiskCogs ajoute à chaque transaction un score de risque et des signaux qui alimentent les règles de routage et de cascade.
Comment mettre en place une prévention de la fraude au paiement en couches
- Mesurer votre base de départ Exportez trois mois de paiements, de litiges et de refus, puis calculez taux de fraude, ratio de litiges et taux d'acceptation par pays, moyen de paiement et tranche de montant.
- Stopper d'abord les attaques automatisées Ajoutez détection de robots et limites de vélocité par carte, appareil, adresse IP et e-mail pour bloquer le card testing avant l'autorisation.
- Scorer chaque paiement Utilisez le moteur de risque de votre PSP ou un outil de scoring distinct, et écrivez des règles pour les limites strictes que vous connaissez déjà.
- Relier les scores à des actions Définissez des tranches pour passer avec exemption, authentifier par 3D Secure, examiner et bloquer, puis testez les seuils sur des commandes passées.
- Préparer les litiges Corrigez votre libellé de relevé, conservez les preuves de livraison et les données d'appareil, et remboursez les erreurs évidentes avant qu'elles ne deviennent des rétrofacturations.
- Revoir chaque mois Examinez ensemble fraude, litiges et faux refus et ajustez les règles, car les schémas de fraude évoluent après chaque changement que vous faites.
Questions fréquentes
Qu'est-ce que la friendly fraud ?
La friendly fraud est une rétrofacturation déposée par le vrai porteur pour un achat qu'il a fait ou autorisé, en prétendant qu'il n'était pas autorisé ou n'a pas été reçu. Elle pèse lourd dans les litiges pour fraude, car 3D Secure et les scores de fraude ne peuvent pas arrêter le vrai porteur.
La fraude au chargeback est-elle illégale ?
Contester sciemment un achat légitime pour récupérer l'argent tout en gardant la marchandise est une fraude qui peut être poursuivie. Les commerçants répondent le plus souvent par la procédure de litige du réseau, avec des preuves, et peuvent refuser les commandes futures de ce client.
Qu'est-ce que la fraude MOTO ?
La fraude MOTO utilise des données de carte volées pour des commandes par correspondance ou par téléphone. Ces paiements sont hors du champ de l'authentification forte : les commerçants s'appuient donc sur le rappel du client, les contrôles CVV et adresse et la revue attentive des commandes urgentes ou de grande valeur.
Comment limiter la fraude e-commerce sans perdre de bons clients ?
Appliquez une friction fondée sur le risque : laissez passer les paiements à faible risque, authentifiez ceux à risque moyen par 3D Secure et ne bloquez ou n'examinez que les commandes à risque élevé. Mesurez les faux refus à côté de la fraude, pour que le durcissement des règles ne coûte pas plus de chiffre d'affaires que la fraude évitée.
Quel taux de fraude est acceptable pour une boutique en ligne ?
Maintenez fraude et ratios de litiges très en dessous des seuils de 1,5 % de Visa et de Mastercard. Pour que les acquéreurs demandent des exemptions TRA, il faut un portefeuille bien plus bas, la DSP2 fixant des taux de référence de 0,01 % à 0,13 % pour les PSP.
Qu'est-ce que le card testing ?
Le card testing consiste, pour des fraudeurs, à vérifier des numéros de cartes volées avec de petits paiements sur un site, à l'aide de robots. Il provoque des frais d'autorisation, un taux de refus accru et des litiges ultérieurs, et se combat par des limites de vélocité, la détection de robots et un CAPTCHA au paiement.