Éléments d’identité exposés

Si les réseaux de fraude peuvent varier considérablement en termes de taille et de portée, ils présentent souvent des caractéristiques communes. Qu’il s’agisse d’une opération massive ou d’une opération de moindre envergure, ces groupes peuvent causer des dommages financiers et des maux de tête importants. Ces attaques peuvent se produire dans un court laps de temps ou bien plus tard voire des années après, donnant le temps aux criminels d’exploiter au maximum les données d’identité volées. Un aspect commun aux petits et grands réseaux est qu’ils s’attaquent généralement à trois industries. Ils ciblent les émetteurs/processeurs de cartes bancaires, les opérateurs téléphoniques et les émetteurs de cartes de paiement privatives (distribution), les opérateurs mobiles étant les plus visés selon une étude récente.
L’un des principaux facteurs qui permettent à un réseau criminel de prospérer est la présence d’éléments d’identité exposés. Les réseaux de fraude tirent parti de phénomènes tels que les violations de données, qui entraînent la fuite d’informations d’identification personnelle (IIP) et offrent la possibilité de créer de nouveaux comptes frauduleux.

Lorsque ces brèches se produisent, les fraudeurs peuvent exploiter les informations divulguées et créer des comptes avec ces données personnelles, échappant ainsi à la détection en choisissant soigneusement les éléments d’identité personnelle à utiliser. Malheureusement, ces violations sont souvent découvertes lorsqu’il est trop tard, ce qui rend difficile l’établissement d’un lien entre la perte et la ou les personnes qui l’ont causée.

Les fraudeurs se coordonnent pour trouver des points faibles

Les réseaux organisés de fraudeurs sont également capables d’éviter les protections traditionnelles contre les activités frauduleuses. Ces réseaux sont plus efficaces lorsqu’ils utilisent des attaques coordonnées et organisées pour causer le plus de dégâts possibles. Dans cette optique, il est nécessaire pour les entreprises d’utiliser une stratégie multidimensionnelle afin de couvrir tous les points de faiblesse possibles. En utilisant une telle approche, nous pouvons voir émerger des schémas de risque, notamment :
● Aux États-Unis, lorsque l’adresse d’un utilisateur n’est pas vérifiable avec un numéro de sécurité sociale (SSN), les données internes de LexisNexis Risk Solutions montrent que le risque de fraude peut être multiplié par trois. Cela est problématique car les fraudeurs peuvent réutiliser différentes parties des IIP pour créer de nouvelles identités synthétiques.
● L’activité frauduleuse est détectable lorsqu’un fraudeur conserve les principaux éléments de l’IIP d’une identité volée, mais que des informations comme les adresses personnelles et les courriels changent au fil du temps.
● Les fraudeurs utilisent souvent des adresses électroniques différentes pour éviter d’être détectés. Cependant, une défense sophistiquée contre la fraude peut analyser les connexions entre les adresses électroniques et bloquer ces agissements.

Des IIP incohérentes et non vérifiées reliant des applications et des identités sont très révélatrices. Comme l’indique l’image ci-dessous, basée sur une étude de données collectées aux États-Unis, le risque de fraude est 3,3 fois plus élevé lorsqu’une adresse n’est pas vérifiée avec le SSN. Cela est dû à la réutilisation des éléments PII pour créer de nouvelles identités.

La figure 2 ci-dessous illustre un exemple de notre capacité à relier des applications et des identités supplémentaires dans le réseau de LexisNexis Risk Solutions. Les points bleu clair représentent le réseau d’applications initial identifié et les points verts sont des identités supplémentaires liées dans le réseau d’entités de LexisNexis Risk Solutions.

Cette analyse illustre la planification méthodique et bien coordonnée ainsi que les niveaux de collusion endémiques aux opérations typiques des réseaux de fraude et met en évidence les raisons pour lesquelles les réseaux de fraude réussissent de manière répétée à échapper aux défenses traditionnelles contre la fraude et à les exploiter.

Comment les entreprises peuvent se protéger

Les réseaux de fraude sont plus efficaces lorsqu’ils sont organisés. Cependant, en adoptant une approche à multiples facettes pour déraciner ces réseaux, il est plus facile d’identifier les réseaux plus vastes de criminalité financière auxquels ils sont liés. Il est possible d’arrêter ces organisations malfaisantes en utilisant une approche de l’identité qui prend en compte de multiples facteurs, par opposition aux défenses traditionnelles contre la fraude qui déploient des solutions ponctuelles.

Les entreprises peuvent appliquer une approche basée sur le risque pour contrer les réseaux de fraudeurs et leurs stratégie opérationnelles. Elles peuvent identifier une quantité importante de risques supplémentaires en consolidant les données de plusieurs organisations et en les reliant à des données et des renseignements supplémentaires. Cette approche peut non seulement aider les entreprises à identifier plus facilement une attaque organisée en réseau, mais aussi à comprendre quelles identités au sein de ces réseaux sont liées à des réseaux suspects plus importants. Cela est possible lorsque les plateformes de lutte contre la fraude relient les éléments communs d’une identité numérique, tels que la biométrie comportementale et les renseignements sur les courriels, afin d’exposer le plus grand nombre possible d’acteurs malveillants.

Bien sûr, il est beaucoup plus bénéfique de débusquer un réseau avant qu’il ne frappe. Une entreprise peut être en mesure de détecter rapidement les réseaux d’usurpation d’identité en examinant les identités associées à des fraudeurs connus et en recherchant les interconnexions. Lorsque ces liens sont forts, les personnes concernées participent probablement à un réseau de fraude. Une identification précoce permet une prévention précoce, ce qui contribuera à protéger votre entreprise et vos consommateurs.

Il n’y a pas qu’une seule façon d’empêcher un réseau de fraude d’attaquer une entreprise ou une organisation. Une société peut s’organiser pour prévenir davantage de fraudes en disposant de défenses qui s’appuient sur d’autres données que celles qu’elle collecte déjà. Le monde de l’entreprise peut contribuer à mettre un terme aux agissements de ces acteurs malveillants en se préparant correctement et en adoptant une position défensive qui donne la priorité aux identités numériques.