Fraude par manipulation : +34 % en un an, et l'authentification forte n'y peut rien

En bref : en 2025, la fraude aux moyens de paiement a atteint 1,241 milliard d'euros en France. Le chiffre qui compte n'est pas celui-là, c'est sa composition. La fraude par manipulation, celle où la victime valide elle-même l'opération, pèse désormais 516 millions d'euros, en hausse de 34 % en un an. Sa part est passée de 21,6 % à 41,6 % du total en 4 ans. Sa forme la plus fréquente n'est pas un deepfake : c'est un faux conseiller bancaire au téléphone. Pendant ce temps, la fraude à la carte atteint son plus bas niveau historique. Il ne se passe pas une seule chose, il s'en passe deux, et elles vont dans des directions opposées.

‍

L'année où la fraude a changé de nature

‍

Prises isolément, les statistiques françaises 2025 semblent rassurantes. Le nombre de transactions frauduleuses recule de 7,6 %. Le taux de fraude à la carte tombe à 0,047 %, son plus bas niveau depuis que l'Observatoire de la sécurité des moyens de paiement le mesure. La fraude au chèque baisse de 16 %.

‍

Et pourtant le montant total monte. Parce qu'une ligne, une seule, a pris toute la place.

‍

La fraude par manipulation désigne les opérations qu'un client a lui-même validées, après avoir été convaincu de le faire. Sa trajectoire en 4 ans est sans ambiguïté : 269 millions d'euros en 2021, 340 en 2022, 379 en 2023, 384 en 2024, puis 516 millions d'euros en 2025. Un bond de 34 % sur la seule dernière année. Elle représente maintenant 41,6 % de toute la fraude aux moyens de paiement en France, contre 21,6 % 4 ans plus tôt.

‍

Le canal suit mécaniquement. La fraude au virement progresse de 37 %, à 485 millions d'euros, dont 376 millions réalisés depuis la banque en ligne du client lui-même. Moins de transactions frauduleuses, mais des coups plus gros et mieux ciblés.

‍

Le reste du tableau français va dans le même sens. Cybermalveillance.gouv.fr a traité plus de 500 000 demandes d'assistance en 2025, en hausse de 20 %, avec l'hameçonnage en première menace, en progression de 70 %. Chez les professionnels, la fraude au virement bondit de 93 % et le piratage de compte de 52 %. Les services de police et de gendarmerie ont enregistré 448 300 victimes d'escroqueries et de fraudes aux moyens de paiement, en hausse de 7 %, dans une série qui progresse de 7 % par an depuis 2016. Tracfin a reçu 278 484 déclarations de soupçon, en hausse de 32 %.

‍

À l'échelle européenne, la Banque centrale européenne et l'Autorité bancaire européenne ont recensé 4,2 milliards d'euros de fraude aux paiements dans l'Espace économique européen en 2024, contre 3,5 milliards en 2023. Et Europol, dans son évaluation annuelle de la criminalité organisée en ligne publiée en avril 2026, écrit une phrase qui résume la décennie : la fraude est le domaine du crime organisé dont la croissance est la plus rapide.

‍

Le faux conseiller bancaire : zéro technologie, première cause

‍

La Banque de France est explicite sur ce point : la forme la plus fréquente de fraude par manipulation est la fraude au faux conseiller bancaire.

‍

Un procès ouvert le 26 mars 2026 devant le tribunal correctionnel de Paris en montre la mécanique, et elle a de quoi désarçonner quiconque imagine des criminels équipés de laboratoires d'IA. Onze prévenus y répondent de 148 faits commis entre avril 2022 et avril 2023, pour un préjudice d'environ 740 000 euros et une centaine de victimes. L'instruction est en cours et la présomption d'innocence s'applique.

‍

Le mode opératoire reproché tient en 5 étapes. Un SMS annonce un achat frauduleux. La victime rappelle le numéro indiqué. Un faux agent du service fraude la convainc de glisser sa carte dans une enveloppe pour qu'elle soit « détruite ». Un coursier passe la récupérer à domicile. Les retraits et les achats suivent.

‍

Un SMS, un téléphone, un coursier à vélo. Une retraitée y a perdu 4 100 euros.

‍

C'est l'écart le plus frappant de tout ce dossier : le discours du secteur porte sur des technologies d'attaque spectaculaires, et l'argent part par des procédés qui existaient déjà il y a 20 ans.

‍

L'IA comme arme : ce qu'elle a vraiment changé

‍

Il faut poser les chiffres, parce qu'ils circulent très mal.

‍

La seule mesure officielle au monde de la part de l'intelligence artificielle dans la fraude vient du FBI. Dans son rapport annuel sur la cybercriminalité publié en 2026, le centre de plaintes IC3 indique avoir reçu en 2025 plus de 22 000 plaintes faisant référence à l'intelligence artificielle, pour un peu plus de 893 millions de dollars de pertes. Rapporté au total de l'année, 1 008 597 plaintes et 20,877 milliards de dollars, cela représente environ 2 % des plaintes et 4 % des pertes. Sur la fraude au président et aux faux ordres de virement, la part explicitement liée à l'IA tourne autour de 1 %.

‍

Ce descripteur est déclaratif, donc c'est un plancher, pas une mesure exhaustive. Mais même triplé, il reste minoritaire.

‍

Plus parlant encore : dans son évaluation 2026, Europol n'emploie pas une seule fois le mot « deepfake ». L'organisation traite l'IA comme un outil de personnalisation et de passage à l'échelle, et écrit que l'ingénierie sociale et l'erreur humaine resteront les maillons faibles à exploiter.

‍

Les cas de deepfake documentés existent, mais ils sont moins nombreux et moins récents qu'on ne le croit. Le plus souvent cité est celui du groupe d'ingénierie britannique Arup, dont un collaborateur a versé 200 millions de dollars de Hong Kong, soit environ 25,6 millions de dollars américains, en 15 transactions, après une visioconférence où tous les participants étaient générés par IA. C'est un cas réel, confirmé par l'entreprise, mais il s'est produit à Hong Kong et il a été révélé en mai 2024. Il est repris dans la quasi-totalité des articles français sur le sujet comme s'il s'agissait d'une actualité européenne.

‍

L'autre cas instructif est celui de Ferrari en juillet 2024, où une voix clonée du dirigeant a tenté de faire valider une opération confidentielle. La tentative a échoué. Pas grâce à un détecteur : un cadre a demandé à son interlocuteur le titre d'un livre que le dirigeant lui avait recommandé quelques jours plus tôt, et l'appel a été coupé.

‍

L'IA de l'attaquant et l'IA du défenseur ne sont pas le même sujet

‍

Une précision s'impose, car la confusion est permanente. Dire que l'IA pèse peu du côté de l'attaque ne dit rien de son utilité du côté de la défense, et les 2 sujets n'ont pas la même maturité.

‍

Côté attaque, l'IA sert surtout à personnaliser et à industrialiser des scénarios qui existaient déjà : des messages sans faute, dans la bonne langue, envoyés à grande échelle. Côté défense, elle fait quelque chose qu'aucune règle écrite à la main ne sait faire : évaluer des centaines de signaux simultanément pour distinguer un client qui agit librement d'un client qui agit sous influence. L'Observatoire de la sécurité des moyens de paiement range d'ailleurs explicitement le recours à l'IA parmi ses recommandations aux établissements.

‍

Le vrai critère n'est donc pas d'avoir de l'IA ou non, c'est de pouvoir expliquer chaque décision. Un modèle qui bloque sans motif est inexploitable en conformité comme en relation client.

‍

Un constat mérite d'être assumé. En France, aucune entreprise victime d'une fraude au président par deepfake n'est aujourd'hui nommée, chiffrée et documentée par une source établie ou une décision de justice. Le récit français du deepfake est, pour l'instant, produit presque exclusivement par ceux qui vendent la détection. Cela ne veut pas dire que la menace est imaginaire. Cela veut dire qu'elle n'est pas encore la menace principale, et qu'il faut se méfier des chiffres publiés par les éditeurs sur leur propre marché.

‍

Le carburant : vos données sont déjà dehors

‍

Voilà pourquoi un faux conseiller est crédible. Il n'improvise pas. Il connaît votre banque, votre IBAN, parfois votre dernière opération.

‍

La CNIL a enregistré 6 167 violations de données notifiées en 2025, un record, en hausse de 9,5 %, dont une quarantaine touchant chacune plus d'un million de personnes. En janvier 2026, elle a sanctionné Free et Free Mobile à hauteur de 42 millions d'euros pour une violation portant sur les données de 24 millions de contrats d'abonnés, avec des IBAN exposés pour une partie des clients.

‍

Dans le même temps, l'Arcep a vu les signalements d'usurpation de numéro passer de 531 en 2023 à plus de 19 000 en 2025. Un facteur 36 en 2 ans, pour une technique qui n'a rien de nouveau. C'est devenu la première cause de signalement auprès du régulateur, qui a ouvert une enquête administrative en janvier 2026 en constatant que les fraudeurs contournent le mécanisme d'authentification des numéros.

‍

Et Tracfin a signalé aux greffes des tribunaux de commerce plus de 8 000 sociétés créées avec de faux documents d'identité et de fausses attestations de dépôt de capital. 80 % ont été radiées. Ce ne sont pas des faux générés par IA, ce sont des faux papiers.

‍

Mettez ces éléments bout à bout et la mécanique apparaît. Des données personnelles massivement disponibles, un numéro d'appel falsifiable, un faux document qui passe, et au bout de la chaîne un client qui valide lui-même son virement. Cette dernière étape, nous l'avons détaillée pour un cas particulier dans notre article sur le SIM swap, où le facteur de possession lui-même change de mains.

‍

Pourquoi c'est plus difficile à arrêter qu'avant

‍

4 raisons, et aucune n'est technologique.

‍

La fenêtre de réaction s'est fermée. En France, 1 virement sur 6 est désormais instantané, et leur usage a doublé en montant en un an. Contre-intuitivement, le taux de fraude du virement instantané, 0,041 %, reste inférieur à celui de la carte. Ce n'est donc pas l'instantanéité qui crée la fraude. C'est elle qui supprime le temps de rattrapage.

‍

La responsabilité s'est déplacée. D'après la Banque centrale européenne, environ 85 % des pertes sur virement ont été supportées par les utilisateurs eux-mêmes en 2024, précisément parce qu'ils avaient initié l'opération. La fraude n'est plus un contournement de contrôle, c'est un détournement de consentement.

‍

Les attaquants choisissent leur juridiction. Toujours selon la BCE, la fraude à la carte est 17 fois plus élevée lorsque le bénéficiaire se situe hors de l'Espace économique européen, là où l'authentification forte n'est pas obligatoire.

‍

Et l'essentiel reste invisible. D'après l'enquête de victimation du ministère de l'Intérieur, environ 1 victime d'escroquerie sur 10 porte plainte. Les 448 300 victimes enregistrées en 2025 ne sont pas une mesure de la fraude, c'est un plancher. Le taux d'élucidation à 12 mois est de 8 %.

‍

Côté entreprises, le constat est tout aussi sec. Selon le baromètre Allianz Trade réalisé par Odoxa en juin 2026, auprès de 315 dirigeants et directeurs financiers, 1 entreprise sur 3 a été ciblée dans l'année, et 85 % des ETI et grandes entreprises. Dans 40 % des cas, au moins une tentative a abouti. Et pourtant 16 % des entreprises n'ont aucune mesure spécifique, et seules 23 % disposent d'un outil de détection. La fraude interne concerne 37 % des entreprises victimes, un angle mort rarement couvert.

‍

Ce qui marche, et ça n'a rien à voir avec l'IA

‍

Ce dossier n'est pas un constat d'impuissance, et c'est important de le dire parce que les contre-mesures efficaces sont identifiables.

‍

Toutes les courbes françaises qui baissent ont une chose en commun : un contrôle placé au bon endroit du parcours.

‍

• La carte atteint 0,047 %, son plus bas historique, grâce à l'authentification forte et à 3-D Secure. Les paiements sur internet sans authentification forte restent environ 2 fois plus fraudés que les autres.
• Le paiement mobile recule de 43 %, avec un taux de 9 euros pour 100 000 euros contre 47 euros en moyenne sur la carte. La Banque de France l'attribue à une authentification forte systématique au moment de l'enrôlement, donc en amont, une fois pour toutes.
• Le chèque baisse de 16 %, et 41 % de la fraude est déjouée par les dispositifs de détection.

‍

Et le contre-exemple le plus instructif vient du Royaume-Uni. Depuis octobre 2024, le remboursement des victimes de fraude au virement y est obligatoire. L'évaluation indépendante publiée par le régulateur des systèmes de paiement en juillet 2026 fait état d'une baisse d'environ 21 % des pertes sur le système de virement rapide, soit environ 73 millions de livres par an, et d'un taux de remboursement passé de 54 % à 65 %. Le régulateur attribue cet effet à une chose simple : l'obligation de rembourser a changé les incitations des établissements à investir dans la prévention.

‍

Autrement dit, ce qui a fait baisser des courbes, ce sont des changements d'architecture et d'incitation économique, pas des détecteurs d'IA.

‍

C'est aussi la logique de la vérification du bénéficiaire, qui replace un contrôle juste avant l'acte, au moment où la victime manipulée s'apprête à valider.

‍

Ce que ça change pour un dispositif anti-fraude

‍

La conclusion opérationnelle découle directement des chiffres : le contrôle pertinent n'est plus au moment de l'authentification, il est au moment de l'intention.

‍

Si l'authentification forte était le problème, la carte ne serait pas à son plus bas historique. Si les deepfakes étaient le problème, ils pèseraient plus de 4 % des pertes. Le problème, c'est qu'un client correctement authentifié, sur son propre appareil, dans sa propre application, valide une opération qu'il n'aurait jamais faite s'il n'avait pas été manipulé.

‍

Pour un établissement, cela déplace l'effort sur 4 points.

‍

• Repérer la rupture de comportement, pas l'intrus. Il n'y a pas d'intrus. Il y a un client légitime qui fait quelque chose d'inhabituel : un bénéficiaire jamais vu, un montant hors norme, une séquence trop rapide entre l'ajout du bénéficiaire et le virement. Ce sont ces signaux qui distinguent une décision libre d'une décision arrachée, et c'est l'objet d'une détection de prise de contrôle de compte.
• Croiser les signaux au lieu de les empiler. Un appareil nouveau ne dit rien tout seul. Un appareil nouveau plus un bénéficiaire inconnu plus une connexion pendant un appel en cours dit beaucoup.
• Réintroduire de la friction, mais au bon endroit. Une période de prudence sur un bénéficiaire nouvellement ajouté coûte peu aux clients légitimes et beaucoup aux fraudeurs. La règle des 10 euros de friction au bon moment vaut mieux que 10 contrôles au mauvais.
• Documenter. La charge du remboursement bascule vers les établissements, en France par la jurisprudence et au Royaume-Uni par la réglementation. Le dispositif se juge désormais sur ce qu'il sait prouver.

‍

Les critères concrets d'évaluation d'un tel dispositif sont détaillés dans notre guide pour choisir un service de détection de fraude à l'identité.

‍

En conclusion

‍

La fraude ne gagne pas parce que les attaquants seraient devenus brillants. Elle gagne pour 3 raisons beaucoup plus prosaïques : la matière première, vos données, est disponible en quantité et presque gratuitement ; la fenêtre de réaction s'est refermée avec le virement instantané ; et 9 victimes sur 10 ne portent pas plainte, ce qui rend le métier peu risqué.

‍

Face à cela, le secteur s'équipe contre une menace qui pèse 4 % des pertes, pendant que 41,6 % de la fraude passe par un coup de téléphone. Le décalage n'est pas technologique, il est stratégique.

‍

La bonne nouvelle, si on peut l'appeler ainsi, c'est que les contre-mesures qui ont fait leurs preuves sont connues, mesurées, et ne demandent pas d'attendre une percée technique. Elles demandent de déplacer le contrôle : non plus vérifier qui agit, mais vérifier si l'action a du sens. Pour voir ce que donne ce déplacement sur vos propres parcours, planifiez une démo.

‍

FAQ

‍

Quel est le montant de la fraude aux moyens de paiement en France ?

‍

1,241 milliard d'euros en 2025, en hausse de 3,8 %, pour 7,2 millions de transactions frauduleuses, en baisse de 7,6 %. La fraude augmente donc en valeur tout en reculant en volume : elle se concentre sur des opérations plus importantes. Source : rapport 2025 de l'Observatoire de la sécurité des moyens de paiement, publié en septembre 2026.

‍

Qu'est-ce que la fraude par manipulation ?

‍

C'est une fraude où la victime réalise elle-même l'opération, après avoir été convaincue de le faire par un escroc. Elle n'implique donc aucun contournement technique de l'authentification. Elle a atteint 516 millions d'euros en France en 2025, en hausse de 34 %, soit 41,6 % de toute la fraude aux moyens de paiement. Sa forme la plus fréquente est la fraude au faux conseiller bancaire.

‍

L'intelligence artificielle est-elle responsable de la hausse de la fraude ?

‍

Elle y contribue, mais moins que le discours ambiant ne le suggère. La seule mesure officielle disponible, celle du centre de plaintes du FBI pour 2025, attribue à l'IA environ 2 % des plaintes et 4 % des pertes. Europol, dans son évaluation 2026, n'emploie pas le mot deepfake et désigne l'ingénierie sociale et l'erreur humaine comme les maillons faibles. L'IA personnalise et industrialise des attaques qui existaient déjà.

‍

L'authentification forte protège-t-elle encore ?

‍

Oui, là où elle s'applique. La fraude à la carte est à son plus bas historique, 0,047 %, et le paiement mobile recule de 43 % grâce à une authentification forte à l'enrôlement. Mais elle ne protège pas contre une opération que le client valide lui-même après manipulation, et c'est précisément là que la fraude se déplace.

‍

Qui supporte la perte en cas de fraude au virement ?

‍

D'après la Banque centrale européenne, environ 85 % des pertes sur virement ont été supportées par les utilisateurs en 2024, parce qu'ils avaient initié l'opération. Cette répartition évolue : au Royaume-Uni le remboursement est obligatoire depuis octobre 2024, et en France la jurisprudence récente fait peser une part croissante de la charge sur les établissements, et parfois sur les opérateurs télécoms.

‍

Sources : Banque de France, rapport 2025 de l'Observatoire de la sécurité des moyens de paiement, septembre 2026 ; Banque centrale européenne et Autorité bancaire européenne, rapport conjoint sur la fraude aux paiements, décembre 2025 ; Europol, Internet Organised Crime Threat Assessment 2026, avril 2026 ; FBI, Internet Crime Report 2025 ; Cybermalveillance.gouv.fr, rapport d'activité 2025, mars 2026 ; SSMSI, ministère de l'Intérieur, bilan Insécurité et délinquance en 2025, juillet 2026, et Interstats Analyse n° 68 sur les escroqueries ; Tracfin, rapport d'activité 2025 ; CNIL, bilan 2025 des violations de données et sanction Free et Free Mobile du 8 janvier 2026 ; Arcep, communiqué du 29 janvier 2026 sur l'usurpation de numéro ; Allianz Trade et Odoxa, baromètre Fraude 2026, juin 2026 ; Payment Systems Regulator, évaluation du dispositif de remboursement, juillet 2026 ; UK Finance, Annual Fraud Report 2026 ; CNN, révélation de la fraude Arup, mai 2024 ; Bloomberg, tentative visant Ferrari, juillet 2024.