Fraude au mobile money : les schémas d'ingénierie sociale derrière les pertes

Ceci est une analyse de schémas publiquement documentés, non le récit d'un incident particulier. Elle s'appuie sur les rapports State of the Industry de la GSMA sur le mobile money, l'Évaluation des cybermenaces en Afrique d'INTERPOL (2024) et les recommandations publiées par des opérateurs et régulateurs de plusieurs marchés africains.

Le schéma

Le mobile money est l'une des grandes réussites africaines de l'inclusion financière — les rapports sectoriels de la GSMA montrent que le continent porte la nette majorité de l'activité mondiale du mobile money, avec des centaines de millions de comptes enregistrés. Ce succès a créé une nouvelle surface de fraude dotée d'une propriété singulière : le périmètre de sécurité est une conversation. La plupart des fraudes documentées ne cassent pas la plateforme ; elles convainquent un humain — un client, un agent ou un employé gérant un portefeuille d'entreprise — d'utiliser la plateforme contre lui-même. L'évaluation 2024 d'INTERPOL classe les escroqueries en ligne et sur mobile parmi les infractions cyber les plus signalées en Afrique, et les typologies de fraude de la GSMA placent systématiquement l'ingénierie sociale parmi les vecteurs dominants.

Comment cela se déroule

Les typologies publiées répètent un petit nombre de gestes :

Appels et messages d'usurpation. Les fraudeurs se font passer pour le « service client » ou le « service anti-fraude » de l'opérateur, signalent une transaction suspecte et guident la victime dans une « vérification » — qui est en réalité la divulgation d'un code PIN ou d'un code à usage unique, ou l'approbation d'un transfert.

Escroqueries à l'annulation contre les agents. Un agent reçoit ce qui ressemble à une confirmation de dépôt authentique, remet les espèces, puis découvre que la confirmation était falsifiée ou la transaction annulée. Des variantes exploitent de faux trop-perçus et des demandes urgentes de remboursement pour « mauvais numéro ».

Manipulation des agents et des employés. Les agents manient à la fois les espèces et la confiance des clients : ils sont ciblés pour préparer des échanges de cartes SIM (collecte des données d'enregistrement), pour blanchir le produit d'autres fraudes, et pour être manipulés afin de contourner des étapes de connaissance client.

Abus des portefeuilles d'entreprise. À mesure que les entreprises adoptent les portefeuilles pour la paie, les encaissements et les paiements fournisseurs, les attaquants leur appliquent la logique du BEC : usurper l'identité d'un dirigeant pour exiger un décaissement urgent, ou manipuler l'employé qui détient les identifiants du portefeuille. Les contrôles que les banques ont mis des décennies à construire autour des comptes d'entreprise n'entourent souvent pas encore les portefeuilles d'entreprise.

Qui est ciblé

Les clients au bas de la pyramide, les agents travaillant à marges réduites sous forte pression transactionnelle, et — de plus en plus — le personnel financier et opérationnel des organisations qui font transiter des soldes importants par des portefeuilles d'entreprise. Pour un employeur, ce dernier groupe est le plus critique : un seul employé manipulé peut déplacer toute une réserve.

Briser le schéma

  • Enseignez la règle d'or : aucun opérateur légitime ne demande jamais un PIN ou un OTP. Ce réflexe doit être acquis par chaque employé qui touche un portefeuille.
  • Séparez les fonctions sur les portefeuilles d'entreprise — initiation, approbation et rapprochement ne doivent jamais relever d'une seule personne, à l'image des contrôles bancaires.
  • Vérifiez les demandes de décaissement urgentes par un canal distinct, exactement comme pour les virements bancaires ; la rapidité du portefeuille est précisément ce que recherchent les attaquants.
  • Formez les agents et le personnel de caisse aux escroqueries à l'annulation et au trop-perçu, avec des scénarios réalistes plutôt que des affiches.
  • Rapprochez les portefeuilles quotidiennement. Une détection rapide fait la différence entre un incident et une perte sèche.

Sources

  • GSMA, State of the Industry Report on Mobile Money (2024)
  • GSMA, publications de typologies de fraude au mobile money
  • INTERPOL, Évaluation des cybermenaces en Afrique (2024)

Si votre organisation fait transiter de l'argent par des portefeuilles, vos collaborateurs sont la surface de contrôle — évaluez-les avec notre évaluation gratuite de maturité du risque humain.