Quand le risk manager dit « on a de l'ATO » et que le marketer entend « un mot incompréhensible » — le business perd de l'argent. Non pas parce qu'il n'y a pas de protection, mais parce que les équipes ne parlent pas la même langue.

Ce glossaire comble un écart de base : les termes clés que doit connaître quiconque travaille avec le trafic digital, les budgets ads ou les paiements en ligne.

🔐 Fraude financier et transactionnel

Attaque BIN (BIN Attack)

De quoi il s'agit : essai automatisé des numéros de cartes bancaires.

Le BIN, ce sont les 6 premiers chiffres de la carte, qui identifient la banque et le type de produit. Ils ne sont pas secrets : des bases existent en accès libre. Le fraudeur connaît le BIN et, avec des scripts, teste les chiffres restants, la date d'expiration et le CVV — des milliers de combinaisons par minute.

À quoi ça ressemble en pratique : une boutique en ligne reçoit soudain des centaines de microtransactions de 1–2 roubles depuis différentes cartes d'une même banque. Ce ne sont pas des acheteurs — c'est du brute-force. Le but de l'attaque est de trouver des cartes actives pour ensuite extraire des fonds.

Pourquoi c'est dangereux pour l'entreprise : en plus des pertes directes, une attaque BIN entraîne des amendes des systèmes de paiement pour dépassement du pourcentage autorisé de transactions échouées.

Chargeback (rétrofacturation)

De quoi il s'agit : un remboursement forcé à l'acheteur via le système de paiement — en contournant le vendeur.

Le mécanisme a été créé comme protection du consommateur : si le bien n'est pas arrivé ou si la carte a été utilisée à l'insu du titulaire, la banque restitue l'argent. Le vendeur perd alors le bien et la somme, et paie en plus une commission pour le chargeback lui-même.

Le côté obscur — Friendly Fraud : l'acheteur a reçu le bien, en est satisfait, mais appelle la banque et dit « je n'ai pas commandé ça ». La banque prend le parti du client. Le vendeur se retrouve sans rien. Selon Chargebacks911, jusqu'à 86 % des chargebacks en e-commerce sont précisément du friendly fraud, et non de vrais cas de fraude par des tiers.

Botnet

De quoi il s'agit : un réseau d'appareils infectés contrôlé à distance par un attaquant.

Elle peut compter des milliers d'ordinateurs, smartphones et appareils IoT — leurs propriétaires ne soupçonnent souvent pas que leur gadget exécute des commandes d'autrui.

Les botnets ont plusieurs usages : attaques DDoS, credential stuffing, et — surtout pertinent pour les écosystèmes pub — le click fraud. Le botnet clique sur les bannières, l'annonceur paie chaque clic, le rapport a l'air correct — et derrière le trafic il n'y a pas un seul humain vivant.

Skimming et Shimming (Skimming & Shimming)

De quoi il s'agit : méthodes physiques de vol des données de cartes.

Un skimmer est une superposition sur le lecteur de carte d'un DAB qui lit les données de la piste magnétique. Un shimmer est une micropuce épaisse comme un cheveu, insérée dans la fente, qui intercepte les données de la puce.

Leur équivalent en ligne est — attaques Magecart : injection de JavaScript malveillant sur la page de commande. Pendant que l'acheteur saisit les données de carte, le script les copie discrètement et les envoie au fraudeur.

📢 Fraude AdTech : schémas publicitaires

La fraude pub est un écosystème à part, où l'argent fuit en silence et avec méthode. Les budgets sont débités, les métriques ont l'air normales, les rapports plaisent — mais derrière les chiffres il n'y a pas d'acheteurs réels.

Click fraud (Click Fraud)

De quoi il s'agit : imitation de clics sur des annonces à l'aide de bots ou de fermes d'appareils.

Le type de fraude publicitaire le plus répandu. L'annonceur paie chaque clic — et paie pour du vide. Les bots modernes savent reproduire un comportement humain : pauses aléatoires, défilement, mouvement de souris. Une simple vérif IP ne suffit plus — il faut une analyse comportementale au niveau de toute la session.

Click Injection (injection de clics)

De quoi il s'agit : fraude mobile où une application malveillante « insère » son clic au dernier moment avant l'installation — et prend l'attribution.

Le schéma fonctionne ainsi : une appli malveillante installée sur le smartphone de l'utilisateur suit les signaux de téléchargement d'autres applis depuis le store. Au bon moment, elle génère un clic fictif depuis un appareil réel — le système d'attribution décide que cette source a amené l'utilisateur, et verse une commission au fraudeur.

Pourquoi c'est dangereux : la victime est un utilisateur réel, l'appareil est réel, l'installation est vraie. Détecter la fraude sans analyser les motifs temporels entre le clic et l'installation est pratiquement impossible.

SDK Spoofing

De quoi il s'agit : imitation d'installations d'applications mobiles sans installation réelle.

Le fraudeur intercepte le trafic entre l'appli mobile et le système d'attribution (MMP : AppsFlyer, Adjust, Branch) et rejoue les signaux d'installations légitimes à l'échelle industrielle. Il n'y a pas d'utilisateurs réels — seulement un flux d'événements faux, payés un par un par l'annonceur. Échelle de la menace : un serveur infecté peut générer des milliers d'installations fictives par heure.

Ad Stacking (empilement d'annonces)

De quoi il s'agit : plusieurs bannières pub empilées les unes sur les autres dans un même emplacement.

L'utilisateur ne voit que la bannière du dessus, mais l'impression est comptée pour toutes les couches à la fois. Chaque annonceur de la pile paie pour une « impression » que personne n'a vue. Un schéma simple à gros dégâts.

Domain Spoofing (usurpation de domaine)

De quoi il s'agit : vente d'inventaire pub bon marché sous l'apparence d'emplacements premium.

Le fraudeur participe aux enchères RTB en indiquant dans le bid request un domaine d'autorité — par exemple forbes.com. L'annonceur paie aux tarifs d'un média top, alors que l'annonce s'affiche sur un site anonyme à l'audience gonflée.

Pixel Stuffing

De quoi il s'agit : une bannière pub de 1×1 pixel — invisible pour l'utilisateur, mais qui compte une impression.

Techniquement l'annonce est sur la page, le compteur d'impression se déclenche, le budget CPM est dépensé. En fait personne ne voit la pub. Utilisé sur des sites à grand volume de pages.

Geo Masking (masquage géo)

De quoi il s'agit : usurpation de la géolocalisation du trafic — du trafic bon marché d'un pays est présenté comme du trafic cher d'un autre.

L'annonceur achète une audience des États-Unis ou d'Europe de l'Ouest aux tarifs correspondants. En fait il reçoit du trafic de régions à bas coût — via proxies, fermes VPN ou appareils infectés. Pas de conversions.

Cookie stuffing (Cookie Stuffing)

De quoi il s'agit : substitution frauduleuse ou ajout caché de cookies d'affiliation dans le navigateur de l'utilisateur à son insu.

Les programmes d'affiliation fonctionnent sur le « last click » : celui qui a amené l'acheteur en dernier touche la commission. Un cookie stuffer injecte son identifiant affilié dans le navigateur de la victime en arrière-plan. Quand l'utilisateur achète de lui-même, le système « croit » que le fraudeur l'a amené.

Invalid Traffic / IVT (trafic invalide)

De quoi il s'agit : tout trafic dans les systèmes pub qui n'est pas une interaction réelle d'un utilisateur vivant avec l'annonce.

IAB et MRC séparent l'IVT en deux niveaux :

• General IVT (GIVT) — bots connus, crawlers de recherche, services de monitoring.
• Sophisticated IVT (SIVT) — schémas avancés : botnets imitant l'humain, fermes d'appareils, injections de clics.

🛡️ Outils de protection : termes à connaître

Device Fingerprinting (empreinte d'appareil)

De quoi il s'agit : une technologie d'identification d'un appareil par l'ensemble de ses caractéristiques — sans cookies.

Le système collecte des paramètres : version du navigateur, polices, résolution d'écran, fuseau horaire, comportement GPU. Ensemble ils donnent une « empreinte » unique, qui permet de reconnaître l'appareil même après un changement d'IP ou un vidage des cookies.

Phishing-as-a-Service (PhaaS)

De quoi il s'agit : une infrastructure prête à l'emploi pour des attaques de phishing en location.

Pour quelques dizaines de dollars par mois, le fraudeur obtient une copie exacte de l'interface d'une banque ou d'une marketplace, un panneau de gestion des victimes et un envoi automatique. Aucune compétence technique n'est requise. Cela est devenu le principal moteur de croissance des attaques de prise de compte (ATO).

Pourquoi il est important de le savoir

L'antifraude n'est pas seulement une tâche technique. C'est un langage commun entre marketing, sécurité et finance. Quand l'équipe comprend en quoi le cookie stuffing diffère du click fraud, et le SDK Spoofing du Click Injection, il devient possible de bâtir une vraie protection : ne pas réagir aux conséquences, mais prévenir les pertes à l'entrée.

« Comprendre la terminologie antifraude permet à l'entreprise de passer d'une protection réactive à une protection proactive. Quand un spécialiste distingue le carding classique de l'identité synthétique — il peut régler les règles de façon ciblée et préserver la conversion. »