Un distributeur peut perdre deux fois sur une même commande : d’abord en expédiant un remplacement, puis en approuvant un remboursement frauduleux.
Dans une analyse publiée le 2 nov., Flashpoint a décrit des activités clandestines liées à l’abus des remboursements, à la fraude aux cartes-cadeaux, à l’usurpation d’identité de distributeurs et à l’accès à des boutiques en ligne compromises, à l’approche des fêtes de fin d’année.
Pour les responsables de la sécurité dans le commerce de détail, la question pratique est de savoir si les équipes du support, des paiements et de la cybersécurité peuvent relier les activités suspectes avant qu’un autre remboursement ne soit approuvé ou que davantage d’informations client ne soient exposées.
Ce que Flashpoint a découvert dans les communautés clandestines
Dans son analyse de la fraude dans le commerce de détail, Flashpoint a mis en évidence plusieurs risques qui se recoupent :
- Abus des remboursements : fausses déclarations concernant des livraisons manquantes, des colis vides ou des articles incorrects ; certaines escroqueries cherchent à obtenir à la fois un remplacement et un remboursement.
- Manipulation du support : tentatives de contournement des vérifications, auxquelles s’ajoutent de faux comptes de service client qui orientent les acheteurs vers des canaux externes.
- Fraude aux cartes-cadeaux : des données de paiement volées servent à acheter des cartes-cadeaux, tandis que des participants sont recrutés pour acheter des marchandises ou convertir leur valeur.
- Accès à des boutiques mis en vente : annonces prétendant donner accès à des sites de commerce électronique, notamment ceux qui utilisent Shopify, Magento et OpenCart.
Ces annonces n’établissent pas l’existence de vulnérabilités dans ces plateformes. Flashpoint a indiqué que les méthodes d’accès initial n’étaient pas systématiquement divulguées. Son analyse décrit des discussions et des annonces observées, sans quantifier une hausse à l’échelle du secteur des fraudes réussies.
Donnez au personnel du support un moyen de vérifier les exceptions
Les distributeurs devraient examiner les décisions que les employés peuvent prendre lorsqu’un client conteste une livraison, demande un remplacement ou souhaite modifier son compte. Chaque action doit être soumise à un processus de vérification défini et à une procédure d’escalade claire lorsque les éléments disponibles sont contradictoires.
La formation aux attaques d’ingénierie sociale doit s’appuyer sur ces situations du quotidien. Le personnel doit s’exercer à gérer des demandes urgentes ou chargées d’émotion tout en maintenant les vérifications requises pour les remboursements et la récupération des comptes.
Les conséquences de décisions d’employés manipulées dépassent le commerce de détail. Des incidents d’ingénierie sociale chez Baker McKenzie et Troutman Pepper Locke distincts ont notamment entraîné la divulgation de fichiers contenant des informations personnelles.
Pour les distributeurs, un test utile consiste à vérifier si un agent peut voir qu’une autre équipe a déjà émis un remplacement ou un remboursement pour la même commande. Lorsque les systèmes ne permettent pas de consulter cet historique au même endroit, mettez en place une vérification documentée avant d’approuver une nouvelle exception.
Les clients doivent également pouvoir identifier facilement les canaux officiels du support. Publiez clairement ces coordonnées et prévoyez une procédure de signalement pour les comptes usurpant une identité.
Vérifiez la boutique en ligne autant que la transaction
Une page de paiement apparemment ordinaire peut dissimuler un vol de données de paiement. Dans une étude publiée en mai 2022, Microsoft a documenté des attaquants dissimulant du code malveillant et déguisant du JavaScript en scripts d’analyse familiers.
L’intégrité de la boutique en ligne constitue donc un enjeu distinct de la question de savoir si un achat individuel franchit les contrôles antifraude.
Les équipes informatiques des distributeurs devraient examiner les comptes administrateur, supprimer les accès qui ne sont plus nécessaires, imposer l’authentification multifacteur lorsqu’elle est prise en charge et enquêter sur toute modification inattendue des pages de paiement et des intégrations installées. Des mesures de prévention des fuites de données plus larges devraient couvrir les dossiers clients et l’historique des commandes accessibles via ces comptes.
Pour les cartes-cadeaux, examinez conjointement les activités d’achat et d’utilisation. Un paiement signalé suivi d’une utilisation rapide mérite une enquête, mais un achat important ne doit pas, à lui seul, être automatiquement considéré comme une preuve de fraude.
Vérifiez que les équipes peuvent relier les éléments de preuve
Avant le pic d’activité, organisez un exercice court réunissant le service client, les équipes chargées des opérations antifraude, les administrateurs du commerce électronique et la sécurité. Utilisez une commande fictive comportant une contestation de livraison, une demande de remplacement et une modification suspecte du compte.
Demandez à chaque équipe :
- Quels événements liés à la commande, au paiement et au compte pouvez-vous voir ?
- Quels éléments conserveriez-vous pour une enquête ?
- Qui est habilité à suspendre un remboursement, un remplacement ou une modification de compte ?
L’exercice devrait révéler des lacunes, par exemple lorsque le personnel du support ne voit pas les alertes de paiement ou que les analystes de sécurité ne disposent pas du contexte de la commande nécessaire pour évaluer une modification de compte.
Évaluez le résultat en termes pratiques : temps nécessaire pour identifier les événements liés, temps nécessaire pour atteindre un décideur habilité et capacité des clients légitimes à résoudre malgré tout leurs problèmes réels. Examinez les faux positifs parallèlement aux pertes confirmées, afin que des contrôles plus stricts ne transfèrent pas simplement le coût aux acheteurs et aux équipes du support.
L’amélioration la plus utile pourrait être un dossier partagé et un responsable clairement désigné pour l’escalade. Les distributeurs doivent pouvoir expliquer pourquoi un remboursement, une utilisation de carte-cadeau ou une modification de compte a été approuvé — et reconstituer cette décision lorsque de nouveaux éléments apparaissent.
Pour aller plus loin : l’usurpation d’identité d’un distributeur est l’un des moyens par lesquels les attaquants exploitent la confiance. Découvrez comment de fausses notifications judiciaires recourent à une tactique similaire pour diffuser LodaRAT et ce que les équipes de sécurité devraient vérifier.