Au deuxième trimestre 2026, des clients de banques se sont fait dérober 2,74 milliards de roubles via le Système de Paiements Rapides (SBP) – un montant record depuis le début des observations. Les banques n'ont réussi à récupérer que 2,1 % de cet argent, alors que plus de 129 000 cas de vol ont été enregistrés – près de trois fois plus que l'année précédente. Par rapport au premier trimestre, le préjudice a augmenté de 4 %, et de 25 % en glissement annuel.
Pendant ce temps, les autres canaux de détournement affichent une dynamique opposée. Les pertes sur les cartes bancaires se sont élevées à environ 1,3 milliard de roubles – en baisse de 17 % par rapport à l'année précédente – et la part des fonds remboursés aux clients a atteint 13,3 %. Les services bancaires à distance ont été utilisés pour dérober 2,17 milliards de roubles, soit 7 % de moins que l'année précédente. Au final, le volume total des opérations effectuées sans le consentement volontaire des clients n'a pas dépassé 7,4 milliards de roubles pour 458 700 cas signalés, et les banques ont, sur la même période, repoussé 17,5 millions de tentatives de vol pour un montant d'environ 1 900 milliards de roubles. La part des indemnisations pour toutes les victimes, tous segments confondus, est passée à 7 %.
Pourquoi les cartes sont mieux protégées que les virements
La baisse des vols sur les cartes et les comptes est en grande partie liée au mécanisme de « délai de réflexion » : la banque a le droit de suspendre un virement suspect pendant une durée pouvant aller jusqu'à deux jours sur la base de signes approuvés par la Banque de Russie, et d'en informer le client. Après une nouvelle confirmation, l'opération est exécutée – mais seulement si les coordonnées du bénéficiaire ne figurent pas dans la base de données des comptes frauduleux. Pour les paiements par carte, le mécanisme de « chargeback » (contestation de paiement) permet également de contester une opération a posteriori : l'infrastructure des cartes s'est perfectionnée au fil des ans, et la diminution des vols par ce canal apparaît comme l'aboutissement logique de ce travail. Le fait que, lors d'un virement, les fonds soient d'abord bloqués sur la carte de l'émetteur avant d'être débités joue également un rôle supplémentaire, donnant à la banque un délai pour prévenir la fraude et rembourser l'argent.
Le SBP fonctionne différemment. Le virement est crédité directement sur le compte d'un particulier ou d'un intermédiaire, après quoi les fonds sont souvent fractionnés en montants plus petits et réacheminés le long d'une chaîne. Ces virements sont instantanés et n'ont pas d'équivalent du chargeback – les fonds ne peuvent être récupérés qu'avec l'accord du bénéficiaire ou par décision de justice. Le service a été conçu à l'origine pour être extrêmement rapide et pratique, la protection contre la fraude devenant ainsi une préoccupation secondaire : c'est le client lui-même qui initie le virement, et la banque ne fait qu'exécuter l'opération instantanément, sans possibilité d'annulation, ce dont profitent les fraudeurs via l'ingénierie sociale.
L'ingénierie sociale gagne du terrain
La vulnérabilité du SBP est directement liée à la croissance des attaques par ingénierie sociale : au deuxième trimestre, leur nombre a atteint 28 700 – un maximum depuis deux ans. C'est près d'une fois et demie plus que le trimestre précédent, et plus du double du chiffre d'il y a un an. Le virement via SBP étant initié par le client lui-même, les malfaiteurs misent précisément sur la persuasion de la victime, plutôt que sur le contournement des protections techniques.
Le régulateur change les règles du jeu
Une partie de l'effet sur les cartes et comptes est liée aux nouvelles exigences imposées aux banques. Depuis le début de l'année, la liste des signes d'opérations frauduleuses a été étendue de 6 à 12 points, incluant notamment les virements SBP suspects vers soi-même avant un envoi de fonds à des tiers.
Fin juin, le président russe Vladimir Poutine a signé un deuxième train de mesures anti-fraude – le système « Anti-fraude 2.0 » – qui modifie les règles de fonctionnement des banques et des opérateurs de téléphonie. La principale nouveauté réside dans l'extension des pouvoirs des banques : si le système détecte des signes d'infection de l'appareil d'un client par un logiciel malveillant, l'organisme de crédit aura le droit de suspendre le virement ou de refuser purement et simplement son exécution. La loi introduit également un mécanisme d'indemnisation pour les victimes de fraudeurs, si la banque ou l'opérateur téléphonique a enfreint les exigences établies pour la prévention des vols – à condition que le client n'ait pas transféré lui-même l'argent aux malfaiteurs. Les normes entreront en vigueur par étapes, le bloc principal étant applicable à partir de 2027.
L'avis de l'IA
Du point de vue de l'analyse automatisée des données, le cas russe n'est pas unique : une vulnérabilité similaire des paiements instantanés est apparue au Royaume-Uni, où le système Faster Payments est resté pendant des années le principal canal utilisé par les fraudeurs via l'ingénierie sociale. Après l'introduction d'une indemnisation obligatoire pour les victimes à partir d'octobre 2024, le régulateur a constaté une baisse d'environ 21 % des pertes par ce canal, et la part des cas indemnisés est passée de 54 % à 65 %. Cela montre que le transfert de la responsabilité financière vers les banques peut modifier plus rapidement le comportement du système que les seules restrictions techniques.
L'expérience britannique montre également l'envers du décor : même après la réforme, le système ne couvrait qu'environ un dixième de toutes les opérations de paiement du pays, laissant les cartes et autres canaux sans protection. Le système russe « Anti-fraude 2.0 » entre en vigueur par étapes et couvre un plus large éventail d'opérations – la question est de savoir si la responsabilité élargie des banques conduira au même fossé entre les canaux de paiement protégés et non protégés.
