Épisode 43 : Stratégies de prévention de la fraude pour les paiements en temps réel, le système bancaire ouvert et les paiements numériques

Elizabeth (Liz) Dempsey :
Rebienvenue à la série d’été du SOMMET, une présentation spéciale de The PayPod, le balado de Paiements Canada qui explore les tendances et les sujets qui influencent les paiements au Canada et dans le monde.

Je suis votre animatrice, Liz Dempsey.

Si vous venez de vous joindre à nous, pour étendre la portée de notre événement annuel, nous offrons à nos auditeurs les meilleures séances d’analyse approfondie et en petits groupes du SOMMET 2026. Cet été, nous publions un nouvel épisode par semaine et nous vous donnons un accès aux premières loges aux conversations dirigées par des experts. Ces conversations ont été enregistrées en direct.

Aujourd’hui, vous assistez à une séance très en demande de l’événement de cette année, intitulée « Stratégies de prévention de la fraude pour les paiements en temps réel, le système bancaire ouvert et les paiements numériques ».

La lutte contre la criminalité financière entre dans une nouvelle ère marquée par une évolution fulgurante. L’essor de l’hypertrucage, des envois massifs de messages texte et des arnaques alimentées par l’intelligence artificielle pousse les mécanismes de défense traditionnels à évoluer rapidement.

Cette table ronde est animée par Jas [Jazz] Anand, qui était cadre supérieur spécialisé dans la fraude à Feedzai au moment de l’enregistrement, et réunit des spécialistes de la fraude de trois des plus grandes institutions financières du Canada : Aaron McAllister de la Banque Scotia, Geoff Morton de la RBC et Elizabeth Tripp de la CIBC.

Plongeons directement dans la table ronde d’aujourd’hui.

Voici notre modérateur, Jas Anand.

Jas Anand : 
Merci. Je voulais commencer par une brève introduction. Je m’appelle Jas Anand et je travaille dans le domaine de la fraude et de la criminalité financière depuis plus de 25 ans. Je fais partie de l’équipe Feedzai basée à Toronto, au Canada. Je vais demander à chacun d’entre vous de vous présenter rapidement, puis nous passerons directement aux questions.

Aaron McAllister : 
Je dirige l’équipe de gestion des menaces de fraude à la Banque Scotia. Je suis à la Banque Scotia depuis quelques années et avant, j’ai passé sept ans dans une autre grande institution financière canadienne.

Geoff Morton : 
Bonjour tout le monde. Geoff Morton. Je dirige l’équipe de gestion de la fraude à la RBC. J’y travaille depuis le début de ma carrière, soit environ 16 ans.

Elizabeth Tripp : 
Bonjour, je m’appelle Elizabeth Tripp. Je travaille à la CIBC depuis 27 ans et je dirige actuellement l’équipe consultative sur la fraude. Nous offrons des services-conseils aux entreprises, aux banques, aux marchés financiers et sur la gestion du patrimoine. Ça se prononce super facilement.

Jas Anand : 
Merci, tout le monde. Je vais parler à tout le monde et leur donner l’occasion de répondre à des questions sur trois des thèmes que nous avons entendus toute la journée. Ceux d’entre vous qui ont assisté à la conférence, nous disions que la fraude se cache dans les failles. Je pense que nous avons parlé d’un processus précis à l’origine de ce phénomène. Quand on discute avec des professionnels du secteur, on constate qu’ils s’efforcent constamment de combler ces failles. Nous allons vous en donner quelques exemples.

Elizabeth, vous avez mentionné de multiples secteurs d’activité dans votre présentation. Pouvez-vous nous parler un peu plus à propos de la mise en place de cette protection sur tous les secteurs d’activité et différents canaux dans le cadre desquels vous exercez vos activités?

Elizabeth Tripp : 
Oui, bien sûr. Ces secteurs d’activité peuvent sembler très différents, mais au bout du compte, la fraude est essentiellement la même. Les fondements de la fraude sont les mêmes. La façon dont les auteurs de menaces interagissent avec ces secteurs d’activité peut varier un peu, mais le principe reste le même. Je pense donc que notre approche de la prévention de la fraude et de la gestion du risque ne doit pas changer en fonction du type de secteur d’activité. L’approche cloisonnée ne fonctionne pas. Je pense que traditionnellement, c’était la structure que nous avions : nous gérions la fraude au cas par cas parce que les fraudeurs ciblaient chaque type d’entreprise d’une certaine façon, mais ce n’est plus le cas. Donc, dans un monde où les paiements sont plus rapides et complexes, il faut renforcer l’interconnexion, à la fois à l’interne en tant qu’organisation, mais aussi, en favorisant une connectivité accrue entre les partenaires du secteur.

Nous devons donc éliminer ces obstacles traditionnels et être en mesure de partager l’information à l’interne, à l’échelle de l’industrie. La seule façon de le faire est de le faire en accordant la priorité à la sécurité. De cette façon, on obtient une vue d’ensemble de la clientèle, de ses activités de paiement, des comportements des clients. On peut aussi repérer les menaces émergentes qui ne sont peut-être pas présentes dans une partie de l’organisation, mais qui se manifestent ailleurs. Pensez à toutes les menaces qui peuvent se manifester dans l’ensemble de votre clientèle. Donc, si vous êtes en mesure d’avoir une meilleure vue d’ensemble, vous pouvez prévenir plutôt que guérir. Je pense que nous pouvons parler un peu des renseignements exploitables sur le risque. Si on peut obtenir de bons renseignements et des données très rapidement, on peut agir beaucoup plus rapidement. On peut signaler les transactions suspectes plus rapidement, mettre à jour les modèles plus rapidement, et même commencer à partager cette information dans l’ensemble de l’industrie.

Nous savons donc que les fraudeurs ne ciblent plus un seul produit. S’ils ont une victime, ils vont essayer de la cibler de toutes les façons possibles. Ils s’attaqueront à ses comptes bancaires, à ses médias sociaux, à ses télécommunications. Ce n’est plus juste une attaque ponctuelle. Ils exploiteront tout ce qu’ils peuvent. Donc, selon moi, pouvoir partager ces informations est important. C’est un objectif qui fait partie de la liste de choses à faire qui a été mentionné aujourd’hui. C’est ce qu’on doit faire parce que c’est le même auteur de menaces qui attaque de différentes manières, mais toujours la même victime. Je pense que c’est cet aspect qui fait que des événements comme celui-ci sont vraiment bénéfiques. Ils permettent de rassembler tous ces secteurs pour avoir ces conversations.

Jas Anand : 
Merci beaucoup, Elizabeth. Donc, on sait qu’il y a des failles dans les services de lutte contre la fraude et dans l’ensemble des produits, des canaux et des différentes technologies. Mais j’adore l’idée des renseignements exploitables sur le risque pour combler ces lacunes. Il n’est pas nécessaire de faire autre chose.

On parle de failles qui touchent différents vecteurs de menaces, comme la cybercriminalité, la lutte contre le blanchiment d’argent, la fraude et la convergence des crimes financiers. C’est ainsi qu’on l’appelle parfois. Pouvez-vous nous en parler un peu? Que fait la Banque Scotia dans ce domaine?

Aaron McAllister : 
C’est vrai. Avant que tout le monde pose des questions sur l’IA, on parlait de centres de fusion des données et de convergence. Ces points ne sont pas complètement disparus. Quand on parle de convergence, notamment en ce qui concerne les signaux d’alerte en cybersécurité, je pense qu’une grande partie de la fraude se produit à cause des occasions non réalisées et de la gestion de l’identité et de l’accès des clients. Et souvent, ces problèmes relèvent du domaine de la cybersécurité. Donc, en examinant les signaux provenant des renseignements sur les réseaux, au-delà de la cybersécurité pour inclure les renseignements sur les signaux des télécommunications, et en adoptant une approche coordonnée à l’égard des divers signaux, nous pouvons mieux réagir et améliorer l’expérience client. On se retrouve donc avec des transactions plus rapides, des approbations plus rapides, une intégration plus rapide, tout en disposant d’une analyse approfondie des signaux, y compris ceux de nos pairs dans les équipes de cybersécurité. En exploitant ces signaux, on peut être plus précis et plus efficace pour repérer les fraudes et les éléments du processus qui doivent ralentir ou ceux auxquels nous pouvons mettre des contraintes.

Jas Anand : 
Excellent. Merci. Donc, Elizabeth, il faut essayer de repérer les signaux dans différents produits et domaines, ainsi que dans les cybermenaces et autres menaces. Pensons au point de vue d’un criminel, il ne connaît pas la différence entre la cyberfraude et le blanchiment d’argent. Il vole d’abord les identifiants, ensuite l’argent, puis il fait le blanchissement d’argent. Pas vrai? Il est donc logique que nous commencions à échanger de l’information entre ces groupes. J’aime l’idée d’essayer de régler le problème avant qu’il n’arrive.

Geoff, parlons de la transition d’une vision axée sur les transactions vers une vision centrée sur le client, notamment en tenant compte des nouvelles menaces qui se profilent. Pouvez-vous nous en parler un peu et nous dire ce que la RBC fait?

Geoff Morton : 
Bien sûr. Oui. Qu’il s’agisse de failles dans les systèmes internes de prévention de la fraude ou dans différents secteurs d’activité, je pense qu’on est toujours axé sur le client. L’un des aspects dont nous essayons de nous éloigner un peu, c’est la détection basée sur un événement qui survient et que l’on tente d’arrêter. Comme la fraude a maintenant eu lieu, vous venez de la détecter. Et si on ne la repère pas, c’est fini. Donc, ce que nous essayons de faire, c’est de tirer parti de l’IA et d’essayer de trouver des moyens de devenir plus proactifs et de mieux anticiper les événements avant qu’ils ne se produisent.

Je pense que nous devons encore composer avec la multitude d’endroits où les données peuvent se trouver. Ce qui est toutefois très avantageux dans cette approche, c’est que, puisque tout doit se faire en temps réel en matière de détection des transactions, il faut repérer les fraudes rapidement. Sinon, on ne peut plus les détecter. Cette tendance se maintiendra à mesure que nous passerons à des paiements plus rapides et à d’autres méthodes axées sur la rapidité. On est donc limité aux données du système en temps réel pour prendre cette décision. Par contre, hors ligne, on peut rassembler beaucoup plus d’éléments de données qui proviennent notamment des bases de données sur la cybersécurité ou la lutte contre le blanchiment d’argent, ou des plateformes de gestion de patrimoine, pour avoir une bonne idée de l’identité d’un client et de ses comportements particuliers.

On peut ensuite élaborer un modèle pour évaluer le risque que ce client devienne victime d’une fraude ou d’une escroquerie, ou qu’il soit lui-même l’acteur malintentionné. Si on peut déterminer qui est susceptible d’être victime de fraude, il n’est plus nécessaire d’attendre qu’une fraude survienne. On peut prendre des mesures. Donc, si on soupçonne une tentative d’escroquerie, on peut communiquer avec la personne de façon proactive et l’informer, ou lui montrer d’autres signes avant-coureurs, ou, au moment où elle s’apprête à effectuer une transaction, afficher un message contextuel. Si je pense qu’elle peut être malintentionnée, je peux peut-être lui enlever des capacités ou restreindre les actions qu’elle peut faire. Il y a différentes mesures qu’on peut prendre qui ne consistent pas uniquement à bloquer une transaction et à la refuser. Appeler le client et lui demander : « C’était vous? ». Oui ou non? Je pense donc qu’en visant directement le client, on peut corriger un grand nombre des failles dont nous avons déjà parlé aujourd’hui, mais aussi adopter une approche préventive, régler le problème avant qu’il n’arrive comme vous l’avez dit. Je pense donc que c’est l’objectif ultime. Nous travaillons activement à mettre en place cette approche. Je n’ai pas encore de statistiques sur l’efficacité de ce système. Peut-être l’an prochain. Pour l’instant, l’objectif est simplement d’essayer d’adopter une approche préventive.

Jas Anand : 
Fantastique. Nous avons donc entendu parler un peu de quelques défis et failles que nos experts ont au sein de leurs propres équipes. Nous avons brièvement abordé certains défis et certaines failles, ainsi que la nécessité de rassembler les équipes chargées de la lutte contre la criminalité financière. Nous avons aussi vu l’ensemble du cycle de vie pour comprendre les clients et le cycle de vie, du début à la fin. Ce ne sont que trois aspects dont nous avons parlé très rapidement. Si on continue sur cette lancée, c’est certain qu’on aurait plusieurs autres aspects à examiner. Revenons à cette idée de partage de renseignements. Je sais qu’il y a une collaboration avec la coalition canadienne contre la fraude afin de mettre sur pied un modèle de classification et de partager certains renseignements. Pouvez-vous nous fournir des renseignements à ce sujet ou sur votre participation?

Aaron McAllister : 
On collabore avec la coalition canadienne contre la fraude dans le cadre de diverses initiatives, comme la sensibilisation des clients. Vous avez parlé de taxonomie entourant les escroqueries et la fraude. C’est important. C’est important pour plusieurs raisons. Tout d’abord, dans le cadre du budget fédéral de 2025, nous devons signaler les fraudes à l’Agence de la consommation en matière financière du Canada. Il faut donc s’assurer de comparer ce qui est comparable et aussi d’utiliser une taxonomie appropriée pour examiner les modèles. Il y a des différences entre l’entraînement d’un modèle pour les prises de contrôle de comptes et d’un modèle pour les arnaques, et ce, même en fonction des sous-types. Il est donc important que nous ayons une bonne compréhension et les bons marqueurs au sein de nos propres institutions et que nous puissions, dans la mesure du possible, transmettre ces informations aux organisations et fournisseurs de plateformes. Cela nous aide dans nos échanges et nos analyses comparatives entre les secteurs. C’est en grande partie ce sur quoi repose la coalition canadienne contre la fraude, c’est-à-dire qu’il ne peut pas s’agir d’une seule organisation. Il ne peut pas s’agir seulement des banques. Il faut inclure d’autres secteurs où la fraude et les escroqueries sont fréquentes. Sans oublier les appels ou les messages non sollicités, les réseaux de publicité numérique, les médias sociaux. Il faut s’assurer de communiquer avec les gens de ces secteurs pour parler de la fraude, des observations et du partage d’informations.

Geoff Morton : 
J’aimerais ajouter quelque chose. Je pense que le partage des données est la solution. Le défi, c’est que nous devons travailler avec plusieurs secteurs. Les initiatives récentes dans ce domaine ont montré qu’il peut y avoir une volonté d’agir. Mais quels renseignements faudrait-il transmettre? Selon moi, une partie du problème est que nous avons tous des fournisseurs de données tiers pour des informations, comme les identifiants d’appareils.

Je pense qu’il est utile de partager les informations négatives, n’est-ce pas? Comme j’ai vu une fraude dans ce compte. Vous devriez savoir qu’il y a eu une fraude. C’est bien, mais c’est très réactif. Nous devons aussi trouver comment partager des renseignements exploitables. Il ne s’agit pas seulement de partager les informations négatives, mais aussi de partager les renseignements en temps réel. Comment passer d’un réseau à l’autre? Il faut aussi trouver les éléments de données qui sont communs à toutes les industries. Pour une personne, un identifiant d’appareil peut être personnel. Il n’a aucune signification pour vous, mais un numéro de téléphone est un numéro de téléphone, une adresse est une adresse et un compte est un compte. Alors, comment pouvons-nous trouver ces éléments de données que nous pouvons partager dans l’ensemble de l’industrie? Selon moi, il ne sera pas question d’une solution universelle. Par exemple, une boîte de partage de données dans laquelle on met tout. Il y aura sûrement une série de solutions différentes en fonction des données individuelles à partager. Parce que beaucoup de ces agrégateurs ou tiers ont une expertise dans un domaine particulier. Je pense donc qu’il ne suffit pas de tout regrouper dans une boîte et de dire qu’on partage des données. Nous devons nous assurer que ce partage est intentionnel et qu’il vise un objectif précis afin de pouvoir améliorer nos modèles, nos capacités de détection et nos capacités de prévention.

Elizabeth Tripp : 
J’aimerais ajouter que je suis une grande admiratrice de la coalition canadienne contre la fraude. C’est formidable qu’elle réunisse toutes ces industries différentes pour mener des conversations et que l’accent soit principalement mis sur les clients. Après tout, ce sont les clients qui sont sur le clavier ou qui décrochent le téléphone et qui se font avoir par ces arnaques. Nous devons pouvoir tirer parti de cette puissance collective avec l’ensemble du secteur et faire en sorte d’être unis dans cette mission de sensibilisation aux arnaques. On met constamment l’accent sur l’utilisation du slogan « Arrêtez. Vérifiez. Parlez-en » parce qu’on veut s’assurer que le message est cohérent. Peu importe qu’il s’agisse de la CIBC, de la RBC ou de la Banque Scotia, on utilise tous le même langage. Donc, peu importe où va le client, il va retrouver le même langage.

J’espère que ce langage sera suffisamment convaincant pour qu’au moment où il s’apprêtera à cliquer sur un lien ou à décrocher le téléphone et à divulguer certaines informations, il pense à ces mises en garde. Ce message, qu’il provienne de la coalition canadienne contre la fraude ou de son institution financière, lui reviendra peut-être à l’esprit et le fera réfléchir avant d’agir. Alors, je pense que c’est très important d’être en mesure de transmettre ce message, surtout pour un secteur aussi gigantesque.

Jas Anand : 
Oui. C’est fantastique. D’après vos propos, nous avons absolument besoin d’une taxonomie. Nous devons tous utiliser le même langage. Nous voyons certainement l’intérêt de l’échange de données négatives pour être en mesure de créer des modèles supervisés pour mettre fin à certaines de ces arnaques. Mais ce n’est pas suffisant. Ce n’est qu’un début. Nous voulons en arriver à un point où nous pouvons échanger des renseignements, bien qu’on ignore la forme que prendra ce partage, qu’il s’agisse de numéros de téléphone, de transactions ou d’endroits où les fraudes se produisent. Le simple partage de données négatives et la création de modèles ne semblent pas suffisants. Nous devons obtenir des renseignements exploitables sur le risque. Ces renseignements ne peuvent pas seulement provenir du milieu bancaire. Nous avons besoin de ce soutien intersectoriel. Voilà, c’était notre premier sujet, les failles.

Passons au prochain sujet, dont nous avons beaucoup entendu parler. Dans le contexte actuel, il s’agit vraiment d’envisager la suite. J’aimerais examiner la question sous deux angles. Du point de vue de la fraude, quels seront les prochains enjeux? Ces enjeux offrent-ils aussi des possibilités de protection? Nous avons compris que l’IA agentique est proche, mais si ce n’est pas encore au point. Vous le savez, il s’agit de machines et de robots qui font des achats et qui prennent des décisions pour les humains. Nous avons dit que l’un des contrôles les plus rigoureux consiste à vérifier si c’est vraiment la bonne personne qui effectue la transaction. Certaines mesures de contrôle tentent de repérer ce type d’activité quand ce n’est pas la bonne personne qui effectue la transaction, mais plutôt un robot, afin d’essayer de l’arrêter. Commençons avec vous, Geoff. Que pensez-vous de l’IA agentique? Voyez-vous des avantages à disposer de ce genre de données et d’informations du point de vue de la détection de la fraude?

Geoff Morton : 
Oui. Je vais commencer par dire que je ne suis absolument pas un expert du commerce agentique. J’ai beaucoup à apprendre, comme bien des gens dans cette salle, j’en suis sûr. Une partie du défi est que nous ne savons pas nécessairement à quoi ça va ressembler. Je pense qu’il y a des signes avant-coureurs et nous avons vu des annonces intéressantes récemment. En tant que consommateur, je suis très enthousiaste. Je vais certainement adopter le commerce agentique. J’adore ce concept. Du point de vue de la fraude cependant, c’est effrayant parce que je pense que ce phénomène peut se manifester de façons différentes. Il peut y avoir le bon agent, mais celui-ci a une carte de crédit volée. C’est une forme de fraude. Il peut aussi y avoir un agent malhonnête ou un mauvais agent qui utilise des identifiants légitimes d’une façon non conforme à l’usage prévu. D’un autre côté, il y a aussi de bons agents qui négocient potentiellement avec de nombreux autres agents de commerçant. Il y a aussi un autre aspect : un mauvais agent du côté du commerçant qui ne fait que proposer des prix inférieurs à ceux de tout le monde et qui n’a pas vraiment de produit à vendre. Ils se contentent de collecter des informations pour récupérer les identifiants ou même effectuer la transaction.

Les répercussions sont certainement énormes dans le monde de la résolution des différends. Alors, comment peut-on vérifier l’intention? Ce sera une toute nouvelle façon de parler aux clients : « Avez-vous fait cet achat? ». Oui ou non? L’avez-vous autorisé? J’ai entendu un excellent exemple lors d’une conférence à laquelle j’ai assisté : des chaussures Nike de taille 10 ou 10 paires de chaussures Nike? Il y aura toutes sortes d’interprétations erronées. C’est donc très intéressant de ce point de vue. Selon moi, c’est aussi une excellente occasion pour nous de comprendre comment accepter le comportement de manière appropriée. J’en ai parlé dans une conférence hier, mais si vous dites simplement non, je ne veux pas faire affaire avec des agents, les commerçants vont contourner le problème et trouver des façons différentes de réaliser les transactions malgré tout.

Je pense donc que la meilleure façon de procéder consiste à tracer la voie que les agents devront suivre. Si on leur donne un chemin à suivre, non seulement le processus gagne en efficacité, mais on peut aussi définir ce chemin. Si certains agents s’écartent de ce chemin, on peut gérer la situation différemment. À mon sens, c’est là tout le défi actuel : savoir quand ces robots font leur apparition. Aujourd’hui, on part en quelque sorte du principe qu’un robot est malintentionné. C’est peut-être le cas pour la plupart d’entre eux, mais, dans quelques mois ou quelques années, ce ne sera plus le cas. Il y aura de bons et de mauvais robots. Dans cette optique, comment peut-on dire si un robot est bon ou mauvais? Il faut avoir les points de données pour pouvoir dire qu’il s’agit d’un agent. C’est l’agent de Geoff, et c’est l’agent Gemini de Geoff.

Comment peut-on gérer cette situation du point de vue des politiques, du modèle, de l’utilisateur? Quelles authentification ou autorisation avez-vous? Donc, si on peut suivre un parcours précis, les exceptions deviennent plus faciles à gérer, car ce sont justement celles qui ne respectent pas les règles. On peut alors avoir des plans de traitement différents et, s’il s’agit vraiment d’un bon agent, il doit retourner dans le bon chemin. S’il ne suit pas la bonne voie, il ne peut pas faire telle ou telle action. Je pense donc qu’il s’agit d’une excellente occasion de réfléchir dès le départ aux mesures de contrôle de la fraude nécessaires pour nous, pour les commerçants et pour tous les acteurs de l’écosystème, afin de gérer correctement ce problème.

Mais la réponse n’est pas d’ignorer le problème. Nous savons que cette technologie s’en vient. Nous avons une bonne idée de la forme qu’elle prendra. Alors, comment ces conversations actuelles peuvent-elles devancer ce problème à venir?

Aaron McAllister : 
Je pourrais peut-être ajouter quelque chose à ce sujet. Je pense qu’il y a des points clés dont nous discutons à l’interne, comme l’autorisation, l’authentification et la validation de l’objectif. Nos plateformes de services bancaires aux entreprises comptent toutes plusieurs utilisateurs. Pensons au concept d’un super utilisateur qui peut déléguer des pouvoirs et effectuer une double validation. On retrouve donc ici les concepts d’autorisation, d’authentification et qui est autorisé à faire quoi ou la vérification de l’objectif. Comment pouvons-nous nous assurer que, tant pour le système bancaire ouvert que pour les services bancaires axés sur les consommateurs et le commerce agentique, nous mettons en place les bonnes mesures de contrôle qui permettent aux utilisateurs légitimes de prendre ces décisions dans le cadre des services bancaires personnels? Donc, pour l’autorisation, même s’il s’agit d’un comptable, hors du cadre du système bancaire ouvert ou des agents, les utilisateurs veulent que l’autorisation soit accordée en lecture seule pour un seul compte et non pour tous leurs comptes. Comment mettre un tel système en place? Ils ont peut-être un mot de passe et utilisent l’authentification multifactorielle. Dans le cas du système bancaire ouvert, comment peut-on autoriser cet accès pour un tiers? Ou dans le cas d’un agent, comment peut-on s’assurer qu’il s’agit bien de l’agent de Geoff et lui permettre de faire telle ou telle transaction? Cet agent a donc un accès selon les contraintes définies. Ce sont des conversations que nous avons maintenant au sujet du système bancaire ouvert ou des services bancaires axés sur le consommateur et le commerce agentique.

Il existe de bons modèles aussi. Comme Geoff, j’apprends aussi beaucoup de choses tout au long du parcours. Bien sûr, on ne règle rien et on ne sait pas à quoi ressemble la situation idéale. Toutefois, nous étudions d’autres modèles, notamment le protocole sur commerce agentique de Google auquel participent les grands réseaux de paiement. American Express a lancé une garantie en ce qui concerne le commerce agentique, à condition que les agents suivent la voie désignée. Ce sont aussi des sujets dont nous parlons.

Elizabeth Tripp : 
Je suis moi-même nouvelle dans le domaine de l’IA agentique et j’en apprends encore beaucoup à ce sujet. Je pense qu’un autre aspect intéressant réside dans la manière dont on peut exploiter cette technologie d’un point de vue opérationnel. Par exemple, l’IA agentique pourrait être en mesure de repérer des scénarios, comme certains types d’escroquerie, dans le cadre d’une séance de clavardage ou être en mesure de déterminer si un client est victime d’une arnaque, comme une escroquerie amoureuse ou une escroquerie liée à des investissements. Une situation qui nécessite une conversation approfondie. Pourrait-on utiliser l’IA agentique pour cerner ce type de scénario et sortir le client de cette situation? Serait-il possible ensuite de le transférer à quelqu’un qui pourrait avoir une conversation approfondie avec lui au sujet de sa situation actuelle? Ce matin, Ryan Powell a parlé un peu de dissiper l’illusion. C’est la raison d’être de cette équipe. Nous connaissons les indices ou les signes qui peuvent laisser penser qu’un client est impliqué dans ce genre de situation. Ces signes apparaissent souvent très tôt. Si l’on disposait d’un outil permettant de repérer ces indices et ces signes, on pourrait mettre en place un système pour orienter ce client vers une équipe spécialisée, capable d’avoir cette conversation avec lui, pour essayer de le sortir de cette situation et de dissiper l’illusion. Donc, juste un autre cas d’utilisation différent pour l’IA agentique.

Jas Anand : 
Excellent. Merci, tout le monde. La deuxième partie d’envisager la suite. Nous avons parlé des criminels qui utilisent l’intelligence artificielle pour l’hypertrucage et pour atteindre tous les canaux et tous les produits. Vous pouvez créer des chèques maintenant. Vous pouvez créer des tiers réalistes, vous pouvez copier la voix des gens. Les arnaques visant les grands-parents prennent donc une nouvelle forme : la voix de l’enfant qui demande de l’aide en prison, peut-être avec une photo qui montre l’enfant dans une cellule avec des personnes à l’air louche. Vous pouvez acheter des trousses qui vous permettent de générer une identité vidéo complète pour contourner la vérification. Ces outils sont maintenant omniprésents. Il n’est pas nécessaire d’être un génie du crime pour réussir ces arnaques. Il y a des vidéos TikTok et d’autres vidéos qui vous expliquent comment procéder étape par étape. Il existe même des services de fraude pour les gens qui veulent commencer à commettre ce genre d’actes. C’est très déprimant et la situation ne semble pas s’améliorer. Vous vivez cette réalité au quotidien : quelles sont vos observations en matière d’hypertrucage? Qu’est-ce qui vous préoccupe vraiment et que faites-vous pour essayer de régler certains de ces problèmes? Je vais commencer par Elizabeth.

Elizabeth Tripp : 
Oui. Ce qui m’empêche de dormir, c’est l’IA, l’hypertrucage et la façon dont les fraudeurs exploitent ces technologies. Le réalisme, l’évolutivité, la capacité de contourner une sorte de surveillance traditionnelle de la fraude. Tout cela est bien réel. Dans bien des cas, nous ne sommes pas en mesure de détecter ce qui se passe. On peut voir les conséquences chez des victimes qui ne se doutent de rien et qui se font piéger par des vidéos de célébrités ou de politiciens qui font la promotion des cryptomonnaies ou diffusent de fausses informations. Les fraudeurs profitent en quelque sorte du contexte actuel et du sentiment d’urgence, voire de panique. L’hypertrucage et l’IA sont conçus pour ces techniques. Comme vous l’avez mentionné, ces technologies sont de plus en plus accessibles. Je ne me souviens pas où j’en ai entendu parler, mais des fraudeurs offrent même ces trousses à bas prix. Par exemple, lors du Vendredi fou, à 50 % de rabais. Si vous voulez une trousse de fraude, c’est facile à acheter. C’est aussi facile à utiliser, comme vous l’avez dit, vous n’avez pas besoin d’être un pro. N’importe qui peut le faire. Les vidéos sont là. Les marches à suivre sont là. Les fraudeurs créent des campagnes d’hameçonnage très convincing, des sites malveillants que les gens visitent et où ils finissent par fournir par inadvertance leurs identifiants pour ouvrir une session.

L’époque où l’on pouvait voir qu’il s’agissait d’un courriel d’hameçonnage en raison des fautes d’orthographe et de grammaire est révolue. C’est l’IA contre l’IA maintenant. Il faut donc pouvoir tirer parti de la technologie à notre avantage pour être en mesure de détecter les fraudes lorsqu’elles se produisent. C’est certainement ce qui explique beaucoup de comportements intéressants chez les clients. La capacité de détecter ces types de menaces exige un investissement continu et plusieurs formations des employés. On peut en apprendre beaucoup grâce aux conversations que les employés ont avec les clients pour savoir s’ils se sont fait piéger. La formation des employés, la sensibilisation et la technologie sont donc les éléments sur lesquels nous devons miser pour essayer de garder une longueur d’avance.

Geoff Morton : 
Je pense que la sophistication des outils qu’ils utilisent est époustouflante. Plusieurs personnes dans cette salle ont assisté récemment à une autre conférence au sujet de l’hypertrucage. On y montrait un outil qui pouvait, à partir d’une simple photo d’une femme, créer un passeport australien qui semblait parfaitement légitime. On y a vu une vidéo générée qui montrait la femme tournant sa tête d’un côté et de l’autre pour passer la vérification de l’identité par égoportrait. La présentation montrait aussi comment l’image de la vidéo a été utilisée pour passer toutes les vérifications de l’identité d’une plateforme de cryptomonnaie particulière.

Les techniques ne font que s’améliorer. Je pense qu’un des défis qui se présente quand on essaie de détecter ces événements est que nous sommes toujours en retard. Nous devons continuer. Nous devons suivre le rythme. Nous ne devons pas continuer à prendre les solutions les plus faciles. Nous devons également reconnaître que nous ne parviendrons jamais à les devancer, tout simplement parce que c’est impossible. Ils ont des budgets plus importants. Ils ont moins de réglementation à respecter. Ils auront toujours plus d’outils et de meilleures technologies que nous. Pour nous, je pense qu’il est vraiment important de revenir aux exigences de base. Le fraudeur a peut-être réussi l’intégration, mais il ne devrait pas avoir accès à tout. Je peux déterminer ma stratégie pour gérer les nouveaux comptes. Comment peut-on limiter le montant d’argent qu’une personne peut avoir si nous ne sommes certains qu’elle est bien celle qu’elle prétend être? C’est peut-être là qu’il faut intervenir dans l’expérience client jusqu’à ce qu’on puisse valider l’identité d’une autre façon.

Ce serait plus simple s’il y avait un organisme gouvernemental qui pouvait valider les identités pour nous et dire, oui, c’est un permis de conduire légitime. C’est toutefois trop difficile et nous devons trouver nous-mêmes une solution. À mon avis, cette prise de conscience nous pousse en quelque sorte, non pas à accepter la défaite dans certains cas, mais à savoir que nous serons toujours un peu en retard. Quelle est donc cette couche supplémentaire? Comment pouvons-nous limiter les répercussions? Comment confirmer l’identifier d’une personne une fois qu’elle est entrée dans le système? C’est l’autre aspect de la question : on constate souvent qu’ils agissent en réseau ou en cercles. Ils utilisent peut-être le même appareil utilisé pour ouvrir plusieurs comptes différents ou le même nom. C’est l’aspect du partage de données dont nous parlons tous : des comptes récemment ouverts dans de nombreuses banques différentes. Comment faire cette analyse de réseau dans le cadre d’une analyse graphique pour trouver ces cercles et les démanteler? Il existe donc de nombreuses mesures que nous pouvons prendre, au-delà de la simple décision prise lors de l’ouverture d’un compte, pour limiter les dommages ou repérer de manière proactive d’autres comptes. C’est un contexte très difficile en ce moment.

Aaron McAllister : 
C’est intéressant, puisqu’on constate une convergence dans l’écosystème des fournisseurs qui nous fournissent des services. Dans certains cas, il se peut qu’un fournisseur se soit contenté de recueillir des renseignements sur les appareils. D’autres se lancent dans la biométrie comportementale et font exactement la même chose. On observe aussi une convergence dans l’écosystème des services de cybercriminalité. C’est tout de même fascinant. Il est intéressant de voir à quel point les criminels qui travaillent dans ce domaine sont novateurs et s’adaptent. En 2024, LabHost, une plateforme de services d’hameçonnage, a été démantelée grâce aux efforts d’organismes internationaux d’application de la loi. Trente jours plus tard, le site Shib.io, le nouveau successeur, a fait son apparition. Depuis le lancement du site, des modèles d’IA ont été intégrés. Il est maintenant possible de générer un site d’hameçonnage à partir d’une requête. Depuis quelque temps, on observe une évolution dans ce domaine. Au lieu d’utiliser simplement la plateforme pour créer des sites d’hameçonnage et d’utiliser un autre robot Telegram pour les mots de passe à usage unique dans le cadre de l’authentification multifactorielle, on nous propose des services pour ça aussi. Il est donc possible de combiner toutes ces technologies. C’est un guichet unique pour les sites d’hameçonnage. Si les fraudeurs ont besoin du mot de passe à usage unique de leur victime, ils peuvent également utiliser ce service. Je vois un avenir où cette évolution se poursuivra. Par exemple, la synthèse vocale qui sera nécessaire aux efforts de piratage psychologique. Cette technologie semble complexe et est complexe, mais les obstacles qui empêchent les fraudeurs expérimentés d’aller plus loin sont de moins en moins importants.

Jas Anand : 
Oui. Selon moi, ce qui est vraiment intéressant, c’est qu’ils partagent vraiment bien les données. Ils ont tous les mots de passe issus de toutes les fuites de données et se sont emparés de toutes les informations compromises disponibles. Ces données sont incluses dans ces trousses qu’on peut acheter. Je n’avais jamais pensé à ces pratiques comme une forme de convergence pour les fraudeurs. Je comprends maintenant ce que vous voulez dire.

Alors, nous avons parlé de l’hypertrucage. Logiquement, les fraudeurs vont utiliser cette technologie pour attaquer les institutions financières. Avec le temps, nous en saurons suffisamment pour y mettre un terme. Mais ces mêmes techniques seront simplement utilisées contre les humains. Ils vont viser nos clients. C’est un sujet plus vaste lié aux arnaques. Les paiements autorisés. Les fraudeurs utilisent ces techniques, comme l’hypertrucage, pour leurrer nos clients. Ce n’est pas seulement l’hypertrucage qui est en jeu. En fait, j’ai entendu des exemples de fraudeurs qui se rendent directement chez les victimes et disent qu’ils représentent la banque. Ces fraudeurs disent aux victimes de ne pas écouter la banque si celle-ci les appelle. Ils montrent un t-shirt portant le logo de la banque pour convaincre leurs victimes. Les gens ne se font pas avoir uniquement par l’hypertrucage. Ce pourrait s’agir d’un simple appel téléphonique. Il pourrait s’agir d’un courriel.

Maintenant nous commençons à réfléchir à nos victimes. Les fraudeurs contournent nos mesures de contrôle et nos systèmes d’authentification, même s’ils sont très efficaces. Comment pourrions-nous lutter contre ce phénomène et protéger les victimes contre les escroqueries au Canada? Je vais commencer par Aaron.

Aaron McAllister : 
Nous devons nous assurer de nous adapter rapidement aux menaces. Tout d’abord, je crois que nous essayons de mettre en place des contrôles technologiques partout où nous le pouvons pour aider à informer les consommateurs afin qu’ils puissent prendre la bonne décision. Si on leur donne plus d’information, ils feront de meilleurs choix. Prenons l’exemple que vous avez présenté, où une personne prétend représenter la banque. Nous avons constaté des cas d’escroquerie dans lesquels des criminels se font passer pour des représentants de la banque et profitent de la fonctionnalité de prise de rendez-vous en ligne. Comme vous l’avez dit, ils prétendent qu’ils viennent de la banque. Ils disent qu’ils sont là pour récupérer votre carte bancaire. Ils vous demandent ensuite d’entrer votre NIP. Ils renforcent ensuite leur crédibilité de différentes façons. Par exemple, ils peuvent vous demander de vérifier vos courriels, à l’adresse que vous venez de fournir ou celle trouvée sur Internet, pour voir qu’un rendez-vous a bien été pris à votre succursale locale pour récupérer une nouvelle carte. Le courriel provient de la banque, alors vous vous dites que c’est légitime.

Nous avons donc dû nous adapter. Il y a maintenant un message dans tous les courriels pour dire que si vous prenez rendez-vous avec la Banque Scotia, la banque n’enverra jamais quelqu’un chez vous pour ramasser votre carte. Voici comment ce rendez-vous a été pris. Voici les signaux d’alarme à surveiller. Il faut donc veiller à ce que des contrôles techniques soient en place, mais aussi de faire savoir à nos clients ce que nous faisons et ce que nous ne faisons pas. Il faut aussi réagir rapidement lorsque nous voyons des signaux d’alarme, c’est certain.

Geoff Morton : 
Oui. Je pense que la sensibilisation joue toujours un rôle clé dans la prévention de la fraude. Je parle du slogan « Arrêtez. Vérifiez. Parlez-en ». C’est une excellente campagne de sensibilisation. Un super slogan. On devrait le crier partout. C’est au moment crucial, lorsqu’ils sont sur le point de se faire escroquer et de conclure une transaction, qu’on voit vraiment l’importance de la sensibilisation. Il s’agit donc d’être en mesure de détecter ce qui se passe. Il peut s’agir de nouveaux signaux ou des signaux connus, mais utilisés différemment. On ne peut plus simplement détecter une opération douteuse et appeler un client pour lui demander s’il est à l’origine de la transaction. Parce que la réponse est oui. Il y a l’équipe chargée de dissiper l’illusion. C’est incroyable d’avoir une équipe de gens dévoués qui ont ces conversations. Mais encore une fois, nous avons attendu que la fraude se produise. On tente donc de résoudre un incident qui s’est déjà produit, ce qui rejoint mon premier point concernant la difficulté de prédire ce qui va se passer.

C’est pourquoi nous essayons de donner plus d’informations pour le moment crucial. Si une personne est sur le point d’effectuer une transaction et qu’elle dispose de suffisamment d’informations pour savoir que c’est un comportement inhabituel et pour entrevoir la suite, elle a une certaine indication. On pourrait peut-être vous faire prendre conscience que vous êtes en train de tomber dans le piège d’une arnaque liée à des investissements en cryptomonnaie. En fournissant immédiatement des informations précises sur ce type d’arnaques et en aidant à repérer les signaux d’alerte, on a plus de chance d’être efficaces que si on se contente du discours général, comme « ne cliquez pas sur les liens » ou « nous ne vous demanderons jamais de mot de passe à usage unique ».

Ces renseignements sont pertinents et tout le monde doit les connaître, mais il est facile de les oublier quand on est stressé. Vous avez aussi mentionné quelques-unes de ces arnaques en personne. J’ai moi aussi récemment remarqué que certaines de ces escroqueries dans lesquelles des criminels se font passer pour d’autres intégraient désormais un volet en personne. Cette pratique est vraiment inquiétante, car elle rend la manœuvre encore plus convaincante pour les clients. Il y a aussi un côté menaçant un peu plus menaçant. Je pense donc que c’est un autre élément dont nous devons tenir compte dans ces conversations. Les escroqueries vont tout de même au-delà de la simple responsabilité d’une banque d’informer ses clients. Ces interactions peuvent se produire par téléphone, par courriel, par message texte, sur les médias sociaux et j’en passe. Tout le monde a donc un rôle à jouer pour déterminer comment mieux informer les clients, présenter le contexte de façon proactive et, en fin de compte, essayer d’éviter que ces événements se produisent en premier lieu.

Elizabeth Tripp : 
En effet, je suis d’accord. On a beaucoup plus recours à ce genre de messages au moment crucial. Par exemple, lorsque vous effectuez certaines transactions ou ajoutez un nouveau bénéficiaire, un message s’affiche pour vous demander si vous avez effectué toutes les vérifications nécessaires. Toutes ces étapes visent simplement à inciter la personne à s’assurer qu’elle a bien effectué les vérifications avant d’ajouter ce bénéficiaire et de lui envoyer un virement électronique.

Un cas intéressant s’est présenté dans le cadre d’une intervention de l’équipe chargée de dissiper l’illusion. Lorsque l’équipe a finalement réussi à briser l’illusion du client, celui-ci a transmis un courriel qu’il avait reçu de l’auteur de la menace. Le courriel décrivait mot à mot ce que la banque allait lui demander en succursale pour effectuer la transaction. Il y avait un scénario avec des réponses des questions pour la conversation anticipée avec la banque. La banque fait telle action parce qu’elle ne veut pas que vous retiriez votre argent. Elle veut que vous gardiez votre argent dans votre compte. Mais j’ai cet excellent investissement. Donc, ne laissez pas la banque vous convaincre de ne pas faire cette transaction. Le fraudeur a indiqué mot à mot ce que la victime devait répondre quand nous lui posons des questions pour essayer de déterminer si elle était tombée dans le piège d’une escroquerie. Les fraudeurs sont familiers du système et sont assez audacieux pour envoyer un courriel avec ces directives ou pour se présenter chez quelqu’un. Ils sont très audacieux. Auparavant, c’était une pratique anonyme. Ils ne voulaient pas se montrer ou risquer de se faire prendre par une caméra ou quoi que ce soit du genre. Mais ils font preuve d’audace. Ils envoient des courriels, ils décrivent exactement ce qu’ils veulent que les gens disent et fassent. Ils se présentent chez les gens pour récupérer des cartes. C’est intéressant. C’est très intéressant.

Geoff Morton : 
J’aimerais peut-être ajouter un autre point, car je sais qu’il y a beaucoup de personnes ici qui ne travaillent pas dans le domaine de la fraude. On parle beaucoup d’expériences de paiement conviviales et de la façon de simplifier et d’accélérer les procédures. Si les gens n’ont qu’un seul bouton à cliquer pour acheter, il n’y a pas d’intermédiaires. Dans ce cas, ce dont on parle n’est pas possible. Il y a moins d’occasions d’intervenir dans un paiement. Il y a moins d’occasions de cerner les signaux pour déterminer qu’il s’agit d’un comportement inhabituel. Une grande partie de ce sur quoi nous comptons aujourd’hui, ce sont les signaux comportementaux concernant la façon dont une personne interagit avec l’appareil. S’il n’y a qu’un seul bouton à cliquer pour acheter et que le processus est trop simple, la fraude devient aussi plus facile. Je pense donc que c’est à ce moment-là qu’il faut discuter avec les partenaires spécialisés dans la lutte contre la fraude. C’est notre point de vue. Nous avons besoin d’avoir la possibilité d’intervenir. Ces problèmes sont certes énormes, mais leur ampleur reste heureusement minime par rapport aux volumes de transactions légitimes. C’est donc de cet équilibre que nous parlons toujours entre l’expérience client, les coûts d’exploitation et les pertes dues à la fraude. C’est un élément essentiel de la conversation sur la fraude. Il faut avoir cette marge de manœuvre pour pouvoir ralentir un peu les choses, parce qu’on ne peut rien arrêter et parler si on n’a pas l’occasion d’intervenir.

Elizabeth Tripp : 
D’accord. Oui. Bien sûr.

Jas Anand : 
Non. C’est fantastique. Bon, nous avons vu que les obstacles sont moins importants et que certains criminels sont expérimentés. L’audace est toujours là. Ils parviennent toujours à trouver un moyen pour commettre des fraudes. Ils utilisent même les escroqueries au faux ordre de virements. Nous mettons en place des procédures pour que les gens effectuent des vérifications au moyen d’un appel sortant. Mais les criminels le savent. Ils utilisent un appel entrant qui semble provenir de la direction financière. Je ne pense pas que les gens sont au courant qu’il y a une différence entre les appels entrants et sortants. C’est facile de se faire passer pour l’un ou l’autre. Je pense donc qu’ils exploitent nos procédures et nous appellent pour obtenir des informations sur nos procédures. Ensuite, le prétendu directeur financier vous appelle pour vous demander de transférer l’argent. Ils vont toujours essayer d’en profiter.

Comme on l’a vu dans les journaux récemment, il y a eu des fraudeurs qui ont utilisé un dispositif pour les envois massifs de messages texte à bord d’un véhicule. Commençons par définir ce qu’est un envoi massif de messages texte. Qu’en avez-vous pensé? C’est la première fois que je voyais un outil de ce genre à Toronto. Je veux seulement connaître votre point de vue à ce propos avant de passer au prochain sujet. Geoff?

Geoff Morton : 
Je vais laisser Aaron vous expliquer cela. C’est lui qui m’en a parlé.

Aaron McAllister : 
Oui. J’espère que c’est un bon exemple de partage de renseignements.

Jas Anand : 
C’est effectivement un partage de renseignements.

Aaron McAllister : 
On constate une augmentation de ce genre de phénomènes depuis la fin du mois de novembre. Quelqu’un l’a mentionné plus tôt dans la journée, comme il en a été question dans les médias. Nous allons tout de même expliquer de quoi il s’agit pour ceux qui n’en auraient pas entendu parler lors d’une séance précédente. Nous partageons cette information avec d’autres institutions financières et des compagnies de télécommunications pour leur faire part de nos nouvelles observations. Voici ce que nous avons observé jusqu’à maintenant. Vous voudrez peut-être aussi y jeter un coup d’œil. Ainsi, nous avons l’occasion de nous tenir au courant de ce qui se passe. Je constate une plus grande volonté dans tous les secteurs de l’industrie de partager ce type d’information. Le partage en différé n’est pas l’objectif. Ce n’est pas la situation visée. Nous avons besoin de davantage de données en temps réel, y compris celles concernant les comptes légitimes qui sont fiables. Afin de pouvoir distinguer les bonnes données des mauvaises.

Revenons à notre sujet. Un dispositif pour les envois massifs de messages texte est un dispositif qui imite une tour de téléphonie cellulaire. Cette technique a déjà été utilisée au Royaume-Uni et ailleurs dans le monde, y compris en Europe, mais jamais au Canada. Dans ce cas, la police de Toronto a confirmé publiquement que le dispositif était dans un véhicule qui circulait. Ce dispositif, qui imite une tour de téléphonie cellulaire, exploite les anciennes technologies de téléphonie mobile, notamment les réseaux 2G. Ces réseaux n’ont pas le même niveau de vérification entre le dispositif, le réseau et la tour. Le dispositif envoyait donc un message qui provenait d’un numéro choisi par les fraudeurs. Ils pouvaient se faire passer pour une banque afin que les gens cliquent sur un lien. Ils pouvaient envoyer n’importe quel message. Les messages étaient envoyés à une zone précise, soit celle où le véhicule circulait. Les clients ont pu être incités à se rendre sur des sites d’hameçonnage.

Kevin a mentionné plus tôt aujourd’hui que les forces de l’ordre ont réagi très rapidement. Il s’est seulement passé quatre mois avant qu’on commence à procéder à des arrestations, c’est très bien. Beaucoup de mesures ont été prises pendant ses quatre mois pour perturber l’activité. Plusieurs institutions financières, compagnies de télécommunication, institutions gouvernementales et organismes d’application de la loi ont déployé des efforts pour y arriver. Je suis tout à fait d’accord avec les propos de Kevin. C’est un exemple de réussite. Nous devons continuer sur cette lancée. C’est aussi un exemple de la manière dont une technologie autrefois réservée au monde de l’espionnage a été utilisée. Son utilisation a été attestée dans des missions d’espionnage menées par le gouvernement. La technologie est maintenant utilisée pour des crimes financiers. Ce ne sera pas la seule fois que les cybercriminels utiliseront des outils plus sophistiqués.

Jas Anand: Oui. Wow. Nous avons donc des exemples de criminels extrêmement audacieux qui se présentent chez les gens et d’autres qui utilisent une technologie archaïque et une vieille infrastructure de télécommunications pour exploiter les failles. Nous avons aussi vu les services de fraude. Ils semblent avoir une longueur d’avance sur nous dans ce domaine. Je pense que les menaces sont réelles. La prochaine partie du sujet porte vraiment sur l’écosystème au Canada. J’ai entendu plusieurs analogies à propos des tentes : on agrandit la tente, on ajoute des poteaux à la tente, on ajoute de nouvelles tentes. L’écosystème prend de l’ampleur et explore de nouveaux horizons, mais nous sommes également confrontés à des menaces. J’aimerais aborder quelques points différents.

Tout d’abord, le système bancaire ouvert est fantastique. Plus de données, un meilleur accès. Bref, davantage de possibilités pour les Canadiens de bénéficier de meilleurs services, et ce, plus rapidement. Quelles sont les répercussions du système bancaire ouvert sur la fraude? Aaron?

Aaron McAllister : 
Oui, il y a des répercussions importantes. Il y a toujours des avantages et des désavantages. Je pense que Geoff en a parlé plus tôt, mais certaines mesures de contrôle sont plus difficiles à appliquer s’il s’agit d’un bon robot ou d’un bon agent qui effectue le processus d’authentification. Nous devons donc nous assurer d’offrir aux clients un moyen simple pour qu’ils puissent utiliser les services et les fonctionnalités qu’ils veulent utiliser. Pour qu’on puisse mieux faire la distinction entre le bon et le mauvais. Je suis tout à fait d’accord avec vos commentaires. Je pense que ce n’est pas nouveau. Il y a un projet de loi récent qui porte sur les services bancaires axés sur les consommateurs et le système bancaire ouvert. Depuis des années, nos institutions financières permettent aux entreprises comme Intuit ou Flinx de partager des informations. L’authentification s’effectue à l’aide des identifiants fournis par les clients. Les gens veulent une fonctionnalité ou un service et, pour eux, il s’agit d’une lacune qui est comblée. Dans ce contexte, comment pouvons-nous nous assurer d’offrir une méthode sûre? Par exemple, comme l’a dit Geoff, si on détecte une utilisation malveillante, on peut remettre le robot ou l’agent sur la bonne voie. Cela va continuer. De nombreux efforts sont déployés dans ce domaine afin de passer de la capture de données d’écran et du partage d’identifiants à une approche sécurisée axée sur les API. Ce sont donc de bonnes nouvelles.

Jas Anand : 
Fantastique. Geoff?

Geoff Morton : 
Je ne pense pas avoir grand-chose à ajouter. Je pense que ce qui est intéressant, c’est que nous continuons à ajouter de la complexité. Comme nous l’avons mentionné, l’une des programmations principales d’aujourd’hui portait sur notre incapacité à démanteler quoi que ce soit dans son entièreté. Nous sommes bons pour ajouter progressivement de nouvelles capacités de paiement. Nous avons beaucoup parlé des cryptomonnaies stables et d’un système bancaire ouvert. En fait, ce que nous avons fait, c’est de nous créer un environnement encore plus complexe. Les sujets deviennent aussi de plus en plus techniques. Nous avons parlé du commerce agentique et personne ne comprend encore vraiment de quoi il s’agit. Nous travaillons dans cet écosystème. Les cryptomonnaies stables. Nous faisions des blagues ce matin lors du déjeuner. On se demandait comment on expliquerait le principe à un enfant. Nous travaillons dans cet écosystème et nous ne comprenons pas encore pleinement cette notion. La technologie en elle-même est peut-être formidable, mais elle offre une nouvelle occasion aux fraudeurs de profiter des personnes qui ne la comprennent pas. Pas vrai? Pensons au système bancaire ouvert. Lorsqu’il sera lancé, il y aura beaucoup d’articles et les clients découvriront ce système. Toutefois, c’est une occasion supplémentaire pour les fraudeurs d’en tirer profit. Ils pourraient dire : « Cliquez sur ce lien, inscrivez-vous au système bancaire ouvert et saisissez vos données d’identification une seule fois. Vous n’aurez plus jamais à le faire. ». Ce sera la même chose avec les cryptomonnaies stables. Ils offriront une façon incroyable d’économiser ou d’investir votre argent. Ils trouveront toutes les occasions possibles. Je pense donc que, même si nous avons confiance en la technologie, nous devons être conscients des risques d’escroquerie, notamment pour nos clients qui ne la comprennent pas aussi bien que nous. Cette situation ne fait qu’élargir la marge de manœuvre des fraudeurs.

Aaron McAllister : 
Est-il possible de ne plus utiliser les chèques?

Elizabeth Tripp : 
Oui, s’il vous plaît.

Geoff Morton : 
Nous n’avons pas le droit.

Elizabeth Tripp : 
Je vote en faveur de cela. Est-il possible de ne plus utiliser les chèques?

Geoff Morton : 
Non, c’est aussi un bon exemple. Je pense que les gens comprennent généralement ce qu’est un chèque. Par contre, nous sommes arrivés à un point où je ne pense pas que la jeune génération comprenne ce que sont les chèques. Il y a donc de nouvelles escroqueries concernant les chèques. Par exemple, un ami à moi m’a raconté que sa fille avait reçu une image d’un chèque dans une application de groupe scolaire. En fin de compte, c’était une escroquerie. Elle a dit que c’était juste une image d’argent qu’elle a mis dans mon compte. Même un concept aussi vieux que les chèques est réutilisé pour créer de nouvelles arnaques, car elles exploitent les lacunes dans les connaissances.

Elizabeth Tripp : 
Oui. Je ne pense pas que ma fille n’ait jamais vu un chèque à part une fois où j’en ai fait un pour elle. Elle l’a regardé et m’a demandé ce que c’était. Elle ne savait pas à quoi le chèque servait.

La seule chose que j’ajouterais, c’est que je pense que c’est là qu’il devient important de tirer parti des partenariats à l’échelle mondiale. On veut apprendre des régions du monde qui ont déjà vécu l’expérience dans le système bancaire ouvert. Ils ont déjà observé les répercussions du point de vue de la fraude. En nous basant sur ces leçons appris, nous pourrons nous poser les bonnes questions. Est-ce que cette situation va se produire ici? Comment pouvons-nous nous préparer à ces arnaques qui finiront par se manifester? Comment pouvons-nous nous y préparer ici? Quels sont les indices de fraude? Quels sont les signaux que nous devons intégrer à notre surveillance pour être en mesure de détecter ces situations?

Je pense que le maintien de ces relations est important. Par exemple, nous avons des contacts réguliers avec beaucoup de banques dans le monde. Même s’il ne s’agit que d’une conversation d’une demi-heure ou de 45 minutes, on peut partager nos observations. Nous avons obtenu tellement d’informations rien qu’en entretenant ces relations. Leur expérience nous a incités à réfléchir à notre préparation et à ce que nous devrions examiner de notre côté pour être en mesure de gérer ces changements, comme la transition vers un système bancaire ouvert.

Jas Anand : 
Non. C’est fantastique. Vous avez tout à fait raison. Les gens l’ont déjà fait. De façon générale, les gens qui travaillent dans le secteur de la fraude aiment ce type de partage. Le partage peut prendre plusieurs formes, comme des conversations, mais il est extrêmement précieux d’apprendre des expériences des autres. Nous avons abordé plusieurs sujets, comme le système bancaire ouvert et l’hypertrucage. Dans cette optique, à quoi ressemblera le parcours d’ouverture de compte pour les nouveaux clients de votre organisation et leur intégration? Où voyez-vous ces mesures de contrôle maintenant? Certains fraudeurs peuvent se présenter comme nouveaux clients en succursale. Ils pourraient même rester inaperçus en utilisant le nouveau compte en bonne et due forme pendant un certain temps. À quoi ressemble l’avenir dans un monde de données ouvertes, de partage de données ouvertes et où les attaques des criminels sont toujours plus sophistiquées? Allons-y avec Geoff.

Geoff Morton : 
Bien sûr. Oui. Nous parlons beaucoup de la fraude comme un domaine dans lequel il n’y a pas de concurrence, mais l’acquisition de clients est très concurrentielle. Je pense qu’il y a beaucoup de pression dans l’industrie au sujet de la croissance. L’un des défis majeurs dans nos discussions avec nos partenaires porte justement sur cet équilibre. C’est bien de pouvoir acquérir un grand nombre de nouveaux comptes, mais, si ce sont seulement de mauvais comptes, on crée un problème ailleurs. Donc, ces derniers temps, on se demande surtout comment rassembler davantage de données de ce type pour prendre une décision globale.

C’est donc un excellent exemple où il n’y a pas de profil de client sur lequel se baser. C’est une personne qui se présente en succursale pour la première fois. On ne peut donc pas consulter son historique pour connaître son comportement habituel. Dans ce cas, les signaux changent un peu. Bon nombre de bons fournisseurs tiers de cet écosystème proposent de nouveaux signaux. C’est là que le comportement joue un rôle vraiment intéressant. Est-ce que la date de naissance semble être copiée-collée? Une personne devrait connaître sa date de naissance. C’est quelque chose qu’on saisit. Donc, la mémoire à long terme et certains aspects intéressants. Est-ce un robot? Il y a de bons signaux. Selon moi, c’est aussi une excellente occasion de profiter de l’échange de données. En effet, nous avons aussi constaté que, si une personne a eu une expérience de fraude dans une autre banque, elle ira dans une autre banque. Elle viendra à ma banque. Si je peux partager ces informations avec l’industrie et demander qui connaît cette personne, cette adresse, ce numéro de téléphone ou ce courriel, je peux utiliser ces renseignements pour m’aider à prendre une meilleure décision lors de l’intégration.

Il est aussi question d’améliorer le parcours des clients en fonction du risque. Aujourd’hui, soumettre chaque personne à un processus rigoureux de vérification de l’identité peut avoir une incidence fortement négative et pousser un client ou un utilisateur à partir. Nous savons que ces processus sont fastidieux pour un client, mais il y a des raisons légitimes pour lesquelles on ne peut tout simplement pas éviter le processus. Ce n’est donc pas un processus qu’on veut imposer à l’ensemble des personnes qui se présentent en succursale. Si on peut toutefois regrouper toutes ces différentes données sur les signaux, on peut définir une population à risque et les classer à part. Cette démarche permet aussi de prendre une décision éclairée et d’ouvrir un compte en sachant que la personne est fiable et légitime. Il n’est donc plus nécessaire de leur accorder un droit d’accès limité et de restreindre leur accès aux fonds. On peut maintenant lui offrir un forfait privilège et l’accueillir d’une façon différente.

C’est là aussi que nous avons constaté un changement dans nos discussions sur le plan commercial. On ne veut pas se contenter de refuser les personnes malintentionnées. On veut surtout indiquer celles en qui on a confiance. On peut donc les traiter différemment, accélérer le processus et leur offrir une proposition de valeur différente. C’est donc un élément essentiel du cycle de vie d’une fraude, parce qu’il est possible d’y mettre fin. Il y a aussi une occasion d’accélérer le processus avec les personnes de confiance. Le problème, cependant, c’est si on prend une décision qui se situe à mi-chemin. Il y a de l’incertitude. On donne un accès. On peut donner un accès limité et restreindre l’accès aux fonds. Mais comment faire le lien entre la décision d’ouvrir un compte et ce qui se passera au cours des 3, 6, 12 ou 24 prochains mois? On sait que beaucoup de ces comptes restent inactifs ou semi-inactifs pendant une longue période. Par exemple, 12 mois plus tard, il y a un dépôt bizarre ou des fonds entrants qui sont suspects. Cette activité n’est peut-être pas suffisante pour changer le niveau de risque. Mais si on peut repenser à la décision d’intégration et se dire qu’il y avait un risque moyen, on peut combiner ces deux éléments et changer le niveau de risque à élevé. On peut traiter la situation différemment. De notre côté, le problème c’est que nous disposons d’une fenêtre temporelle variable, qui dépend de la façon dont nos données actuelles et futures sont regroupées. Donc, le fait de pouvoir relier ces points tout au long du cycle de vie permet de prendre de meilleures décisions, pas seulement au moment de l’intégration, mais lors de chaque transaction future.

Jas Anand : 
Excellent. Quelque chose à ajouter? Elizabeth.

Elizabeth Tripp : 
Oui. C’est certain que de savoir qui se présente en succursale est très important. On peut ainsi déterminer si on les laisse entrer ou non. Je pense aussi qu’il y a une possibilité de ne pas nécessairement offrir tous les produits qui existent simplement parce qu’il s’agit d’un nouveau client. Pendant le processus d’intégration, il est important de déterminer les besoins bancaires du client. Un client qui ne fera jamais de transfert de fonds à l’international n’a pas vraiment besoin de ce type de produit. Peut-être qu’il fera seulement des virements électroniques. Alors, il aurait seulement besoin des services bancaires de base et de la capacité de faire des virements électroniques. S’il a besoin d’un autre produit plus tard, il pourra en faire la demande. C’est donc une question d’atténuer le risque pour le client et aussi pour la banque. On évite ainsi que ce produit ne soit exposé en cas de prise de contrôle de compte. On sait que le client n’utilise pas ce produit, mais les fraudeurs peuvent y voir une occasion.

Si on améliore notre processus d’intégration, on pourra établir un climat de confiance. On pourra déterminer de quoi a vraiment besoin le client, savoir pourquoi il nous a choisis et cerne ses besoins bancaires. Encore une fois, il convient de ne pas proposer tous les produits sans limite. Nous devons procéder de façon intelligente et donner aux clients seulement ce dont ils ont besoin. Une atténuation de l’exposition en quelque sorte.

Jas Anand : 
Nous approchons de la fin.

Je tiens d’abord à vous remercier d’avoir participé à cette table ronde. Cette discussion me donne de l’espoir. On dit souvent que c’est une question de responsabilité et que les banques s’en fichent. Ce que je veux dire, c’est que trois des plus grandes banques nous disent qu’elles se soucient des escroqueries et qu’elles y travaillent activement. Elles travaillent fort pour protéger les victimes sans égard à la responsabilité. Je pense que c’est très encourageant. C’est un peu inquiétant d’entendre parler de tous les défis que vous devez relever dans l’ensemble des produits et des canaux. En plus de ceux liés à la sophistication du crime. Il est aussi important de se rendre compte que la situation est gérée en fonction de l’appétit pour le risque. Vous travaillez donc en fonction de l’appétit pour le risque de vos organisations et vous continuez d’améliorer ces aspects. J’aime les obstacles qui sont bénéfiques. Ajoutons des obstacles et donnons plus d’accès aux gens. C’est fantastique. Nous vivons dans un monde de faux positifs et nous savons que personne ne prend de décision parfaite. C’est fantastique d’arriver à une étape où nous pouvons réunir nos capacités, partager des données et aider les gens à avoir accès à l’argent, aux transferts et aux produits plus rapidement. Sur ce, nous sommes sur le point de conclure. Elizabeth, Geoff, merci beaucoup, vos propos sont très utiles. Je vous remercie d’avoir été si ouvert et si franc et d’avoir partagé vos sentiments avec tout le monde. Je l’apprécie. Merci tout le monde.

Elizabeth (Liz) Dempsey : 
Voilà qui conclut notre épisode de la série d’été du SOMMET.

Un grand merci à nos experts, Elizabeth Tripp, Aaron McAllister et Geoff Morton, et à notre modérateur, Jas Anand. Merci de nous avoir fait part de précieux renseignements sur les complexités de la criminalité financière moderne.

Si vous avez aimé cet épisode et souhaitez entendre d’autres conversations de l’événement de cette année, n’oubliez pas de vous abonner à The PayPod sur vos plateformes de balados favorites.

Je suis votre animatrice, Liz Dempsey.

Merci d’avoir écouté cet épisode.

Nous serons de retour la semaine prochaine avec d’autres des meilleures séances du SOMMET 2026 dans The PayPod!