La banque qui reçoit l'argent paie la moitié

Un achat de 2,4 milliards de dollars fait de frappes qui ne lui appartiennent pas

Andrew Torre, qui dirige les services à valeur ajoutée chez Visa, a donné le chiffre du problème avant celui de l'opération. Les prises de contrôle de comptes et les escroqueries coûtent à l'économie mondiale plus de mille milliards de dollars par an, a-t-il déclaré, et l'intelligence artificielle permet ces attaques à une échelle sans précédent. Le 3 août, Visa a signé un accord définitif portant sur l'acquisition de BioCatch auprès de fonds conseillés par Permira et d'autres actionnaires, pour 2,4 milliards de dollars en numéraire.

BioCatch n'examine pas le paiement mais la personne qui l'ordonne. L'entreprise lit les frappes au clavier, les gestes tactiles, l'angle selon lequel un appareil est tenu et des milliers d'autres signaux applicatifs, comportementaux, matériels et réseau, puis établit en temps réel si l'humain présent dans la session est le titulaire ou quelqu'un qui le téléguide. Ce jugement s'applique à 19 milliards de sessions par mois, 760 millions d'utilisateurs et 1,8 milliard d'appareils, pour plus de 350 clients bancaires dans 21 pays, dont plus de 100 des plus grandes banques du monde. Gadi Mazor, directeur général de BioCatch, a présenté le produit comme une lecture en temps réel de l'intention du client.

Le Royaume-Uni a déjà tranché sur le payeur, et ce n'est pas seulement l'émetteur

L'autorité britannique Payment Systems Regulator a réglé la question de l'argent il y a près de deux ans. Depuis le 7 octobre 2024, un prestataire de services de paiement dont le client a été amené à autoriser un virement vers un escroc doit lui rembourser jusqu'à 85 000 livres, en principe sous cinq jours ouvrés, les réclamations restant recevables treize mois après le dernier paiement autorisé. La règle couvre Faster Payments et CHAPS, et les prestataires peuvent suspendre le délai pour obtenir des informations, mais doivent trancher sous 35 jours ouvrés.

La partie qui retient le moins l'attention est le partage. Le prestataire émetteur rembourse la victime, puis le prestataire récepteur lui restitue la moitié de ce montant dans les cinq jours ouvrés suivant la notification. Les pertes liées à la fraude ont cessé d'être le seul problème de l'émetteur le jour où cette règle est entrée en vigueur. Chaque établissement qui détient un compte sur lequel atterrit le produit d'une escroquerie inscrit désormais une part du remboursement, ce qui fait passer la notation de l'intention d'une finesse de sécurité à une ligne visible dans le coût d'exploitation d'une activité de paiement.

Celui qui écrit les règles et celui qui note deviennent la même entreprise

Visa n'est pas un acheteur ordinaire de logiciels de sécurité. L'entreprise écrit les règles du réseau, répartit la responsabilité entre les parties à une opération et fixe le prix du réseau que ses membres doivent utiliser. Détenir un modèle de référence sur l'intention comportementale signifie que la société qui contribue à définir qui répond d'un paiement contesté fournit également un signal très répandu dont dépend cette responsabilité. Prises séparément, ces deux fonctions sont légitimes. Réunies, elles réduisent le nombre d'endroits où une banque peut demander un second avis indépendant sur ses propres clients.

Le volet Permira explique pourquoi l'actif a atteint ce prix. La société a pris une participation minoritaire dans BioCatch début 2023, est passée au contrôle majoritaire en 2024, et a vu le chiffre d'affaires comme la marge brute être multipliés chacun par environ trois pendant sa détention. Stefan Dziarski, l'associé qui pilote la stratégie Ascent de Permira, a qualifié cette cession de validation d'une approche qui soutient des sociétés de croissance portées par le produit sur le segment intermédiaire. C'est la cinquième sortie stratégique de la maison en 2026, sur douze mois durant lesquels elle a distribué 16,6 milliards de dollars à ses investisseurs. Une activité dont les revenus ont triplé pendant que les régulateurs redistribuaient la responsabilité de la fraude n'a pas grandi par hasard.

Ce qu'une entreprise devrait vraiment faire avant 2027

Rien ne change mardi. La clôture est attendue d'ici la fin du deuxième trimestre fiscal 2027 de Visa et demeure soumise aux autorisations réglementaires habituelles, qui pour une opération de cette taille et avec cet acheteur ne relèvent pas de la formalité. Entre-temps, le risque concret n'est pas le rachat. C'est que la plupart des entreprises ignorent quel modèle juge déjà leurs encaissements, et ne l'apprendront qu'au moment où un paiement sera retenu.

Trois questions méritent d'être adressées par écrit à votre prestataire de paiement ce mois-ci. Demandez si BioCatch fournit une partie quelconque de la notation antifraude ou comportementale appliquée à vos comptes. Demandez quel est le circuit d'escalade lorsqu'un encaissement légitime est retardé pour un signal comportemental, et combien de temps dure un examen. Demandez quel effet les clauses de changement de contrôle de votre contrat produisent lorsqu'un fournisseur est racheté par le réseau de cartes lui-même. Si vous encaissez des paiements clients en volume, une règle qui met la moitié du remboursement à la charge de la banque réceptrice finira par se faire sentir chez les entreprises que cette banque sert.

À lire ensuite: L'ordonnanceur et le compteur n'ont plus qu'un propriétaire  |  Visa a installé la plomberie des stablecoins dans ses murs