Un nouveau système d'Apple détecte les indicateurs de fraude avant les transactions sensibles

SadaNews - Apple travaille à l'ajout d'une nouvelle couche de protection à son système iOS 27, qui ne se contente pas de vérifier l'identité de l'utilisateur, mais tente également d'estimer s'il effectue une action sensible de son plein gré ou sous la pression ou l'orientation d'un fraudeur.

Lors de la conférence mondiale des développeurs WWDC 2026, l'entreprise a présenté un nouveau cadre appelé Trust Insights qui permet aux applications de demander une évaluation comportementale avant d'exécuter certaines opérations, telles que le transfert d'argent, la modification des informations de compte ou l'octroi d'un accès à distance. La technologie se concentre sur les fraudes basées sur l'ingénierie sociale, où l'attaquant persuade la victime de réaliser l'action elle-même, plutôt que de pirater directement l'appareil.

Vérification par visage ou empreinte digitale

Les méthodes de protection traditionnelles réussissent à s'assurer que le titulaire du compte est bien celui qui effectue l'opération, mais elles ne peuvent pas toujours savoir s'il agit librement. Dans certaines fraudes, l'attaquant reste en contact avec la victime par un appel ou une discussion et la guide pas à pas pour envoyer de l'argent ou partager des informations sensibles.

Les motifs visés par la technologie incluent la fraude au support technique, l'usurpation d'identité de banques ou d'organismes gouvernementaux, et les urgences familiales qui reposent sur des demandes financières urgentes, et peuvent utiliser des images ou des voix générées par intelligence artificielle pour augmenter le pouvoir de persuasion.

Apple souligne que l'authentification à plusieurs facteurs ou la vérification biométrique ne préviennent pas ce type de fraude, car c'est l'utilisateur réel qui approuve la transaction. Par conséquent, le nouveau système repose sur le contexte comportemental, et pas seulement sur la preuve d'identité.

Pas un jugement définitif

Les développeurs peuvent intégrer Trust Insights dans leurs applications, puis demander une évaluation lorsque l'utilisateur atteint une étape à risque élevé. Le système renvoie trois résultats possibles, le premier étant « inconnu », ce qui signifie qu'il n'y a pas suffisamment de preuves d'une orientation frauduleuse, mais cela ne signifie pas nécessairement que l'opération est sûre. Le résultat moyen indique qu'il existe certains indicateurs de risque, tandis que le résultat élevé suggère des preuves plus fortes que l'utilisateur pourrait être sous pression ou orientation. L'application décide ensuite comment traiter le résultat. Elle peut afficher un message d'avertissement, demander une vérification supplémentaire, ajouter un délai d'attente ou renvoyer l'opération à une révision humaine. Apple ne recommande pas de bloquer une transaction uniquement sur la base de ce signal, mais de l'intégrer avec d'autres outils de gestion des risques au sein de l'application.

Cinq catégories d'actions

Le cadre divise les opérations pouvant être évaluées en cinq catégories principales, y compris les paiements et transferts d'argent ou d'actifs, la modification des informations de compte ou de sécurité, l'utilisation de ressources coûteuses ou limitées, l'envoi de messages et de formulaires et la signature de documents, ainsi qu'une catégorie générale pour d'autres actions. L'entreprise souligne que le système peut être particulièrement utile lors de l'exécution d'un transfert financier important, de la suppression d'un compte, de l'exportation de données personnelles, de l'ajout d'un nouvel appareil, de l'octroi d'accès à distance ou du partage de mots de passe et de documents sensibles. L'évaluation nécessite une connexion Internet et peut prendre quelques secondes, car le traitement combine les capacités de l'appareil et l'infrastructure cloud d'Apple.

Préserver la vie privée

Apple déclare que Trust Insights analyse les schémas d'interaction, le timing, le contexte et certaines données de capteurs de base, mais ne lit pas le contenu des images, messages ou courriels. Les données dérivées de l'appareil sont traitées localement, puis les entrées sont effacées dès que l'évaluation est terminée. Le seul résultat qui quitte l'appareil représente le niveau de risque. Le système peut combiner cette sortie avec certains signaux du compte Apple ou les taux de fréquence des transactions pour obtenir un contexte supplémentaire. L'utilisateur a également la possibilité de désactiver cette fonctionnalité à partir des paramètres. Une période d'attente peut être appliquée après son arrêt pour réduire la probabilité que le fraudeur demande à la victime de désactiver la protection juste avant d'exécuter la transaction.

Exemple d'intervention

Apple a présenté un exemple d'un utilisateur qui se prépare à envoyer une somme importante à une personne prétendant être un médecin traitant un membre de sa famille. Si le système détecte un niveau moyen de risque d'orientation, l'application bancaire peut afficher un avertissement et ajouter un délai avant d'exécuter le transfert. Ce délai peut donner à l'utilisateur l'occasion de vérifier l'histoire, loin de la pression exercée par le fraudeur. L'application peut également renvoyer l'opération à une révision humaine ou augmenter le niveau de vérification, en fonction de la nature du service et du niveau de risque.

Protection et adoption des applications

La technologie ne signifie pas que chaque appareil iPhone empêchera automatiquement les fraudes dès l'installation de iOS 27. Le cadre est destiné aux développeurs et nécessite d'être ajouté aux applications et d'obtenir les autorisations nécessaires dans Xcode. La réponse variera également d'une application à l'autre, selon les politiques de la banque, de la société de paiement ou du fournisseur de services. La technologie est encore en phase de développement expérimental, ce qui signifie que ses détails peuvent changer avant la version finale. Mais l'idée fondamentale représente un tournant dans la manière de protection, passant de la question : « Est-ce le titulaire du compte ? » à une question plus complexe : « Prend-il cette décision librement, ou l'exécute-t-il sous les directives d'une autre personne ? ».