Comment repérer et stopper la fraude aux paiements avant qu’elle n’affecte votre résultat net

TL;DR : cinq choses que les commerçants doivent savoir sur la fraude aux paiements

• Une entreprise canadienne sur cinq a déclaré avoir subi une fraude aux paiements au cours des six derniers mois, et 15 % ont perdu de l’argent à cause de celle-ci, selon une étude de Paiements Canada sur l’exposition des entreprises à la fraude (Paiements Canada, 2024).
• Aux États-Unis, les consommateurs ont déclaré avoir perdu plus de 12,5 milliards $ à cause de la fraude en 2024, soit une hausse de 25 % par rapport à l’année précédente, selon les données de la FTC sur les pertes liées à la fraude, ce qui montre à quel point l’environnement autour de votre page de paiement est actif (FTC, 2025b).
• Visa recommande des contrôles antifraude en couches et indique que des vérifications de validation comme l’AVS et le CVV2 doivent compléter, et non remplacer, un programme antifraude plus large (Visa, 2024b). Aucun outil unique n’est une solution miracle.
• La fraude par usurpation d’identité était le type de fraude aux paiements le plus souvent signalé par les entreprises canadiennes, et 45 % ont indiqué que l’activité suspecte par courriel avait augmenté par rapport à l’année précédente (Paiements Canada, 2024).
• Les règles du PCI Security Standards Council interdisent de stocker des données d’authentification sensibles après l’autorisation, même si elles sont chiffrées ; la minimisation des données est donc un contrôle antifraude, pas seulement une corvée de conformité (PCI SSC, 2025).

 

Prévention de la fraude aux paiements pour les commerçants aux États-Unis et au Canada

La fraude aux paiements désigne toute tentative non autorisée ou trompeuse de faire circuler de l’argent via votre entreprise, et elle coûte aux commerçants des revenus bien réels longtemps avant que quiconque ne dépose une contestation.

 

Elle se manifeste de plusieurs façons trompeuses :

• Une carte volée utilisée en ligne.
• Une facture fournisseur falsifiée.
• Un bot qui teste discrètement des numéros de carte sur votre page de paiement à 3 h du matin.
• Un chèque de trop-perçu qui est refusé deux semaines après que vous avez viré la différence.

 

La plupart des commerçants avec lesquels nous travaillons au Canada et aux États-Unis ne perdent pas d’argent en ignorant la fraude. Ils en perdent parce que les signaux d’alerte sont répartis sur cinq systèmes et que personne n’a de processus documenté pour les relier. Chez DigitechPaiements, nous aidons les entreprises à combler ces lacunes en mettant en place des cadres robustes qui stoppent les transactions non autorisées avant qu’elles n’affectent les opérations.

 

Ce guide explique à quoi ressemble réellement la fraude aux paiements au quotidien, quels signaux de transaction et de compte méritent d’être examinés, et quels contrôles en couches réduisent l’exposition sans faire fuir les bons clients. Tout ce qui suit s’appuie sur les recommandations des réseaux de cartes, les normes du PCI Security Standards Council et des recherches publiées par les gouvernements et les systèmes de paiement. Pas de taux, pas de discussion sur les frais : uniquement les mécanismes de détection de la fraude, comment prévenir la fraude à la carte de crédit et les stratégies de prévention de la fraude aux paiements que les commerçants peuvent mettre en œuvre ce trimestre.

 

Qu’est-ce que la fraude aux paiements, et pourquoi est-elle différente de ce que les commerçants imaginent ?

La fraude aux paiements consiste à utiliser des identifiants et des instructions de paiement volés, fabriqués ou manipulés pour obtenir des biens, des services ou des fonds auprès d’une entreprise sans autorisation légitime. Cette définition est volontairement large, car les pertes réellement comptabilisées par les commerçants proviennent rarement d’une seule catégorie nette.

 

Les recherches de Paiements Canada sur l’exposition des entreprises à la fraude ont montré que la fraude par usurpation d’identité était le type le plus souvent signalé : une personne contacte une entreprise par courriel, téléphone, SMS ou réseaux sociaux en se faisant passer pour une source de confiance (Paiements Canada, 2024).

 

La même étude sur la fraude aux paiements en entreprise a également recensé plusieurs autres méthodes (Paiements Canada, 2024) :

• Virements Interac pour entreprises interceptés.
• Débits frauduleux par carte de crédit.
• Achats effectués avec des informations de carte de crédit volées.
• Achats effectués avec des informations de carte de débit volées.
• Chèques frauduleux.
• Sites web frauduleux usurpant l’identité d’entreprises légitimes.

 

Remarquez ce que cette liste inclut. Seule une partie se produit à votre terminal ou sur votre page de paiement. La fraude aux paiements inclut aussi :

• Une fausse facture payée par votre comptable.
• Un virement envoyé à un « fournisseur » dont les coordonnées bancaires ont été modifiées par courriel.
• Un remboursement de trop-perçu par chèque.

Si votre programme de prévention ne couvre que la transaction par carte, vous n’avez protégé qu’une porte dans un bâtiment qui en compte six.

 

L’ampleur compte aussi. La Federal Trade Commission (FTC) des États-Unis a indiqué que les consommateurs ont perdu plus de 12,5 milliards $ à cause de la fraude en 2024, soit 25 % de plus que l’année précédente, dans sa publication de données sur les pertes liées à la fraude (FTC, 2025). Ce chiffre mesure les pertes déclarées par les consommateurs sur tous les canaux, et non les pertes des commerçants liées aux rétrofacturations, mais il décrit l’environnement dans lequel vivent vos clients et votre personnel.

 

Par ailleurs, l’Internet Crime Complaint Center du FBI a signalé 199,9 millions $ de pertes en 2024, classées comme fraude à la carte de crédit et fraude par chèque, dans son rapport annuel sur la criminalité (FBI, 2024). Les pertes déclarées sous-estiment toujours le coût économique réel, car la plupart des fraudes visant les commerçants sont absorbées discrètement et ne sont jamais signalées.

 

À retenir, concrètement : définissez largement la fraude aux paiements au sein de votre entreprise, puis attribuez la responsabilité de chaque canal à une personne précise. C’est dans le flou des responsabilités que se cachent les pertes.

 

Pourquoi la fraude aux paiements mérite-t-elle votre attention avant qu’une perte n’apparaisse ?

La fraude aux paiements mérite une attention avant qu’une perte n’apparaisse, car le moment le moins coûteux pour arrêter une transaction frauduleuse est avant l’autorisation, et chaque étape suivante coûte plus cher. Une fois les marchandises expédiées, vous avez un stock perdu, des frais d’expédition, du temps de personnel et potentiellement la valeur de la transaction elle-même si elle devient une contestation que vous ne pouvez pas défendre.

 

Les chiffres de Paiements Canada sont sans équivoque (Paiements Canada, 2024) :

• 20 % des entreprises canadiennes ont déclaré avoir subi une fraude aux paiements au cours des six derniers mois.
• 13 % des consommateurs l’ont subie sur la même période.
• 15 % des entreprises touchées ont déclaré avoir effectivement perdu de l’argent.

 

Cet écart entre « subi » et « perdu de l’argent » est précisément l’espace où la prévention agit. Environ 85 % des entreprises ayant rencontré de la fraude l’ont soit détectée, soit absorbée sans impact financier, ce qui suggère que la détection et les processus sont efficaces.

 

La taille n’est pas une protection non plus. L’étude a constaté que les grandes entreprises commerciales déclaraient le taux de fraude le plus élevé, mais les petites entreprises étaient aussi touchées. Un petit site e-commerce avec une page de paiement simple peut être plus attrayant pour un script de test de cartes qu’un grand détaillant doté de défenses anti-bots matures, précisément parce que les défenses sont plus faibles (Paiements Canada, 2024).

 

Les recommandations de Visa sur le lien entre fraude et contestations renforcent l’argument du timing. Selon les directives de Visa sur les rétrofacturations, la prévention de la fraude avant l’autorisation, grâce à une meilleure authentification, des données de transaction plus riches et des outils en temps réel, peut réduire la probabilité que la fraude se transforme ensuite en rétrofacturation (Visa, n.d.-a).

 

Pour celles et ceux qui se demandent « Qu’est-ce qu’une rétrofacturation ? », la définition la plus simple est un remboursement forcé des fonds directement par la banque émettrice. Une protection adéquate contre les rétrofacturations limite ces occurrences, car chaque dollar investi en prévention en amont élimine ensuite le traitement des rétrofacturations de carte de crédit, la collecte de preuves et la charge opérationnelle qui les accompagne.

 

Il existe aussi un seuil de tolérance client qu’il vaut la peine d’intégrer. Paiements Canada a constaté que 65 % des entreprises ont déclaré qu’elles prendraient des mesures supplémentaires lors des transactions en ligne si cela signifiait une meilleure protection (Paiements Canada, 2024). Les acheteurs et les clients professionnels ne sont pas systématiquement hostiles aux frictions. Ils sont hostiles aux frictions qui semblent arbitraires. Une vérification proportionnée sur une commande à haut risque est généralement acceptée. Un contrôle sur chaque achat récurrent de 30 $ ne l’est pas.

 

La posture opérationnelle qui relie tout cela est continue plutôt qu’épisodique. La norme du cadre de cybersécurité du NIST organise les résultats de gestion des risques autour de six fonctions (NIST, 2024) :

• Gouverner

• Identifier

• Protéger

• Détecter

• Répondre

• Rétablir

 

Le NIST indique que les fonctions orientées prévention doivent fonctionner en continu, tandis que les capacités de réponse et de rétablissement doivent rester prêtes en permanence (NIST, 2024). La prévention de la fraude n’est pas un projet que l’on termine.

Quels sont les signes d’une transaction frauduleuse pour des commandes sans présentation de la carte ?

Les signes d’une transaction frauduleuse pour des commandes sans présentation de la carte sont des schémas dans les données de transaction qui s’écartent du comportement habituel de vos clients. Les réseaux de cartes ont publié des indicateurs précis autour desquels il vaut la peine de construire des règles afin de renforcer votre stratégie de prévention de la fraude aux paiements.

 

Les pratiques de filtrage antifraude de Visa identifient plusieurs caractéristiques de transaction pouvant indiquer un risque accru (Visa, 2024b) :

• Transactions qui dépassent vos contrôles de vélocité.
• Incohérences AVS ou CVV2.
• Profils à haut risque.
• Numéros de carte séquentiels.
• Un volume disproportionné de commandes provenant d’un seul émetteur.

 

Ce dernier point est facile à négliger. Si 40 commandes en un après-midi proviennent toutes de la même banque émettrice alors que votre mix habituel est largement réparti, c’est que quelque chose est en train d’être testé.

 

La date d’expiration est un autre signal discret. Pour l’acceptation sans présentation de la carte, les directives de Visa en matière de protection contre la fraude en entreprise recommandent aux commerçants d’autoriser chaque transaction et d’inclure la date d’expiration de la carte dans la demande d’autorisation. De plus, Visa indique qu’une date d’expiration invalide ou manquante peut indiquer que l’acheteur n’a pas physiquement la carte en main (Visa, n.d.-b).

 

Au-delà de la liste publiée par les réseaux, c’est votre propre référence qui fait le plus gros du travail. Une commande de 4 000 $ n’est pas suspecte chez un fournisseur d’équipements commerciaux, mais elle l’est fortement dans une boutique dont le panier moyen est de 90 $. Une livraison express sur une première commande vers une adresse qui ne correspond pas à l’adresse de facturation, surtout dans une catégorie à forte valeur de revente, présente un profil de risque totalement différent de la même commande passée par un client ayant trois ans d’historique.

 

Voici la discipline qui distingue une bonne détection de la fraude de la paranoïa : un seul signal incite à vérifier, ce n’est pas un verdict. Visa est explicite sur ce point dans ses directives de validation des paiements, en indiquant que des vérifications comme l’AVS et le CVV2 sont destinées à compléter les contrôles, modèles, processus et procédures antifraude existants, et non à les remplacer (Visa, n.d.-c).

 

Les incohérences AVS se produisent constamment pour des raisons légitimes. Les clients déménagent, se trompent en saisissant, utilisent une adresse professionnelle et commandent en voyage. Refuser sur ce seul champ vous fera perdre de bons revenus.

 

Mettez plutôt en place une approche par scoring. Un indicateur déclenche une mise en file de révision. Trois indicateurs cumulés sur la même commande (par exemple une incohérence, un schéma de vélocité inhabituel et une géographie de livraison incohérente) constituent une situation réellement différente et doivent être orientés vers une revue manuelle documentée.

 

Comment fonctionnent les signaux d’alerte de prise de contrôle de compte et de compte client ?

La fraude par prise de contrôle de compte se produit lorsqu’un criminel accède au compte d’un client légitime auprès de votre entreprise et utilise les identifiants de paiement enregistrés, le solde de fidélité ou le statut de confiance associé à ce compte. Elle est dangereuse précisément parce que le compte semble familier. Historique d’adresses, historique de commandes et transactions réussies passées indiquent tous « bon client ».

Les directives de Visa sur la prise de contrôle de compte décrivent comment les criminels utilisent des identifiants volés et peuvent exécuter des scripts pour les tester simultanément sur plusieurs sites de commerçants (Visa, 2021). La réutilisation d’identifiants est le moteur. Un mot de passe divulgué lors d’une fuite sans lien est essayé sur des centaines de pages de connexion de commerçants, et les comptes qui s’ouvrent deviennent la prochaine surface de fraude.

 

Visa cite des schémas précis au niveau du compte qui doivent déclencher une révision (Visa, 2021) :

• Plusieurs transactions utilisant différentes cartes associées à la même adresse e-mail et au même identifiant d’appareil.
• Plusieurs connexions au même compte depuis de nombreuses adresses IP différentes.

 

Ces deux cas décrivent une activité qu’un vrai client ne produit presque jamais.

 

Visa recommande aussi de surveiller les tentatives de connexion échouées et les connexions dont les attributs d’appareil et de session diffèrent de ce que vous connaissez de cet utilisateur, notamment l’adresse IP, la géolocalisation, l’identifiant d’appareil, le paramètre de langue et le fuseau horaire (Visa, 2021).

 

Un client dont le compte a toujours été consulté depuis une même zone métropolitaine sur un appareil en anglais, qui se connecte soudainement depuis un autre continent, dans une autre langue, sur un appareil inconnu, justifie une authentification renforcée avant toute utilisation d’une carte enregistrée.

 

Surveillez les événements de modification de compte avec la même attention. Une séquence de prise de contrôle reconnaissable inclut souvent les modifications suivantes, toutes survenant dans un court laps de temps :

• Réinitialisation du mot de passe.
• Changement d’adresse e-mail.
• Ajout d’une adresse de livraison.
• Ajout d’un nouveau moyen de paiement.

 

Lorsque ces changements rapides sont suivis d’une commande immédiate de forte valeur, c’est un signal d’alerte clair. Beaucoup de commerçants surveillent la transaction elle-même et ignorent totalement les modifications de profil qui l’ont précédée.

 

Nos comptes internes ont besoin de la même protection. Les recommandations de la CISA sur l’authentification multifacteur conseillent d’exiger l’AMF partout où c’est possible, en commençant par les comptes administrateurs et les employés qui traitent des données sensibles, et d’utiliser l’option la plus robuste disponible, avec pour objectif une AMF résistante au phishing (CISA, n.d.).

 

Paiements Canada (2024) a mis en évidence deux habitudes de sécurité critiques dans ses recherches :

• 65 % des entreprises activent l’authentification en deux étapes lorsqu’elle est disponible, ce qui indique une adoption large, mais laisse un tiers significatif exposé.
• 39 % des entreprises stockaient des mots de passe sur des appareils personnels, une pratique signalée comme un risque majeur de sécurité.

Cette deuxième habitude annule une grande partie d’un travail par ailleurs solide.

Qu’est-ce que le test de cartes, et pourquoi les petits sites e-commerce sont-ils ciblés ?

Le test de cartes, parfois appelé test de comptes ou énumération de cartes, est une attaque automatisée dans laquelle un fraudeur fait passer en masse des numéros de carte volés ou devinés par la page de paiement d’un commerçant afin d’identifier ceux qui sont actifs. Le commerçant n’est pas la cible du vol. Il n’est que le service de validation gratuit.

 

Visa aborde cela directement dans ses directives sur le test de comptes, en identifiant le test de comptes et l’énumération de cartes comme des problèmes que les commerçants peuvent atténuer grâce à des limites de débit, des contrôles de pare-feu, la détection de bots, l’empreinte d’appareil et des pratiques de vérification de compte. Visa recommande aussi d’ajuster les contrôles web pour limiter les soumissions répétées de pages et les actions répétées, et d’interdire automatiquement les visiteurs ou utilisateurs provenant de sources malveillantes connues (Visa, 2026).

 

Pourquoi les petits sites ?

Les attaquants recherchent des pages de paiement sans détection de bots, sans limitation de débit, avec des produits de faible valeur permettant des micro-transactions, et sans CAPTCHA ni couche de défi. Un site vendant un article numérique à 1 $ avec une page de paiement ouverte est un banc d’essai idéal. La taille du commerçant n’a aucune importance pour le script.

 

Les dommages sont réels même lorsque presque toutes les tentatives sont refusées. Vous accumulez des tentatives d’autorisation, vos taux de refus explosent, votre relation de traitement attire l’attention, et la poignée de cartes qui passent deviennent des rétrofacturations que vous devrez défendre. Vos clients légitimes peuvent subir des pages lentes pendant l’attaque.

 

Les signaux de détection sont précis et méritent des alertes. Surveillez :

• Une hausse soudaine des tentatives d’autorisation avec un taux d’approbation en chute.
• De nombreuses transactions de faible montant en séquence rapide.
• Des numéros de carte séquentiels ou quasi séquentiels, que Visa cite aussi parmi les caractéristiques de transaction à haut risque.
• Des soumissions répétées depuis une même empreinte d’appareil ou une même plage d’IP.
• Une seule adresse e-mail associée à plusieurs cartes différentes.

 

Les demandes de vérification de compte exigent de la prudence dans ce contexte. Visa indique qu’une demande de vérification de compte peut confirmer si un compte est ouvert et valide, et recommande d’inclure le CVV2, la date d’expiration et les données de vérification d’adresse pour authentifier le compte (Visa, n.d.-c). Configurez la vérification de sorte qu’elle ne devienne pas elle-même le canal de test. Un point de terminaison de vérification non authentifié et non limité est exactement ce que recherche un script d’énumération.

 

Si vous voulez savoir comment prévenir la fraude à la carte de crédit de ce type, appuyez-vous sur ces contrôles pratiques :

• Limiter le débit par IP, appareil et e-mail.
• Ajouter un défi après un certain nombre d’échecs.
• Fixer un montant minimum de transaction lorsque votre modèle économique le permet.
• Alerter sur les baisses du taux d’approbation plutôt que seulement sur le volume total.

 

Le test de cartes est l’une des formes de fraude aux paiements les plus faciles à prévenir, car il est très visible dans vos données si quelqu’un écoute.

Comment les commerçants doivent-ils superposer les outils de détection de la fraude sans nuire à la conversion ?

Les commerçants doivent superposer les outils de détection de la fraude en adaptant l’intensité des contrôles au risque de chaque transaction, afin que les achats à faible risque restent fluides et que l’activité à haut risque soit contestée ou examinée.

 

Les normes de Visa sur le risque d’acceptation listent un large éventail d’outils à la disposition des commerçants et des acquéreurs : AVS, CVV, 3-D Secure, apprentissage automatique, scoring de fraude, géolocalisation, contrôles de vélocité, authentification biométrique, suivi IP, empreinte d’appareil et authentification basée sur le risque. Point crucial : Visa recommande un mix de contrôles plutôt qu’une dépendance à un seul (Visa, 2024b). Cette recommandation résume toute la stratégie en une phrase.

 

Commencez par la couche de validation. La documentation de Visa sur les méthodes de validation des paiements décrit quatre approches : vérification de compte, vérification d’adresse, validation CVV2 et interrogation du nom du compte. En outre, Visa indique que la prévalidation d’un compte peut augmenter la probabilité d’un parcours de transaction réussi (Visa, n.d.-c). Ces vérifications sont peu coûteuses, rapides et invisibles pour les clients.

 

Ajoutez ensuite l’authentification pour l’e-commerce. EMV 3-D Secure est conçu pour renforcer la protection des paiements en ligne et aider à prévenir la fraude sans présentation de la carte. Selon la présentation de 3-D Secure d’EMVCo, le protocole permet l’échange d’informations sur la transaction, le moyen de paiement et l’appareil entre le commerçant et l’émetteur, ce qui permet à l’émetteur d’authentifier le consommateur (EMVCo, n.d.-a).

 

La raison pour laquelle 3-D Secure n’a pas à nuire à la conversion est qu’il existe deux parcours. La présentation du parcours « challenge » d’EMVCo explique que, dans ce parcours, le client peut fournir une authentification supplémentaire, comme un code à usage unique ou une approbation dans une application bancaire (EMVCo, n.d.-b).

 

L’alternative est le parcours sans friction. La présentation du parcours « frictionless » d’EMVCo explique que l’authentification basée sur le risque permet aux émetteurs d’approuver des transactions sans solliciter le titulaire lorsque l’évaluation du risque le justifie (EMVCo, n.d.-c). L’avantage annoncé est une baisse du risque de fraude sans friction inutile au moment du paiement.

 

Ajoutez ensuite des contrôles comportementaux : règles de vélocité, empreinte d’appareil, contrôles IP et géolocalisation, et scoring de fraude. Ils s’exécutent silencieusement et ne font remonter que l’activité qui sort du schéma.

 

Le principe de conception à retenir est que tout signal de risque ne doit pas conduire à un refus. Intégrez trois résultats distincts dans vos règles :

• Refus automatique pour les schémas de fraude sans ambiguïté.

• Authentification renforcée pour un risque modéré.

• Revue manuelle pour les commandes inhabituelles mais plausibles.

 

Les commerçants qui n’ont que les réglages « approuver » et « refuser » sont contraints de choisir entre pertes liées à la fraude et faux refus. Ceux qui disposent d’un niveau intermédiaire conservent de bons revenus tout en interceptant les mauvaises commandes. Si vous avez besoin d’aide pour configurer ces défenses en couches, découvrez nos solutions pour voir comment nous concilions une sécurité robuste et une expérience de paiement fluide.

Comparer les contrôles antifraude : objectif, signal, friction et limites

Choisir des contrôles devient plus simple lorsque vous cessez de demander quel outil est le meilleur et commencez à demander quel rôle chacun joue.

Ces outils couvrent cinq fonctions différentes, et aucun outil unique n’en fait plus d’une ou deux correctement :

• Les vérifications de validation confirment la cohérence des informations de compte.

• Les protocoles d’authentification confirment que la personne est bien celle qu’elle prétend être.

• La surveillance comportementale détecte des schémas qu’aucune transaction isolée ne révèle.

• Les contrôles de protection des données limitent ce qu’un attaquant obtient si nos systèmes sont compromis.

• Les contrôles d’accès protègent les comptes de notre personnel.

 

Le tableau à venir associe chaque contrôle à son objectif, au signal qu’il utilise, à la friction qu’il ajoute pour le client et à la limite à anticiper. Lisez attentivement les limites. C’est là que les commerçants sont surpris, généralement parce qu’ils supposent qu’un contrôle fait quelque chose pour lequel il n’a jamais été conçu. La tokenisation, par exemple, est excellente pour réduire ce qu’une compromission expose, mais elle ne nous dit pas si la personne qui paie est légitime. Chaque ligne provient de recommandations publiées par les réseaux de cartes et les organismes de normalisation.

 

Contrôle ou approche	Objectif principal	Données ou signal utilisés	Impact sur l’expérience client	Limite importante
Vérifications AVS et CVV/CVV2	Valider les informations du compte de paiement pendant ou avant une transaction	Résultat de l’adresse de facturation, résultat du code de sécurité de la carte, données de validation associées	Généralement peu de friction ; le client fournit des données standard au paiement	Une incohérence est un signal de risque, pas une preuve de fraude ; Visa indique que ces vérifications complètent un programme antifraude plus large
Vérification de compte	Confirmer qu’un compte est ouvert, valide et en règle avant d’ajouter un identifiant ou de fournir un service	Statut du compte, et peut intégrer le CVV2, la date d’expiration et des données AVS	Généralement peu de friction pour le client	Ce n’est pas une autorisation d’achat ; doit être conçu pour ne pas devenir une voie de test de comptes
EMV 3-D Secure	Authentifier les titulaires de carte en ligne et réduire la fraude sans présentation de la carte	Données de transaction, de moyen de paiement et d’appareil partagées avec l’émetteur	Sans friction pour l’activité à faible risque ; défi pour l’activité à risque élevé	La configuration et les performances doivent être surveillées pour équilibrer fraude, approbations et finalisation du paiement
Règles de vélocité et surveillance appareil/IP	Détecter le test de comptes, les attaques automatisées et les comportements inhabituels	Tentatives répétées, connexions échouées, IP, géolocalisation, identifiants d’appareil, plusieurs cartes	Généralement invisible jusqu’à ce que l’activité soit limitée, contestée ou examinée	Les règles doivent être ajustées ; des contrôles trop larges peuvent bloquer des clients légitimes à fort volume ou sur des réseaux partagés
P2PE et tokenisation	Réduire l’exposition des données de compte de paiement si les systèmes sont compromis	Données de paiement chiffrées ou jeton de substitution au lieu des données brutes du compte	En général, aucune action supplémentaire au paiement	Contrôles de protection des données uniquement ; ils ne déterminent pas si l’acheteur est légitime
AMF et contrôles d’accès	Empêcher la compromission des comptes employés, administrateurs et fournisseurs	Plus d’un facteur d’authentification ; rôles et autorisations d’accès	Ajoute une étape à l’accès au compte, pas au paiement client	Doit couvrir la messagerie, l’accès à distance, l’administration et les systèmes de données sensibles, pas une seule application

 

Comment protéger les données de paiement et réduire ce qu’une compromission peut exposer ?

Vous protégez les données de paiement en en manipulant moins, en chiffrant ce que vous devez manipuler et en sachant exactement quels systèmes touchent l’environnement des données de titulaires de carte. Les données que vous ne stockez jamais ne peuvent pas vous être volées.

 

La norme PCI DSS s’applique aux entités qui stockent, traitent ou transmettent des données de titulaires de carte ou des données d’authentification sensibles, ainsi qu’aux entités susceptibles d’affecter la sécurité de l’environnement des données de titulaires de carte. La norme PCI DSS couvre les commerçants, les processeurs, les acquéreurs, les émetteurs et les prestataires de services (PCI SSC, n.d.-a). La clause « susceptibles d’affecter la sécurité de » est plus large que ce que beaucoup de commerçants imaginent. Un système mal sécurisé adjacent à votre environnement de paiement peut vous faire entrer dans le périmètre.

 

Il existe une règle stricte à mémoriser. PCI DSS considère les données de titulaires de carte et les données d’authentification sensibles comme des données de compte, et le PCI Security Standards Council indique dans sa FAQ sur le stockage des données sensibles que les données d’authentification sensibles ne peuvent pas être stockées après l’autorisation, même si elles sont chiffrées (PCI SSC, 2025).

 

Le chiffrement n’est pas une solution de contournement. Si un membre du personnel conserve des codes de sécurité de carte dans une feuille de calcul pour une « vérification future », cette pratique doit cesser dès aujourd’hui ; c’est un risque de fraude autant qu’un enjeu de conformité.

 

Le chiffrement de bout en bout (point-to-point) réduit encore l’exposition. Le PCI Security Standards Council définit le P2PE comme la protection cryptographique des données de compte de paiement depuis le point où le commerçant accepte la carte jusqu’à un point sécurisé de déchiffrement (PCI SSC, n.d.-b). Lorsqu’elle est correctement mise en œuvre, la norme de chiffrement de bout en bout rend les données de compte illisibles jusqu’à leur arrivée dans l’environnement sécurisé de déchiffrement.

 

Le PCI SSC indique aussi que les commerçants utilisant des solutions P2PE répertoriées par le PCI ont moins d’exigences PCI DSS applicables, ce qui peut simplifier le travail de conformité (PCI SSC, n.d.-b). Cela n’élimine pas votre responsabilité de comprendre votre propre environnement et vos obligations.

 

Visa s’aligne également sur cette approche en couches côté données, en identifiant les vérifications CVV, l’AVS, la tokenisation et le chiffrement des données SSL comme des mesures qui protègent les données des clients et aident à prévenir l’activité suspecte menant à des rétrofacturations.

 

La discipline d’accès fait partie de la même discussion. Les recommandations de la FTC sur la cybersécurité pour les petites entreprises conseillent (FTC, 2025a) :

• Limiter l’accès aux informations sensibles selon le principe du besoin d’en connaître.
• Accorder l’accès uniquement pendant la durée nécessaire à un fournisseur.
• Segmenter les données afin que les fournisseurs ne reçoivent que ce que leur travail exige.

 

La plupart des commerçants accordent un accès large une seule fois lors de l’intégration et ne le réévaluent jamais. Planifiez une revue des accès, supprimez les comptes du personnel parti et réduisez les autorisations des fournisseurs au strict minimum dans le cadre de votre stratégie de prévention de la fraude aux paiements.

Comment la fraude aux paiements se transforme-t-elle en rétrofacturation, et que faut-il conserver ?

La fraude aux paiements se transforme en rétrofacturation lorsqu’un titulaire de carte ou un émetteur conteste une transaction après son règlement, et que l’on vous demande ensuite de prouver que la transaction était légitime. Toutes les rétrofacturations ne sont pas de la fraude, et les traiter comme si c’était la même chose conduit les commerçants à se battre sur les mauvais fronts.

 

Les directives de Visa sur les rétrofacturations expliquent qu’une contestation peut commencer lorsqu’un client remet en cause une transaction en raison de (Visa, n.d.-a) :

• Fraude
• Débit non reconnu
• Insatisfaction à l’égard d’un produit ou d’un service

 

On demande ensuite au commerçant de fournir des preuves à l’appui. Ces trois causes exigent trois réponses différentes :

• Une contestation pour fraude est un problème de prévention et d’authentification.

• Une contestation pour débit non reconnu est souvent un problème de libellé de facturation : le client ne reconnaît réellement pas le nom sur son relevé.

• Une contestation pour insatisfaction est un problème de produit, d’exécution ou de service qu’un meilleur support client aurait pu résoudre avant d’atteindre le réseau.

 

La prévention reste payante ici, car elle constitue votre meilleure protection contre les rétrofacturations. Selon Visa, la prévention de la fraude avant l’autorisation, grâce à une authentification plus forte, de meilleures données de transaction et des outils en temps réel, réduit la probabilité que la fraude se transforme ensuite en rétrofacturation (Visa, n.d.-a). C’est pourquoi la détection de la fraude et la gestion des contestations relèvent du même programme, vu à deux moments différents.

 

Quelles preuves faut-il conserver ?

Conservez les documents suivants pour étayer votre dossier et maximiser votre protection contre les rétrofacturations :

• Confirmations de commande : Conservez les reçus numériques horodatés prouvant que le client a initié et accepté l’achat.
• Communications client : Enregistrez tous les e-mails, transcriptions de chat ou tickets de support montrant que l’acheteur a accusé réception de la commande ou a reçu de l’aide.
• Registres de livraison et de suivi : Conservez les liens de suivi du transporteur ou les accusés de réception signés pour prouver que les biens physiques ont été livrés à l’adresse d’expédition vérifiée.
• Registres de remboursement : Documentez tout remboursement partiel ou intégral déjà effectué pour éviter que l’acheteur ne profite deux fois d’un litige.
• Journaux de service : Suivez les données d’utilisation, les historiques de téléchargement ou les horodatages de connexion si vous vendez des biens numériques ou des logiciels.
• Résultats d’authentification : Enregistrez les vérifications de validation AVS, CVV2 ou 3-D Secure exactes qui ont été effectuées avec succès pendant le processus de paiement.

 

Intégrez la rétention dans votre flux de travail de commande afin qu’elle se produise automatiquement plutôt que d’être reconstruite sous un délai de réponse.

 

Plus précisément en ce qui concerne les résultats de validation, soyez prudent quant aux hypothèses. Les directives de gestion des litiges de Visa indiquent que les résultats AVS et CVV2 peuvent être pertinents pour les droits de réponse d’un commerçant en cas de litige dans des situations spécifiques, mais les commerçants doivent discuter des exigences de réponse applicables avec leur acquéreur (Visa, 2024a). Les droits de litige dépendent des détails de la transaction, des règles du réseau, des réponses soumises et des processus de votre acquéreur. Personne ne devrait vous promettre un résultat garanti.

 

Cette conversation avec l’acquéreur vaut la peine d’être menée avant d’en avoir besoin. Connaître à l’avance vos délais de réponse, les formats de documentation requis et les contacts d’escalade transforme un litige stressant en une tâche de routine. Chez DigitechPaiements, nos commerçants joignent une personne réelle lorsqu’un litige survient, et non une file d’attente de tickets. Contactez-nous via notre page de contact pour savoir exactement comment nous offrons une protection active contre les rétrofacturations à nos clients.

 

Comment former le personnel à détecter la fraude aux paiements avant que l’argent ne parte ?

Nous formons le personnel à détecter la fraude aux paiements en leur enseignant les scénarios spécifiques que les attaquants utilisent contre les entreprises, en leur donnant la permission de ralentir et en intégrant la vérification dans le processus afin que la pause soit normale plutôt que gênante.

 

L’usurpation d’identité est le scénario principal. Paiements Canada (2024) a constaté que la fraude par usurpation d’identité, où quelqu’un se fait passer pour une source fiable, était le type de fraude aux paiements le plus fréquemment signalé par les entreprises. Le canal de livraison est important, car les entreprises ont signalé une augmentation de la cybercriminalité et des activités suspectes sur plusieurs plateformes spécifiques :

• E-mail : 45 % des entreprises ont signalé une augmentation des activités frauduleuses par rapport à l’année précédente.
• Smartphones et appels téléphoniques : Utilisés pour contacter directement et faire pression sur le personnel par voix ou par texte.
• Plateformes de médias sociaux : Exploitées par les fraudeurs pour usurper des identités familières et fiables.
• Sites marchands de détail : Y compris les sites web de commerce électronique et les applications mobiles.

 

Enseignez le schéma de pression. Les directives de la FTC en matière de prévention du phishing expliquent que les escrocs poussent les destinataires à cliquer sur des liens, à divulguer des informations ou à payer en utilisant les tactiques suivantes (FTC, 2022) :

• Créer une fausse urgence.
• Décrire un problème supposé avec un compte.
• Prétendre qu’il y a un problème avec les informations de paiement.
• Signaler une activité suspecte fabriquée.
• Envoyer une facture inconnue ou fausse.

 

L’urgence associée à une instruction de paiement est la signature. Une fois que le personnel reconnaît ces déclencheurs spécifiques, la plupart de ces tentatives échouent.

 

Les fausses factures ciblent directement les comptes fournisseurs. L’alerte de la FTC sur les fausses factures avertit que les factures inattendues peuvent prétendre couvrir des biens ou des services que l’entreprise n’a jamais commandés, conçues soit pour extorquer un paiement, soit pour obtenir l’accès aux données et aux réseaux de l’entreprise par le biais du phishing (FTC, 2026).

 

Pour lutter contre cela, la FTC (2026) conseille aux entreprises de prendre les mesures suivantes :

• Examiner attentivement les factures inattendues : Ne supposez pas qu’une facture est légitime simplement parce qu’elle a l’air professionnelle.
• Utiliser des procédures d’approbation internes claires : Exiger un processus de validation structuré pour l’approbation des paiements nouveaux ou inhabituels.
• Vérifier les fournisseurs inconnus de manière indépendante : Toujours confirmer l’identité d’un nouveau fournisseur avant d’autoriser des fonds, plutôt que de payer d’abord et d’enquêter ensuite.

 

Le personnel de caisse et les représentants du service client doivent connaître le scénario de surpaiement. Les directives de la FTC sur les faux chèques décrivent une escroquerie où un client paie trop par chèque et demande à l’entreprise de lui restituer la différence (FTC, s.d.). Le commerçant envoie le remboursement, puis perd l’argent lorsque la banque détermine que le chèque était frauduleux. La règle à retenir : ne jamais rembourser un trop-perçu avant que le paiement original n’ait été entièrement compensé, et jamais selon le calendrier du client.

 

Rendez la formation récurrente. La FTC recommande aux entreprises de former régulièrement leurs employés, de les mettre à jour à mesure que de nouveaux risques apparaissent, et de s’assurer que le personnel sait quoi faire si du matériel ou des fichiers sont perdus ou volés (FTC, 2025a). Une seule session d’intégration ne résiste pas à un e-mail d’hameçonnage bien conçu dix-huit mois plus tard.

 

Enfin, établissez une procédure de vérification des paiements fournisseurs. Pour les nouvelles coordonnées bancaires, les changements de paiement urgents ou les factures inattendues, vérifiez via une méthode de contact connue obtenue de manière indépendante. N’utilisez jamais un numéro de téléphone, un lien ou une adresse e-mail fournis dans le message suspect lui-même.

 

Que faire si votre entreprise est victime d’une fraude aux paiements ou d’une violation de données ?

Si votre entreprise est victime d’une fraude aux paiements ou d’une violation de données suspectée, contenez d’abord les dégâts, préservez ensuite les preuves, et notifiez en troisième lieu, dans cet ordre. Agir dans le désordre détruit les informations dont vous aurez besoin plus tard.

 

Le guide de réponse aux violations de données de la FTC conseille aux entreprises d’agir rapidement pour sécuriser les systèmes et corriger la vulnérabilité qui a causé l’exposition (FTC, 2023). Il recommande de mobiliser une équipe d’intervention et d’envisager les rôles médico-légaux, juridiques, de sécurité de l’information, d’informatique, d’opérations, de RH, de communications et de gestion, selon les besoins. Préparez cette liste de noms et de numéros avant un incident, et non pendant.

 

Concernant le confinement et les preuves, la FTC conseille (FTC, 2023) :

• Arrêter la perte de données supplémentaire.
• Mettre hors ligne les équipements affectés.
• Mettre à jour les identifiants et les mots de passe.
• Documenter l’enquête.
• Éviter la destruction des preuves médico-légales.

 

Une instruction que les commerçants ne suivent pas toujours correctement : la FTC met spécifiquement en garde contre l’arrêt des machines avant l’arrivée des experts médico-légaux, sauf indication contraire (FTC, 2023). L’instinct de tout éteindre peut effacer les preuves résidant en mémoire qui expliquent ce qui s’est passé.

 

La notification est une question juridique avec des réponses juridictionnelles. La FTC conseille d’évaluer vos obligations de notification applicables et d’informer les forces de l’ordre, les entreprises affectées et les personnes affectées, selon le cas (FTC, 2023). Elle note que tous les États américains, le District de Columbia, Porto Rico et les îles Vierges américaines ont des lois sur la notification des violations de sécurité couvrant les informations personnelles (FTC, 2023).

 

Pour les commerçants opérant des deux côtés de la frontière, les obligations peuvent différer selon la province et le contrat. Obtenez un avis juridique sur le libellé de la notification avant toute communication externe. Cet article est un matériel éducatif, et non un conseil juridique.

 

Pour la fraude qui n’est pas devenue une violation, comme une seule commande frauduleuse ou une rafale de tests de cartes, la réponse est plus étroite mais toujours structurée :

• Documentez la transaction et les signaux qui l’ont signalée.
• Contactez rapidement votre processeur ou acquéreur.
• Préservez les données de commande, les informations IP et de l’appareil, et toutes les communications client.
• Vérifiez si le même schéma apparaît dans d’autres commandes récentes que vous avez approuvées.
• Ajustez la règle qui l’a manquée.

 

Intégrez tout cela dans le cycle continu que le NIST décrit à travers la Gouvernance, l’Identification, la Protection, la Détection, la Réponse et la Récupération, en veillant à ce que les capacités de réponse et de récupération restent prêtes à tout moment. Les commerçants qui se rétablissent le plus rapidement sont ceux qui ont élaboré le plan avant que quoi que ce soit ne prenne feu.

 

Si votre financement est retardé ou si une vague de litiges survient après un incident, c’est précisément à ce moment-là qu’une relation réactive avec un courtier prend tout son sens. Vous pouvez nous contacter directement pour obtenir de l’aide concernant les flux de travail de paiement, la préparation aux litiges et les examens des processus de fraude.

 

La liste de contrôle en 14 étapes pour la prévention de la fraude aux paiements

Parcourez ces étapes dans l’ordre. Chaque étape prend moins d’une semaine et cible les canaux spécifiques où les pertes se produisent réellement.

• Cartographiez chaque canal de paiement. Documentez tous les terminaux en personne, les caisses de commerce électronique, les factures et les flux de travail de facturation récurrente. Identifiez exactement quels systèmes gèrent les données de paiement pour déterminer vos obligations PCI.

• Documentez votre profil de transaction normal. Définissez la taille typique de vos commandes, la géographie de vos clients et les schémas de remboursement. Une détection précise de la fraude repose sur la mesure des écarts par rapport à cette base de référence connue plutôt que sur des intuitions vagues.

• Séparez les règles de refus, d’authentification renforcée et de révision manuelle. Tous les signaux de risque ne méritent pas un rejet. Dirigez les risques modérés vers un défi d’authentification ou une révision humaine afin que les clients légitimes puissent toujours acheter.

• Activez la validation de base du paiement. Activez et configurez les contrôles AVS, CVV2, 3-D Secure et de vélocité. De nombreux commerçants disposent de ces outils mais les laissent désactivés ou mal réglés.

• Bloquez les modèles de test de compte connus. Alertez sur les effondrements du taux d’approbation, pas seulement sur les pics de volume. Surveillez les numéros de carte séquentiels, les échecs répétés et les multiples cartes liées à une seule adresse e-mail pour arrêter la fraude par carte de crédit dans son élan.

• Protégez les comptes contre le piratage. Exigez l’authentification multifacteur (MFA) pour tous les comptes d’administrateur et de messagerie. Signalez les lieux de connexion inattendus ou les changements de profil rapides suivis de commandes immédiates de grande valeur.

• Protégez les données de paiement dès la conception. Ne stockez jamais de données d’authentification sensibles après l’autorisation, même si elles sont chiffrées. Utilisez la tokenisation et le chiffrement de bout en bout. Moins de données stockées signifie une zone d’impact plus petite.

• Établissez un flux de travail de révision manuelle documenté. Définissez précisément qui examine les commandes suspectes, quelles preuves ils examinent et comment ils enregistrent les décisions. Ne forcez jamais les réviseurs à se fier à des instincts non écrits.

• Vérifiez et conservez les enregistrements d’exécution. Automatisez la conservation des enregistrements de suivi, des communications et des résultats de validation. Avoir des preuves prêtes avant l’échéance d’un litige est votre meilleure forme de protection contre les rétrofacturations.

• Formez le personnel au phishing et à l’usurpation d’identité. Enseignez à toute personne gérant les finances à reconnaître les demandes de paiement urgentes et les stratagèmes de surpaiement. Actualisez régulièrement cette formation sur la prévention de la fraude aux paiements, et pas seulement lors de l’intégration.

• Vérifiez les paiements fournisseurs de manière indépendante. Confirmez toujours les changements de paiement urgents ou les nouvelles coordonnées bancaires via une méthode de contact connue et indépendante. Ne répondez jamais directement à une demande suspecte.

• Examinez les règles et les faux positifs mensuellement. Examinez quelles règles détectent la fraude aux paiements réelle et lesquelles ne font que créer des frictions pour le client. Les règles non ajustées ont tendance à bloquer des revenus légitimes.

• Élaborez un plan de réponse aux incidents dès maintenant. Désignez les décideurs, les contacts juridiques et les escalades de processeur. Imprimez une copie physique. Personne n’a le temps d’inventer un processus pendant une crise en direct.

• Contenez d’abord, préservez les preuves ensuite. Si une violation est suspectée, sécurisez les systèmes et réinitialisez immédiatement les identifiants. Documentez chaque action, impliquez des experts médico-légaux et déterminez les obligations de notification avant de communiquer en externe.

En résumé : Où cela vous mène

La prévention de la fraude aux paiements est une pratique opérationnelle continue, et non un achat de logiciel ponctuel. Visa recommande des contrôles en couches, EMVCo construit des chemins basés sur les risques afin que la protection ne signifie pas automatiquement friction, et le PCI SSC pousse les commerçants à gérer moins de données. Savoir comment prévenir la fraude par carte de crédit commence par la compréhension de votre base de référence et se termine par un processus documenté que votre équipe suit réellement, garantissant que vous arrêtez les mauvais acteurs avant qu’une transaction ne devienne une rétrofacturation par carte de crédit.

 

Si vous souhaitez un partenaire de paiement qui vous aide activement à gérer les risques et à optimiser votre infrastructure de traitement, discutons-en. Nous avons passé 15 ans à aider les commerçants aux États-Unis et au Canada à réduire les frictions, à renforcer la détection de la fraude et à conserver une plus grande partie de leurs revenus durement gagnés. Contactez-nous chez DigitechPaiements pour voir comment nous pouvons construire une configuration de paiement sécurisée et efficace adaptée à votre modèle commercial spécifique.

 

Questions fréquemment posées

1. Ai-je besoin d’un terminal de carte de crédit avec protection contre la fraude, ou est-ce géré ailleurs ?

Un terminal de carte de crédit avec protection contre la fraude signifie généralement un terminal qui prend en charge l’acceptation des puces EMV et le chiffrement de bout en bout, ce qui protège les données de la carte dès le moment de l’acceptation jusqu’à un point de déchiffrement sécurisé. Le Conseil des normes de sécurité PCI note que les commerçants utilisant des solutions P2PE listées par le PCI ont moins d’exigences PCI DSS applicables (PCI SSC, s.d.-b).

Cela dit, la protection au niveau du terminal sécurise les données au point de vente physique, et non à votre caisse de commerce électronique ou dans votre processus de comptes fournisseurs. Discutez avec votre courtier de la configuration de terminal qui correspond le mieux à votre mix de canaux, ou parcourez nos produits pour trouver du matériel de point de vente avec chiffrement de bout en bout intégré.

2. Comment former le personnel à détecter la fraude aux paiements sans ralentir le service ?

Formez sur les scénarios spécifiques plutôt que sur des avertissements abstraits. Enseignez le schéma d’urgence décrit par la FTC dans les messages de phishing (FTC, 2022), la tactique des fausses factures où une entreprise est facturée pour des biens qu’elle n’a jamais commandés, et l’escroquerie au chèque de surpaiement où un remboursement est demandé avant que le paiement original ne soit compensé. Donnez au personnel l’autorité explicite de faire une pause et de vérifier. La FTC recommande de former régulièrement les employés et de les mettre à jour à mesure que de nouveaux risques apparaissent (FTC, 2025a), alors planifiez des formations de rappel plutôt que de le traiter comme une tâche d’intégration unique.

3. Comment détecter la fraude aux paiements dans mon entreprise si je n’ai jamais eu de perte ?

Commencez par documenter votre profil de transaction normal : valeurs de commande typiques, géographie, calendrier, taux de remboursement et comportement des clients fidèles. La détection de la fraude fonctionne par comparaison, de sorte que les anomalies ne ressortent que par rapport à une base de référence connue. Ensuite, examinez les données récentes pour les schémas signalés par Visa, y compris les dépassements de contrôle de vélocité, les non-concordances AVS ou CVV2, les numéros de carte séquentiels et la concentration inhabituelle d’un seul émetteur (Visa, 2024b). De nombreux commerçants découvrent des activités de test de carte dans leurs journaux d’autorisation qui n’ont jamais produit de rétrofacturation mais qui étaient là depuis le début.

 

4. Quels sont les signes les plus clairs d’une transaction frauduleuse sur lesquels je devrais agir ?

Les directives de Visa en matière de détection de la fraude identifient les transactions dépassant les contrôles de vélocité, les non-concordances AVS ou CVV2, les profils à haut risque, les numéros de carte séquentiels et le volume de commandes disproportionné d’un seul émetteur comme des caractéristiques à haut risque (Visa, 2024b). Au niveau du compte, surveillez les multiples cartes liées à un seul e-mail et identifiant d’appareil, ou les connexions depuis plusieurs adresses IP. Traitez tout signal unique comme une raison d’examiner, et non de refuser, car Visa déclare que ces vérifications de validation complètent plutôt que remplacent un programme de fraude plus large (Visa, 2024b).

 

5. Que faire si mon entreprise est victime d’une fraude aux paiements ?

Contenez d’abord, préservez les preuves ensuite, notifiez en troisième lieu. La FTC conseille de sécuriser les systèmes, de corriger la vulnérabilité, de mettre hors ligne les équipements affectés, de mettre à jour les identifiants et de documenter l’enquête (FTC, 2023), tout en mettant spécifiquement en garde contre l’arrêt des machines avant l’arrivée des experts médico-légaux. Contactez rapidement votre processeur ou acquéreur et préservez tous les enregistrements de commande, d’appareil et de communication. Les obligations de notification varient selon la juridiction, et chaque État américain, plus DC, Porto Rico et les îles Vierges américaines, a une loi sur la notification des violations, alors obtenez un avis juridique avant de communiquer en externe.

Références

• Cybersecurity and Infrastructure Security Agency (CISA). Require Multifactor Authentication. Cybersecurity and Infrastructure Security Agency, s.d.
• EMVCo. 3-D Secure. EMVCo, s.d.-a.
• EMVCo. Challenge Flow: Business Overview. EMVCo, s.d.-b.
• EMVCo. Risk Analysis and Frictionless Flow: Business Overview. EMVCo, s.d.-c.
• Federal Bureau of Investigation (FBI). 2024 IC3 Annual Report. Federal Bureau of Investigation, 2024.
• Federal Trade Commission (FTC). Run a Small Business? Pay Your Bills, Not Scammers. Federal Trade Commission, 2026.
• Federal Trade Commission (FTC). Cybersecurity for Small Business. Federal Trade Commission, 2025a.
• Federal Trade Commission (FTC). New FTC Data Show Big Jump in Reported Losses to Fraud to $12.5 Billion in 2024. Federal Trade Commission, 2025b.
• Federal Trade Commission (FTC). Data Breach Response: A Guide for Business. Federal Trade Commission, s.d.-b. 2023.
• Federal Trade Commission (FTC). How to Recognize and Avoid Phishing Scams. Federal Trade Commission, 2022.
• Federal Trade Commission (FTC). Fake Checks. Federal Trade Commission, s.d.
• National Institute of Standards and Technology (NIST). The NIST Cybersecurity Framework (CSF) 2.0. National Institute of Standards and Technology, 2024.
• Paiements Canada. One in Five Canadian Businesses Experienced Payment Fraud in the Past Six Months. Paiements Canada, 2024.
• PCI Security Standards Council (PCI SSC). FAQ 1154: Sensitive Authentication Data Storage. PCI Security Standards Council, 2025.
• PCI Security Standards Council (PCI SSC). PCI DSS. PCI Security Standards Council, s.d.-a.
• PCI Security Standards Council (PCI SSC). Point-to-Point Encryption (P2PE). PCI Security Standards Council, s.d.-b.
• Visa. Anti-Enumeration and Account Testing Best Practices for Merchants. Visa, 2026.
• Visa. Merchants’ Dispute Management Guidelines. Visa, 2024a.
• Visa. Visa Acceptance Risk Standards. Visa, 2024b.
• Visa. Best Practices to Mitigate Risk of Account Takeover Fraud. Visa, 2021.
• Visa. Chargebacks. Visa, s.d.-a.
• Visa. Fraud Protection for Small Business. Visa, s.d.-b.
• Visa. Payment Account Validation Documentation. Visa, s.d.-c.