Le 3 août 2026, Visa a annoncé l'acquisition de BioCatch pour 2,4 milliards de dollars en numéraire. Plus tôt dans l'année, les textes finaux de compromis du PSR/PSD3, publiés le 23 avril 2026 et toujours en attente d'adoption formelle, verrouillaient un principe auquel les banques belges vont devoir s'habituer : en cas d'usurpation d'identité (spoofing), ce sont les banques qui remboursent intégralement les clients. Entre consolidation du marché RegTech et arrivée de la surveillance pilotée par l'IA dans les salles de lutte anti-blanchiment, la détection de fraude a cessé d'être un centre de coûts — elle est devenue la première ligne de risque sur les résultats.
Trois événements convergents redéfinissent l'équation fraude/AML en 2026. D'abord, la consolidation : Visa absorbe BioCatch (2,4 Mds $ en numéraire), le leader de la biométrie comportementale qui protège 760 millions d'utilisateurs auprès de plus de 350 institutions financières, en réponse à des pertes mondiales estimées à plus de 1 000 milliards de dollars par an. Ensuite, la réglementation : le PSR inverse la charge de la preuve — en cas d'usurpation d'identité d'un employé de banque, le remboursement est intégral, et c'est la banque qui doit prouver la négligence grave du client, avec un niveau de preuve nettement plus élevé qu'en vertu de la DSP2.
Pour les banques belges, la combinaison est brutale : 93 millions d'euros détournés par hameçonnage en 2025 (contre 49 millions en 2024), un taux de blocage de 75 % qui devra progresser, et un VoP (vérification du bénéficiaire) qui s'étendra à toutes les devises et canaux. Ceux qui traitent encore la fraude comme un problème informatique doivent planifier dès maintenant, avant l'application générale du PSR.
Pourquoi la lutte contre la fraude perd la course
L'évaluation de BioCatch elle-même, issue de son annonce du 3 août, mérite d'être citée : en tant qu'entreprise et en tant que secteur, ils ne gagnent pas ce combat — les pertes, les volumes de tentatives, les comptes mule et les victimes ne cessent de croître chaque année (dans certains cas de façon exponentielle), partout dans le monde — billet d'annonce BioCatch, 3 août 2026. L'IA générative a industrialisé les escroqueries : des deepfakes vocaux convaincants, des campagnes de phishing quasi impossibles à distinguer d'un véritable e-mail bancaire, et des coûts d'attaque considérablement réduits. Visa estime que les escroqueries et les piratages de comptes coûtent à l'économie mondiale plus de 1 000 milliards de dollars par an.
Le marché de la détection répond par la consolidation. Après l'acquisition de Featurespace par Worldpay en 2024, c'est désormais BioCatch — détenue par des fonds conseillés par Permira et d'autres investisseurs — qui passe sous pavillon Visa, pour 2,4 milliards de dollars en numéraire, avec une clôture attendue d'ici la fin de l'exercice fiscal T2 2027 de Visa, sous réserve des autorisations réglementaires. La logique industrielle est claire : BioCatch apporte la détection comportementale, Visa la distribution — 14 500 institutions financières, 329 milliards de transactions par an pour plus de 17 000 milliards de dollars.
Le cadre réglementaire évolue en parallèle
Comment le cadre réglementaire évolue-t-il simultanément ?
Pendant que les acteurs du paiement consolident, Bruxelles verrouille la responsabilité. Le 23 avril 2026, le Conseil a publié les textes de compromis finaux pour la DSP3 et le PSR, avec un accord en première lecture visé avec le Parlement (source : Conseil de l'UE, registre des documents, ST-8221-2026-INIT [PSR] et ST-8222-2026-INIT [DSP3], 23/04/2026). Rappel des mécanismes réglementaires : le PSR est un règlement — directement applicable dans les 27 États membres sans transposition nationale ; la DSP3 est une directive, qui devra être transposée. Cette distinction n'est pas une formalité pour les directions conformité : le calendrier et la charge de mise en œuvre diffèrent.
Le changement philosophique est radical. Sous la DSP2, la sécurité était « technique » : authentification à deux facteurs, mots de passe. Sous le PSR, elle devient « responsabilité d'écosystème » : la collaboration entre acteurs n'est plus facultative, et la charge de la preuve se déplace.
Que signifient les nouvelles règles en matière de fraude et de lutte anti-blanchiment pour les institutions financières ?
1. Le PSR : ce qui change réellement pour la responsabilité des banques
L'usurpation d'identité (spoofing), d'abord. Si un fraudeur se fait passer pour un employé de banque (« ici le service fraude, transférez vos fonds vers ce compte sécurisé ») et que le client s'exécute, la banque doit rembourser la totalité du montant, à condition que le client ait prévenu sa banque et la police sans délai injustifié. Le refus de remboursement n'est possible que si la banque prouve la fraude ou la négligence grave du client — niveau de preuve nettement plus élevé qu'en vertu de la DSP2 — et le remboursement peut être différé jusqu'à 15 jours ouvrables en cas de suspicion objectivement justifiée, avec explication écrite. En termes comptables : chaque escroquerie réussie impliquant l'usurpation de l'identité d'un employé de banque devient un coût direct pour l'institution, à défaut de preuve contraire difficile à établir.
Le VoP universel, en dernière vague. La vérification du bénéficiaire (Name Check) était jusqu'à présent ancrée dans le règlement sur les paiements instantanés, limitée aux virements SEPA en euros. Le PSR l'étend à tous les virements dans les devises de l'UE et à tous les canaux — mais l'obligation étendue (art. 50/57) s'applique environ 27 mois après l'entrée en vigueur, après l'application générale du PSR. Le « filet de sécurité SEPA » devient un bouclier européen, en dernière vague.
Le gel du côté du bénéficiaire. Le prestataire de services de paiement (PSP) du bénéficiaire est désormais habilité — et tenu — d'agir comme frein de sécurité : geler les fonds suspects entrants avant qu'ils ne soient crédités au bénéficiaire. C'est l'arme principale contre les comptes mule et les encaissements.
Les plateformes entrent dans la chaîne de responsabilité. L'élément nouveau le plus discuté : après avoir remboursé un client victime d'une escroquerie lancée sur un réseau social ou via une publicité frauduleuse, la banque peut se retourner contre la plateforme — à condition que la plateforme ait été notifiée du contenu frauduleux et ne l'ait pas retiré. La fraude aboutit dans l'application bancaire, mais elle commence souvent sur une plateforme ; le régulateur a décidé de répercuter le coût vers son point d'origine.
Enfin, le cadre protecteur du RGPD. Les PSP sont explicitement autorisés à partager les données de fraude : identifiants de comptes mule, empreintes d'appareils, schémas d'attaque. Les consortiums de défense collective et les listes noires partagées cessent d'être un risque de conformité pour devenir un outil encouragé.
2. L'IA agentique et la gouvernance : ce que montre Santander
Côté surveillance des transactions, l'exemple souvent cité est Santander, qui utilise depuis plusieurs années les modèles d'IA de ThetaRay pour détecter des schémas de blanchiment invisibles pour les règles statiques. La leçon utile pour un responsable conformité belge n'est pas la performance rapportée par le fournisseur, mais la gouvernance : documenter les caractéristiques, tracer les décisions et préparer les réponses aux inspecteurs — exactement ce que les exigences de l'AMLA formaliseront. Un modèle qui « fonctionne » sans être explicable est une bombe à retardement, d'autant que le PSR rend la banque financièrement responsable des fraudes manquées.
3. La consolidation du marché : la détection de fraude devient une infrastructure
L'opération du 3 août 2026 s'inscrit dans la stratégie des « services à valeur ajoutée » de Visa. Après Featurespace/Worldpay en 2024, BioCatch — détenue par des fonds conseillés par Permira — passe sous pavillon Visa pour 2,4 milliards de dollars en numéraire, clôture attendue fin de l'exercice fiscal T2 2027 de Visa, sous réserve des autorisations. Andrew Torre, président de la division, résume l'enjeu : arrêter la fraude avant le stade du paiement.
Pour les banques européennes, le signal est concurrentiel : connecté aux rails Visa (14 500 institutions, 329 milliards de transactions par an), le modèle de BioCatch sera alimenté par un volume de données sans précédent. La question n'est plus « faut-il une détection comportementale ? » mais « auprès de quel fournisseur, avec quelle dépendance et quelle auditabilité ? ».
La Belgique : 93 millions d'euros de phishing en 2025
La fédération bancaire belge Febelfin documente l'exposition du pays : 93 millions d'euros ont été détournés par hameçonnage en 2025, contre 49 millions en 2024, alors que les banques belges détectent, bloquent ou récupèrent environ 75 % des transactions frauduleuses issues de ces campagnes. Le net perdu équivaut à environ 0,004 % du volume total des transactions en 2025 : chaque fraude individuelle est marginale pour la banque, la somme ne l'est pas. Sous le PSR, les 25 % restants deviennent un coût direct, en plus du montant intégral des cas de spoofing bancaire.
L'hameçonnage belge exploite la confiance dans les canaux institutionnels — faux messages au nom de la Banque nationale, faux conseillers. La BNB a dû publier des avertissements contre de faux articles utilisant son nom. Pour les institutions belges, le VoP étendu et le gel côté bénéficiaire sont les outils qui feront baisser le taux de perte résiduel — le gel dès l'application générale du PSR, le VoP étendu environ six mois plus tard.
La plateforme dans le viseur : le précédent des escroqueries à l'investissement
Les plateformes de médias sociaux pourraient-elles désormais être financièrement responsables de la fraude ?
Le principe de responsabilité des plateformes du PSR répond à un phénomène massif : les fausses publicités d'investissement sur les réseaux sociaux. Le mécanisme fonctionne comme suit : la banque rembourse la victime, puis exerce un recours contre la plateforme, qui a été notifiée du contenu frauduleux et ne l'a pas retiré. Pour les banques belges, il s'agit d'un nouveau levier de recouvrement — mais cela nécessite la mise en place d'une traçabilité rigoureuse des signalements envoyés aux plateformes. Un signalement non documenté est un recours perdu.
Le principe de responsabilité des plateformes du PSR répond à un phénomène massif : les fausses publicités d'investissement sur les réseaux sociaux. Le mécanisme fonctionne comme suit : la banque rembourse la victime, puis se retourne contre la plateforme, qui a été notifiée du contenu frauduleux et ne l'a pas retiré. Pour les banques belges, c'est un nouveau levier de recouvrement — mais il exige de mettre en place une traçabilité rigoureuse des signalements envoyés aux plateformes. Un signalement non documenté est un recours perdu.
Que doivent faire maintenant les équipes Conformité, Risques, Juridique, Achats et IT ?
Pour les directions conformité et lutte anti-blanchiment. La surveillance des transactions doit passer d'une logique fondée sur des règles à une logique comportementale et prédictive. Concrètement : auditer les taux de faux positifs, réduire la part des alertes traitées manuellement, et préparer le dossier d'explicabilité des modèles avant que l'AMLA ne le demande.
Pour les directions risques et opérations. Le gel côté bénéficiaire est un changement de processus majeur : il exige des boucles de décision rapides pour geler les fonds entrants suspects sans pénaliser les clients légitimes, et des flux de vérification alignés sur le VoP universel — y compris pour les virements hors SEPA et les paiements de gros montant désormais dans le périmètre.
Pour les directions juridiques. Cartographier les cas de spoofing et constituer des dossiers de preuve : sous le PSR, c'est la banque qui doit prouver la négligence grave du client pour refuser un remboursement. Par ailleurs, mettre en place une traçabilité des signalements adressés aux plateformes — le recours contre elles n'existera que si le signalement est documenté.
Pour les directions achats et IT. La consolidation du marché réduit le nombre de fournisseurs indépendants de détection comportementale. Les contrats pluriannuels devront traiter la dépendance technologique — ainsi que les clauses d'audit que les superviseurs exigent pour l'externalisation.
Quels sont les principaux enseignements pour les banques belges ?
Le PSR inverse la charge de la preuve : en cas de spoofing, remboursement intégral par la banque, sauf si la banque prouve la négligence grave du client — un niveau de preuve considérablement relevé par rapport à la DSP2 (iPiD).
Le gel côté bénéficiaire devient obligatoire à l'application générale du PSR ; le VoP étendu (toutes devises, tous canaux) suit environ six mois plus tard — à planifier, pas à traiter comme un chantier immédiat (iPiD).
La détection de fraude se consolide : Visa/BioCatch à 2,4 Mds $ après Featurespace/Worldpay — la détection comportementale devient une infrastructure de paiement, plus une option (CNBC).
En Belgique, 93 M€ détournés par hameçonnage en 2025 (contre 49 M€ en 2024) et un taux de blocage de 75 % : le PSR transforme les 25 % résiduels en coût direct pour les banques belges (Febelfin).
Feuille de route / Calendrier à venir
Échéance | Événement | Action recommandée |
|---|---|---|
Décembre 2026 | Vote en plénière du Parlement européen sur le PSR/PSD3 (date indicative : 14/12/2026), puis publication au JO | Finaliser l'analyse d'impact et la veille |
T4 2028 (estimé) | Application générale du PSR, 21 mois après l'entrée en vigueur. Vérification du bénéficiaire étendue (art. 50/57) et responsabilité associée environ 6 mois plus tard, soit T2 2029 | VoP hors SEPA, gel côté receveur, partage des données de fraude |
10 juillet 2027 | Application complète de l'AMLR — un corpus réglementaire unique en matière de lutte anti-blanchiment dans l'UE | Aligner la surveillance des transactions sur les normes de l'AMLA ; préparer l'explicabilité des modèles |
1er janvier 2028 | Début de la supervision directe des groupes à haut risque par l'AMLA | Les grands groupes belges devraient documenter dès maintenant leurs choix d'externalisation RegTech |
Les banques belges sont-elles prêtes pour la nouvelle économie de la fraude ?
Le message à l'intention des banques belges est clair : la fraude ne peut plus être traitée comme une question purement opérationnelle ou informatique. La combinaison de l'augmentation des volumes d'escroqueries, des attaques de plus en plus sophistiquées pilotées par l'IA, des règles de responsabilité plus strictes du PSR et de la consolidation rapide des technologies de détection de la fraude change fondamentalement l'économie de la fraude.
L'acquisition de BioCatch par Visa illustre la direction que prend le marché : l'analyse comportementale et la détection pilotée par l'IA deviennent des composantes essentielles de l'infrastructure de paiement. Parallèlement, le PSR placera une responsabilité financière accrue sur les PSP, en particulier dans les cas de spoofing et d'escroquerie, tout en élargissant la vérification du bénéficiaire et en renforçant les contrôles autour des paiements suspects.
Pour les banques, la priorité devrait donc être de passer d'une gestion réactive de la fraude à une prévention proactive de celle-ci. Cela implique d'investir dans la détection comportementale, de renforcer les contrôles VoP et les contrôles côté réception, d'améliorer le partage des données de fraude, et de veiller à ce que les modèles automatisés soient explicables, auditables et correctement gouvernés.
Le calendrier réglementaire laisse peu de place à la complaisance. Les institutions qui commencent à s'adapter dès maintenant peuvent transformer ces changements en opportunité pour réduire les pertes liées à la fraude, renforcer la protection des clients et bâtir un cadre de contrôle plus résilient. Celles qui attendront que les nouvelles obligations prennent effet pourraient se retrouver à gérer non seulement des volumes de fraude plus élevés, mais aussi une exposition financière et réglementaire considérablement accrue.
