La stratégie de PayPal pour mettre fin aux bots alimentés par l’IA et réduire la fraude

Le défi : bloquer les bots avant qu’ils n’atteignent les systèmes critiques

À mesure que les attaques devenaient plus fréquentes et plus furtives, les défenses internes de PayPal subissaient une pression croissante. Les fraudeurs, qui ciblaient autrefois uniquement les points d’accès connus comme la connexion ou le paiement, testaient désormais tous les points d’entrée possibles, y compris les flux d’inscription et même les chemins de faible valeur, afin de trouver des points faibles.

Dan Ayash savait que la défense de la seule couche applicative n’était plus viable.

« Plus vous bloquez le trafic malveillant tôt, meilleures sont les performances de vos systèmes et moins les attaquants ont de chances de s’adapter », explique-t-il. Dan a alors pris une décision stratégique : arrêter les bots à la périphérie, au plus près de l’adversaire.

« Nous avons intégré DataDome au niveau du CDN, en dehors de notre infrastructure », explique-t-il. « Nous voulions être plus proches de l’adversaire afin de pouvoir bloquer le bruit avant qu’il n’atteigne nos systèmes. »

Ce changement d’architecture a permis à Dan et à son équipe d’intercepter et d’évaluer le trafic à la périphérie, bien avant qu’il n’atteigne l’infrastructure centrale de l’entreprise, gagnant ainsi en visibilité et en contrôle à un moment où les menaces sont plus faciles à détecter.

Le filtrage automatisé du trafic en amont a réduit la charge sur les systèmes internes et amélioré l’efficacité des modèles de détection en aval. Avec moins de bruit à analyser, la précision de la détection s’est améliorée, et les utilisateurs légitimes ont rencontré moins de frictions inutiles.

La solution : une protection basée sur l’IA qui s’adapte en temps réel

Les hackers ne se contentent plus de lancer des campagnes de force brute ; ils adaptent leur comportement et leurs tactiques en temps réel.

« Il y a dix ans, on voyait des milliers d’IP ; aujourd’hui, ce sont des millions », explique Dan. « Les attaquants font tourner les IP et modifient constamment les chaînes user-agent. Le protocole est sans état, et ils s’en servent à leur avantage. Chaque requête peut sembler différente. »

À ce niveau de sophistication, la détection traditionnelle des bots, qui se demande si le trafic est humain ou automatisé, atteint ses limites. C’est alors que Dan et son équipe ont compris que la vraie question n’était pas qui se cache derrière le trafic, mais ce que ce dernier cherche à accomplir.

Se concentrer sur l’intention plutôt que sur l’identité impliquait de dépasser les règles statiques et les signatures. Il fallait comprendre le comportement dans son contexte : cette session ressemble-t-elle à une validation de compte ? Cette tentative de connexion s’inscrit-elle dans un schéma plus large de credential stuffing ? L’activité de ce panier signale-t-elle un abus ou un intérêt légitime ?

Le moteur de détection en temps réel, piloté par l’IA, de DataDome, a joué un rôle clé pour répondre à ces questions cruciales. En analysant le trafic à la périphérie en fonction du comportement et de l’intention, Dan a pu prendre des décisions plus intelligentes et plus précoces avant que les menaces n’atteignent des points d’accès sensibles.

« Quand vous nettoyez le haut de l’entonnoir, toutes les couches en aval deviennent plus intelligentes. Elles voient plus clairement le trafic et peuvent mieux distinguer les comportements légitimes des abus », déclare Dan. « Cela améliore notre visibilité, aide nos modèles à apprendre plus vite, et réduit les frictions pour les utilisateurs réels. »

L’une des forces de DataDome est sa capacité à sonder l’intention en silence, en envoyant des défis en arrière-plan dans le navigateur depuis Device Check et en évaluant le niveau de sophistication de l’acteur.

« Nous pouvons faire cela sans introduire de friction supplémentaire, et c’est un véritable avantage », ajoute Dan.

Les résultats : une sécurité sans sacrifier l’expérience utilisateur

À l’échelle de PayPal, la protection contre les bots ne représente qu’une partie de l’équation. L’autre enjeu est de préserver la confiance des utilisateurs en s’assurant que la détection de la fraude ne bloque pas les transactions légitimes ni ne crée de friction inutile. En tant que fournisseur mondial de services financiers numériques, PayPal doit sécuriser chaque interaction tout en garantissant une expérience fluide pour ses clients.

Atteindre cet équilibre demande une coordination étroite entre l’équipe cybersécurité, qui se concentre généralement sur la réduction des risques et le blocage précoce des menaces, et les équipes fraude et métier, qui veillent tout autant aux conversions et à l’impact client. « Les équipes fraude et les équipes cybersécurité ne parlent pas le même langage », estime Dan. « Cela ne fonctionne que lorsque nous nous asseyons ensemble, que nous partageons les données et que nous analysons les résultats. »

Ainsi, pour Dan et son équipe, DataDome est évalué non seulement sur sa capacité à bloquer les attaques, mais aussi sur son impact sur les systèmes en aval et la performance business. En filtrant les menaces en amont, la plateforme améliore globalement l’expérience utilisateur. Un trafic plus propre atteint les systèmes critiques, les modèles de détection de fraude sont plus performants, moins d’utilisateurs légitimes sont bloqués à tort, et chacun peut mieux faire son travail.

Il y a également un bénéfice mesurable pour l’entreprise : la réduction des coûts opérationnels. En bloquant le trafic indésirable avant qu’il n’atteigne l’infrastructure de PayPal, l’équipe réduit la charge sur les systèmes internes et les services tiers, diminuant ainsi les coûts d’infrastructure et de prestataires.

« [Les bots] ne saturent plus l’infrastructure de PayPal, donc les coûts baissent », précise Dan.

Perspectives d’avenir : l’IA agentique entre les mains des fraudeurs

Les fraudeurs utilisent déjà l’IA pour imiter le comportement humain et renforcer leurs attaques, et la prochaine étape est encore plus avancée : le déploiement d’agents IA capables d’agir de manière autonome en leur nom. L’approche avant-gardiste de Dan repose sur un principe simple : pour se défendre contre l’IA agentique, où les attaquants s’adaptent en temps réel et lancent des attaques coordonnées et autonomes, il faut penser comme ceux qui la construisent.

« Il n’est pas nécessaire de devenir développeur », déclare Dan. « Mais il faut comprendre comment les fraudeurs utilisent ces outils. Que faudrait-il à une IA pour échapper à la détection ? Quel comportement adopterait-elle ? Une fois que vous comprenez cela, vous êtes bien mieux armé pour vous défendre. »

Cet état d’esprit devient de plus en plus essentiel, alors que les cybercriminels adoptent les mêmes outils que les équipes de sécurité, des MCP automatisés aux scripts basés sur l’IA. Pour Dan, l’avenir de la cybersécurité ne repose pas uniquement sur la détection. Il s’agit d’anticipation.

Avec DataDome, PayPal bénéficie d’une analyse en temps réel, d’une détection basée sur l’intention, d’une visibilité complète à la périphérie, et d’une excellente expérience utilisateur. Une manière plus intelligente de se protéger contre des menaces plus intelligentes.

Vous souhaitez en savoir plus sur la façon dont PayPal garde une longueur d’avance sur la fraude basée sur l’IA ?

Regardez le webinaire complet et découvrez comment détecter les intentions malveillantes en amont, arrêter la fraude avant qu’elle ne commence et accompagner une croissance sécurisée, sans friction pour les vrais utilisateurs.

Vous vous demandez comment se défendent vos systèmes ?

Testez gratuitement notre scan de vulnérabilité dès aujourd’hui pour évaluer la résistance de votre site face aux bots.