DSP3, RSP et IPR : ce que les nouvelles règles européennes de paiement changent pour la défense contre l’ingénierie sociale

La DSP3 et le règlement sur les services de paiement (RSP) font payer davantage de fraudes aux prestataires de services de paiement, y compris les arnaques où un criminel se fait passer pour un conseiller bancaire. La vérification du bénéficiaire et la surveillance des transactions en arrêteront une partie. Le reste dépend des personnes : l’employé qui prend l’appel et le client qui valide le paiement.

Que sont la DSP3, le RSP et l’IPR ?

La DSP3, le RSP et l’IPR sont trois textes européens qui redéfinissent l’exécution, la protection et le remboursement des paiements. La DSP3 est une directive qui encadre l’agrément et la supervision des établissements de paiement. Le RSP est un règlement d’application directe qui fixe les règles de conduite et de lutte contre la fraude. L’IPR, déjà en vigueur, rend obligatoires les virements instantanés en euros et la vérification du bénéficiaire.

L’accord provisoire a été annoncé par le Parlement européen le 27/11/2025 (Parlement européen, novembre 2025). Le Conseil a publié les textes de compromis finaux le 23/04/2026, et la commission ECON du Parlement les a approuvés le 05/05/2026. Le vote en plénière, l’adoption par le Conseil et la publication au Journal officiel étaient encore en attente au moment de la rédaction (Open Banking Tracker, consulté en août 2026).

Pourquoi la DSP3 et le RSP placent-ils l’ingénierie sociale au cœur de la conformité ?

Parce que la plupart des pertes liées à la fraude aux paiements proviennent désormais d’arnaques où le client légitime est manipulé pour envoyer de l’argent, et que le RSP transfère une partie de ce coût des clients vers les PSP. Un type de fraude que la banque n’absorbait qu’occasionnellement devient une ligne directe de son budget de pertes.

Le rapport conjoint 2025 de l’ABE et de la BCE le chiffre. La fraude aux paiements dans l’EEE a atteint 4,2 milliards d’euros en 2024, contre 3,5 milliards en 2023. La fraude au virement a atteint à elle seule 2,2 milliards d’euros, en hausse de 16 % sur un an, principalement en raison d’arnaques qui poussent les utilisateurs à initier eux-mêmes les paiements. Les utilisateurs ont supporté environ 85 % de ces pertes (rapport conjoint ABE et BCE, via la Banque de France, décembre 2025).

Le même rapport constate que l’authentification forte réduit nettement la fraude à la carte, mais que son effet sur les virements est moins net. La raison est simple : dans une arnaque par manipulation, c’est la bonne personne qui authentifie le paiement. L’authentification forte confirme qui agit, pas pourquoi.

Qu’est-ce qui change pour la responsabilité en cas de fraude avec le RSP ?

Le RSP fait passer plusieurs scénarios de fraude de « le client l’a autorisé » à « le prestataire paie ». Le tableau ci-dessous résume les cas prévus par l’accord provisoire.

Sources : Parlement européen, novembre 2025 et EY, mis à jour en mai 2026.

Pourquoi la règle sur l’usurpation d’un employé de banque est-elle la plus importante ?

C’est la première règle européenne qui fait payer à un PSP un paiement validé par le client, au seul motif que le fraudeur a emprunté l’identité du PSP. Un appel usurpant « le service fraude de votre banque » est une attaque d’ingénierie sociale contre le client, mais la perte retombe désormais sur la banque. Chaque canal par lequel un client peut être convaincu qu’il vous parle entre dans votre exposition.

La vérification du bénéficiaire arrête-t-elle la fraude par usurpation ?

En partie seulement. La vérification du bénéficiaire contrôle que le nom du bénéficiaire correspond au compte. Elle ne vérifie pas si le paiement a du sens. Un client guidé par un faux conseiller peut toujours être incité à ignorer une alerte de non-concordance, ou être orienté vers un compte de mule ouvert sous un nom concordant. Le contrôle tient lorsque le client et vos équipes savent comment y réagir.

Qu’exige le RSP des personnes, et pas seulement des systèmes ?

Au-delà des mesures techniques, le RSP fixe des obligations que seules des personnes peuvent remplir : des employés qui reconnaissent les schémas de fraude et des clients qui savent comment votre établissement communique. Selon la lecture du texte de compromis par EY, les PSP devront mettre en place les éléments suivants (EY, mis à jour en mai 2026) :

• Formation du personnel : une formation au moins annuelle sur les risques de fraude aux paiements et les tendances émergentes. EY recommande de la fonder sur les modes opératoires criminels réels.
• Sensibilisation des clients : des alertes proactives par les canaux appropriés lorsque de nouveaux types de fraude apparaissent, des consignes claires pour reconnaître et signaler la fraude, et une attention portée aux clients vulnérables.
• Surveillance des transactions : davantage de données qu’avec la DSP2, des facteurs de risque comme les scénarios de fraude connus, et des résultats explicables aux clients comme aux superviseurs.
• Partage de données sur la fraude : l’échange de données définies avec d’autres PSP lorsque des motifs objectifs laissent soupçonner une fraude.

L’accord garantit aussi l’accès à un service client humain, et pas uniquement à des chatbots (Parlement européen, novembre 2025). Ces conseillers humains sont précisément ceux que les escrocs imitent, et ceux qu’ils ciblent.

Où les établissements financiers sont-ils les plus exposés à l’ingénierie sociale ?

L’exposition se situe partout où une personne peut autoriser, débloquer ou réorienter de l’argent sur la parole d’un tiers. Avec le RSP, cela inclut vos clients appelés par de faux employés, et vos propres employés appelés par de faux clients, dirigeants ou fournisseurs.

Les virements instantanés réduisent la fenêtre d’action. Avec l’IPR, un virement en euros est exécuté immédiatement : un paiement validé par un employé ou un client manipulé est parti avant qu’une revue manuelle puisse commencer.

Comment les établissements financiers peuvent-ils construire un pare-feu humain pour la DSP3 et le RSP ?

Traitez la résilience humaine comme un contrôle antifraude, avec des responsables, des tests et des preuves, comme vous le faites pour la surveillance des transactions. Une formation annuelle couvre le minimum. La preuve que les employés vérifient avant d’agir est ce qui soutient l’argument selon lequel vos mesures étaient appropriées.

• Associez des scénarios d’usurpation à chaque canal utilisé : téléphone, email, SMS, messageries et visioconférences.
• Rédigez une règle de vérification par scénario, par exemple un rappel sur un numéro connu avant tout changement de coordonnées bancaires, et enseignez-la.
• Formez les employés aux modes opératoires réels au moins une fois par an, puis renforcez avec de courtes leçons tout au long de l’année.
• Testez le centre de contact et les agences avec des simulations de vishing fondées sur vos propres processus.
• Testez la finance, la trésorerie et les assistants de direction avec des scénarios de fraude au président et de deepfake.
• Alignez les alertes clients sur les scripts des employés, pour que chacun entende « nous ne vous demanderons jamais de déplacer votre argent vers un compte sécurisé ».
• Conservez les registres de formation et les résultats des simulations par entité, prêts pour les superviseurs et les litiges de remboursement.

Comment Arsen aide-t-il les établissements financiers à se préparer ?

Arsen forme et teste les personnes que ciblent les arnaques par usurpation, sur les canaux qu’elles utilisent. Pour les services financiers, Arsen propose des simulations de phishing, des simulations de vishing reposant sur l’IA vocale en temps réel et le clonage de voix, et des simulations d’appels vidéo deepfake dans Microsoft Teams, proposées en option.

Les scénarios peuvent être conçus pour la trésorerie, les agences, la gestion de patrimoine et les opérations de paiement, et couvrir la prise de contrôle de compte, la fraude au président et les arnaques au virement instantané. Les employés piégés par une simulation reçoivent une sensibilisation à chaud, des micro-formations se poursuivent tout au long de l’année, et les rapports présentent la couverture de formation et les indicateurs de phishing par entité.

Les deepfakes ajoutent une couche vidéo aux mêmes arnaques : voir un dirigeant ou un conseiller à l’écran ne prouve plus qui parle. C’est ce que mesurent les simulations d’appel vidéo par deepfake d’Arsen, en testant si l’employé vérifie avant de valider la demande.

Quand la DSP3 et le RSP s’appliqueront-ils ?

Pas avant 2028 pour la plupart des dispositions. D’après les textes de compromis, la plupart des règles du RSP et la date limite de transposition de la DSP3 sont attendues environ 21 mois après l’entrée en vigueur, et l’extension de la vérification du bénéficiaire environ 27 mois après. L’entrée en vigueur intervient 20 jours après la publication au Journal officiel (Open Banking Tracker, consulté en août 2026).

Dates de l’IPR : Bird & Bird. Les comportements des employés évoluent plus lentement qu’une règle de surveillance : c’est donc le volet humain du programme qu’il faut lancer dès maintenant.