Résumé Technique : L'Anatomie des Scénarios d'Escroquerie : Caractérisation à Grande Échelle et Détection Sensible aux Conversations

1. Énoncé du Problème

Les escroqueries en ligne ont évolué pour devenir une épidémie mondiale, infligeant de graves préjudices financiers et psychologiques tout en imposant des charges opérationnelles significatives aux institutions financières. Bien que les recherches antérieures aient étudié de manière approfondie les Techniques Psychologiques (TP) (ex. : autorité, urgence, peur) en tant que signaux de persuasion isolés, elles négligent souvent les schémas opérationnels récurrents (scénarios d'escroquerie) dans lesquels ces techniques sont systématiquement déployées. Les escrocs ne superposent pas les TP de manière arbitraire ; ils les intègrent dans des récits réutilisables (ex. : fausses offres d'emploi, usurpation de services de services publics) pour intensifier leurs campagnes avec une adaptation minimale.

De plus, les systèmes de détection existants peinent dans les contextes de défense pratique. La défense contre les escroqueries intervient souvent lors d'interactions de service client partielles et en cours de déroulement, où les défenseurs doivent inférer le scénario d'escroquerie sous-jacent à partir de récits de clients incomplets, bruités et évolutifs. Les approches actuelles ne parviennent pas à transférer efficacement les connaissances issues des rapports d'incidents rétrospectifs à grande échelle vers l'analyse de conversations en temps réel, tour par tour, particulièrement face à des défis tels que le contexte incomplet, l'incertitude de l'apparition des preuves et la diversité des styles narratifs.

2. Méthodologie

Le document propose une approche en deux phases : une étude empirique à grande échelle pour caractériser les scénarios d'escroquerie et un cadre de détection sensible aux conversations (EARS) pour opérationnaliser ces connaissances.

2.1. Étude Empirique : Découverte des Scénarios d'Escroquerie

Les auteurs ont mené une analyse basée sur les données de 102 054 rapports d'incidents d'escroquerie réels provenant du BBB Scam Tracker (février 2024 – octobre 2025).

• Construction de la Taxonomie : En utilisant BERTopic pour le regroupement initial, les auteurs ont identifié 99 thèmes préliminaires. Ceux-ci ont été affinés via un pipeline de résumé assisté par LLM et d'annotation par des experts humains (impliquant l'apprentissage actif) pour les consolider en 18 scénarios d'escroquerie distincts et fins.
• Groupement Hiérarchique : Les 18 scénarios ont été regroupés en 6 tactiques de haut niveau basées sur leurs profils de TP dominants (ex. : « Autorité et Conformité », « Relation et Confiance »).
• Analyse de l'Infrastructure : L'étude a analysé l'infrastructure partagée (adresses IP, domaines, e-mails) pour identifier des campagnes coordonnées, révélant que les escrocs réutilisent des ressources pour lancer des opérations à grande échelle et multi-tactiques.

2.2. EARS : Détection de Scénarios d'Escroquerie Sensible aux Conversations

Pour traduire la connaissance des scénarios en une détection précoce, les auteurs ont développé EARS (Early Anti-scam Recognition System). Le système traite la détection comme une tâche de classification de texte séquentielle où le modèle met à jour ses prédictions à mesure que les tours de conversation s'accumulent.

• Modèle de Menace : Le défenseur (ex. : un agent bancaire) observe le récit d'un client lors d'une enquête sur une fraude. L'objectif est d'identifier le scénario d'escroquerie le plus tôt possible, en distinguant les demandes légitimes des escroqueries en cours de développement.
• Pipeline d'Entraînement en Deux Étapes :
  1. Pré-entraînement sur les Rapports d'Incidents : Un classificateur de scénarios est pré-entraîné sur le vaste corpus de rapports d'incidents. Cela permet au modèle d'apprendre une sémantique robuste au niveau du scénario avant de s'adapter au format conversationnel.
  2. Apprentissage par Transfert pour les Conversations : Le modèle pré-entraîné est affiné sur des conversations de service client en utilisant trois innovations clés :
     • Modélisation Sensible aux Phases : Le système classifie chaque tour en une de trois phases : Non lié (salutations), Narratif (contexte) ou Preuve d'Escroquerie. Il injecte des caractéristiques de l'état de la phase et des décalages d'apparition des preuves dans le modèle pour l'aider à suspendre son jugement durant les phases bénignes et à s'engager dans une prédiction une fois que les preuves diagnostiques apparaissent.
     • Augmentation de Données Basée sur les LLM : Pour remédier à la rareté des données de conversation étiquetées et à la variabilité stylistique, un LLM réécrit les conversations avec des personas et des structures narratives variés tout en préservant les étiquettes de scénarios sous-jacentes.
     • Perte de Tour Sensible aux Phases (PATL) : Une fonction de perte personnalisée surpondère les tours contenant des preuves d'escroquerie et sous-pondère les tours non liés, encourageant le modèle à se concentrer sur les signaux diagnostiques.

3. Contributions Clés

1. Taxonomie à Grande Échelle : La première taxonomie hiérarchique pilotée par les données, comprenant 18 scénarios fins regroupés en 6 tactiques, dérivés de plus de 100 000 rapports d'incidents.
2. Aperçus Empiriques :
   • Superposition de PT : Les escrocs superposent fréquemment les TP ; chaque TP supplémentaire est corrélé à une augmentation de 26,27 % de la perte monétaire attendue.
   • Adaptation Stratégique : Les escrocs adaptent les scénarios à des objectifs spécifiques (ex. : exposition large vs extraction de haute valeur) et adaptent l'infrastructure (domaines jetables vs résilients) en conséquence.
   • Coordination de Campagne : Plus de 30 % des incidents sont liés à des campagnes distinctes, la plus grande campagne couvrant l'ensemble des 18 scénarios et 3 809 incidents.
3. Cadre EARS : Un nouveau système de détection qui transfère avec succès la connaissance des scénarios des rapports statiques vers les conversations dynamiques, gérant l'incomplétude du contexte et l'incertitude de l'apparition des preuves grâce à la modélisation sensible aux phases et l'augmentation de données.

4. Résultats

Le système a été évalué sur 1 115 conversations de service client (synthétisées à partir d'appels réels d'enquête sur fraude par le partenaire industriel Charm Security).

• Détection au Niveau de la Tactique : EARS a atteint 84,41 % de précision et 84,14 % de F1 dans la classification de la tactique d'escroquerie de haut niveau.
• Détection au Niveau du Scénario : EARS a atteint 75,17 % de précision et 71,39 % de macro-F1 pour la classification fine des scénarios.
• Capacité de Détection Précoce : Le système classe le bon scénario parmi ses top-3 prédictions dans jusqu'à 91,04 % des cas. Notamment, la précision s'améliore significativement juste un tour après l'apparition de la première preuve d'escroquerie (passant d'environ 56 % à plus de 70 %+).
• Performance Comparative :
  • EARS a surpassé la meilleure base de référence LLM few-shot (GPT-5.4) de 25,62 points en macro-F1 de scénario.
  • Il a surpassé les bases de référence Transformer standards (sans modélisation de phase ou augmentation) de 5,24 points en macro-F1 de scénario.
  • Les études d'ablation ont confirmé que l'augmentation de données basée sur les LLM et la modélisation sensible aux phases sont toutes deux critiques, contribuant chacune environ 2 à 4 points de pourcentage à la performance finale.

5. Signification et Revendications

L'article soutient que la connaissance des scénarios extraite des rapports d'incidents à grande échelle est transférable et efficace pour la détection précoce dans les conversations de service client. En allant au-delà de la détection isolée des PT pour adopter une approche holistique sensible aux scénarios, les auteurs démontrent que :

• Les escrocs opèrent au sein de schémas opérationnels structurés et réutilisables qui peuvent être systématiquement caractérisés.
• Les systèmes automatisés peuvent exploiter ces modèles pour soutenir une intervention opportune, réduisant ainsi la charge de travail d'investigation et les pertes financières.
• La méthodologie proposée comble le fossé entre l'analyse forensique rétrospective et l'action défensive en temps réel, fournissant une base pratique tant pour l'analyse des écosystèmes d'escroquerie que pour le déploiement de systèmes d'alerte précoce dans les institutions financières.

Les auteurs maintiennent une position modeste, reconnaissant que la taxonomie n'est pas exhaustive (incluant une catégorie « Autre » pour les rapports non identifiables) et que le système repose sur des données synthétiques en raison de contraintes de confidentialité, bien qu'ils soutiennent que les données synthétiques reflètent fidèlement les modèles d'interaction du monde réel.