Booking.com mise sur l’IA pour détecter la fraude avant qu’elle ne touche les voyageurs

Réserver un hôtel sur internet ne se résume pas à choisir une chambre et saisir une carte bancaire. Derrière une transaction apparemment simple circulent des informations personnelles, des données de paiement, des messages et de nombreux signaux techniques. Cette richesse fait des plateformes de voyage une cible pour des fraudeurs aux méthodes variées. Pour y répondre, Booking.com s’appuie sur l’intelligence artificielle afin de détecter plus tôt les comportements anormaux et d’aider ses équipes à intervenir avant qu’un incident ne prenne de l’ampleur.

Siddhartha Choudhury, Senior Product Manager chez Booking.com, présente cette bataille comme un travail de sécurité continu plutôt que comme la simple installation d’un logiciel capable de tout résoudre. L’enjeu est double : protéger les utilisateurs et préserver la confiance indispensable au fonctionnement d’une place de marché qui met en relation voyageurs et hébergements.

La fraude dans le voyage en ligne ne se limite pas aux cartes volées

L’image la plus connue de la fraude en ligne est celle d’un achat réalisé avec une carte bancaire dérobée. Or, dans l’univers des réservations, les menaces peuvent apparaître bien avant ou bien après le paiement. Elles visent aussi la réputation des établissements, les échanges entre utilisateurs et partenaires, ou encore l’accès aux comptes.

Siddhartha Choudhury cite plusieurs formes de risque auxquelles une plateforme comme Booking.com doit faire face : les fraudes de paiement, la rédaction de faux avis d’hôtels, les escroqueries à des fins marketing, le phishing et les tentatives de prise de contrôle de comptes. Ces attaques n’ont ni le même objectif ni les mêmes indices. Certaines cherchent une transaction immédiate, d’autres tentent de détourner une conversation ou de récupérer des identifiants pour agir ensuite au nom d’un voyageur.

Cette diversité explique pourquoi la lutte antifraude ne peut pas reposer sur une seule règle, par exemple le blocage automatique d’un paiement inhabituel. Une règle trop stricte risquerait d’empêcher une réservation parfaitement légitime. Une règle trop souple laisserait davantage de place aux fraudeurs. C’est dans cet arbitrage que les modèles d’intelligence artificielle peuvent jouer un rôle utile.

Comment l’IA repère-t-elle les comportements suspects ?

L’intelligence artificielle est particulièrement adaptée aux situations où il faut examiner rapidement des quantités considérables d’informations. D’après Siddhartha Choudhury, Booking.com traite des pétaoctets de données. À cette échelle, l’analyse manuelle de chaque événement est impossible.

Les systèmes peuvent examiner des éléments issus des interactions avec les applications, des messages, des e-mails et d’autres activités liées au service. L’objectif n’est pas de lire chaque échange comme le ferait une personne, mais de faire ressortir des signaux inhabituels, des incohérences ou des schémas associés à des comportements déjà considérés comme risqués.

Dans la lutte contre la fraude, l’apprentissage automatique permet en général de comparer une nouvelle activité avec des situations antérieures : une succession inhabituelle d’actions, des connexions qui semblent incohérentes avec le fonctionnement normal d’un compte, ou des caractéristiques qui se retrouvent fréquemment dans des tentatives malveillantes. Le système peut alors générer une alerte ou attribuer un niveau de risque afin que l’équipe compétente examine le cas.

Booking.com ne présente toutefois pas l’IA comme une formule magique. Choudhury insiste sur une approche multidimensionnelle, fondée à la fois sur des solutions conçues en interne et sur des technologies fournies par des tiers. Ces outils spécialisés peuvent couvrir différents besoins, tandis que les infrastructures infonuagiques facilitent l’accès à des capacités de traitement et d’analyse avancées.

Cette combinaison compte autant que l’algorithme lui-même. Un outil performant dans la détection d’un type d’activité frauduleuse peut être moins pertinent pour un autre. Coordonner plusieurs briques techniques permet donc d’adapter la réponse à la pluralité des menaces, mais rend aussi l’organisation plus exigeante.

Pourquoi la prévention est-elle préférable à la réaction ?

Dans la cybersécurité, intervenir après la fraude est rarement la situation idéale. Une fois qu’un compte a été compromis, qu’un paiement illégitime a été tenté ou qu’un voyageur a transmis ses informations à un hameçonneur, la résolution peut être longue et stressante. La prévention vise à limiter cette exposition en identifiant les anomalies avant qu’elles ne deviennent des incidents plus graves.

C’est la philosophie décrite par Siddhartha Choudhury. L’IA est utilisée pour détecter les risques de manière proactive, notamment en attirant l’attention sur les comportements qui exigent une analyse. Les analystes de sécurité ne sont pas remplacés : ils disposent d’assistants IA capables de parcourir rapidement de grands ensembles de données et de faire remonter les alertes les plus significatives.

Le bénéfice attendu est très concret. Plutôt que de consacrer le même temps à toutes les activités, les experts peuvent concentrer leurs efforts sur les dossiers où les conséquences potentielles sont les plus importantes. Leur rôle reste aussi essentiel pour vérifier le contexte, évaluer les cas ambigus et décider de la réponse adaptée.

L’IA peut-elle décider seule de bloquer un utilisateur ?

La réponse apportée par Choudhury est prudente : pour les décisions sensibles, la supervision humaine demeure indispensable. Un expert intervient presque toujours pour finaliser les décisions importantes, notamment afin d’écarter les faux positifs. Ce terme désigne une alerte qui paraît suspecte au système mais qui correspond, après examen, à une action légitime.

Cet équilibre est important pour les voyageurs. Une réservation de dernière minute depuis l’étranger, un changement d’appareil avant un départ ou une demande inhabituelle auprès d’un hébergement peuvent tous être parfaitement normaux. Un dispositif de sécurité utile doit protéger sans transformer chaque comportement atypique en obstacle injustifié.

La collaboration entre humains et systèmes automatiques apporte donc deux formes de vigilance complémentaires :

• l’IA peut analyser une masse de signaux à une vitesse inaccessible à une équipe humaine seule ;
• les analystes apportent le jugement, le contexte et la capacité de remettre en cause une alerte ;
• le contrôle humain réduit le risque qu’une décision à fort impact repose uniquement sur une prédiction statistique.

Biais, transparence et vie privée : les conditions de la confiance

Utiliser l’IA contre la fraude pose une question majeure : comment s’assurer qu’un système chargé de signaler des comportements ne traite pas injustement certaines personnes ou certains groupes ? Selon Siddhartha Choudhury, Booking.com a mis en place des mesures pour éviter les biais et ses équipes vérifient activement les algorithmes afin qu’aucun individu ou groupe ne soit indûment ciblé.

Cette vigilance est particulièrement nécessaire lorsqu’un outil produit des scores de risque ou classe des activités comme suspectes. Un modèle n’est pas neutre par nature : il dépend des données sur lesquelles il a été entraîné, des critères retenus et de la façon dont ses résultats sont utilisés. Tester les systèmes, examiner les erreurs et maintenir un recours humain constituent donc des garde-fous opérationnels.

Choudhury souligne aussi la nécessité de transparence. Dans un cadre de sécurité, celle-ci ne signifie pas révéler publiquement les mécanismes de détection, ce qui aiderait les fraudeurs à les contourner. Elle suppose plutôt que les équipes puissent comprendre les choix de leurs systèmes, les contrôler et justifier les décisions importantes prises avec leur assistance.

Pour les utilisateurs, une précaution reste valable indépendamment des technologies déployées par une plateforme : ne jamais communiquer ses identifiants ou ses données bancaires en réponse à un message inattendu, même si celui-ci semble lié à un séjour. Les outils de détection réduisent les risques, mais ne peuvent promettre qu’aucune tentative de fraude n’atteindra jamais un voyageur.

Le défi caché : concilier efficacité technique et coûts

Améliorer la détection n’est pas qu’une affaire d’algorithmes. La multiplication d’outils internes, de solutions externes, de modèles d’apprentissage automatique et de ressources infonuagiques soulève une question de pilotage. Ces composants doivent fonctionner ensemble, sans produire une accumulation d’alertes difficiles à exploiter.

Choudhury évoque aussi un dilemme permanent entre performances et maîtrise des coûts. Faut-il investir davantage pour obtenir une détection plus fine ? Ou privilégier l’efficacité économique d’un système déjà opérationnel ? Il n’existe pas de réponse universelle, car le coût d’un dispositif plus sophistiqué doit être mis en regard des risques auxquels il permet de répondre.

La difficulté est renforcée par l’évolution constante des attaques. Les fraudeurs adaptent leurs méthodes à mesure que les plateformes améliorent leurs protections. La sécurité n’est donc pas un chantier achevé, mais un cycle continu d’observation, d’ajustement et de vérification.

Ce qu’il faut surveiller dans la sécurité des plateformes de voyage

Pour Siddhartha Choudhury, la prochaine étape ne consiste pas nécessairement à multiplier sans fin les nouveaux outils. Elle repose plutôt sur l’amélioration de l’intégrité des systèmes existants et sur leur capacité à communiquer de façon plus fluide. L’ambition est celle d’un écosystème de sécurité coordonné, dans lequel les différentes composantes partagent les signaux utiles tout en conservant des contrôles fiables.

Cette orientation reflète une réalité plus large de l’IA appliquée à la cybersécurité : la valeur ne vient pas seulement de la puissance de calcul ou du nombre d’alertes générées. Elle dépend de la qualité des données, de la pertinence des décisions, de la capacité à limiter les erreurs et de la responsabilité avec laquelle les outils sont déployés.

Lors de l’AI & Big Data Expo Europe à Amsterdam, Siddhartha Choudhury doit partager ces réflexions sur la lutte contre la fraude. Pour les utilisateurs, l’enjeu restera très concret : pouvoir préparer un séjour avec davantage de confiance, tout en gardant les réflexes de prudence qui demeurent indispensables face aux arnaques en ligne.