La nouvelle anatomie de la fraude à l'identité

Comment la fraude évolue

Dans l'onboarding à distance, la fraude à l'identité était autrefois rudimentaire : la photo d'une pièce d'identité empruntée, ou un scan retouché dans un logiciel d'édition d'images. Ces tentatives existent toujours, mais elles ne représentent plus qu'une partie du tableau.

Les attaquants combinent désormais plusieurs techniques. Un document contrefait ou falsifié est associé à un visage qui lui correspond, généré ou échangé à l'aide d'outils facilement accessibles. L'image est introduite dans la session de vérification de manière à contourner entièrement la caméra du téléphone. Les données personnelles proviennent de fuites antérieures : noms, adresses et dates de naissance paraissent donc cohérents avec d'autres registres.

Les parcours à contrôle unique ne suffisent plus. Un parcours qui se contente de lire un document, ou de comparer deux photos, ne repose que sur un seul point de défaillance. La fraude organisée trouve ce point et répète l'attaque sur de nombreux comptes.

Attaques sur les documents

La fraude documentaire se répartit en quelques grandes catégories, et chacune laisse des traces différentes.

• Contrefaçons. Un document fabriqué de toutes pièces pour ressembler à un vrai. La qualité varie fortement, du faux grossier aux modèles soignés vendus en ligne.
• Documents authentiques falsifiés. Un vrai document dont certains champs ont été modifiés, généralement le nom, la date de naissance, la date d'expiration ou le portrait. La carte physique est authentique, et c'est ce qui rend ce type de fraude convaincant.
• Documents volés ou empruntés. Authentiques et non modifiés, mais présentés par une autre personne que leur titulaire.
• Documents réutilisés. Le même document, ou la même image de celui-ci, soumis pour plusieurs comptes ou services.

La vérification détecte ces fraudes de différentes manières. Les contrôles du modèle et des éléments de sécurité comparent le document à ce que l'émetteur produit réellement. La zone de lecture automatique contient des chiffres de contrôle qui doivent concorder avec les données imprimées : une modification maladroite les rend souvent incohérents. Lorsque le document comporte une puce, la vérification NFC lit des données signées par l'autorité émettrice. Un attaquant peut modifier la carte imprimée, mais il ne peut pas produire de signature valide pour des données de puce modifiées. La réutilisation est repérée en comparant les nouvelles soumissions à celles déjà reçues.

Un document authentique mais volé passe tous ces contrôles. C'est pourquoi le contrôle du document n'est jamais la dernière étape.

Attaques sur l'image et attaques par présentation

Fausses pièces d'identité, rediffusions d'écran et visages synthétiques visent les étapes de vérification les plus faibles. Des contrôles en plusieurs couches renchérissent chaque tentative.

Côté visage, la technique la plus ancienne est l'attaque par présentation : placer devant la caméra autre chose qu'une personne vivante. Il peut s'agir d'une photo imprimée, d'une photo ou d'une vidéo sur un second écran, d'un découpage dont les yeux ont été évidés ou d'un masque. Le but est de faire correspondre le selfie au portrait du document sans que le vrai titulaire soit présent.

Les rediffusions d'écran sont fréquentes parce qu'elles coûtent peu : une vidéo de la victime, souvent récupérée sur les réseaux sociaux, est diffusée sur une tablette tenue devant le téléphone. Les effets de moiré, les bords d'écran, les reflets, une profondeur peu naturelle et l'absence de petits mouvements involontaires sont des signaux typiques que recherche la détection du vivant.

Le morphing est une variante plus discrète. Deux visages sont fusionnés en un seul portrait, de sorte que le document obtenu puisse être utilisé par l'une ou l'autre personne. Une comparaison faciale avec un portrait morphé peut réussir pour les deux. C'est pourquoi la détection du morphing est traitée comme un contrôle à part, et non laissée au seuil de comparaison.

Attaques par injection et deepfakes

Une attaque par injection se passe de la caméra. Au lieu de pointer un appareil vers un écran, l'attaquant introduit des images ou une vidéo directement dans la session de vérification, au moyen d'une caméra virtuelle, d'une application modifiée, d'un émulateur ou d'un navigateur manipulé.

C'est important, car de nombreux contrôles des attaques par présentation partent du principe que l'image provient d'un véritable objectif filmant une scène réelle. Si le flux lui-même est fabriqué, son contenu peut être un deepfake qui bouge, cligne des yeux et tourne la tête sur demande. Demander à l'utilisateur de sourire ou de regarder à gauche n'aide guère lorsque le visage est généré en temps réel. Repérer un bon deepfake à l'œil nu est plus difficile qu'on ne le pense : essayez notre quiz « vrai ou deepfake ».

Se défendre contre l'injection passe donc autant par le canal de capture que par l'image. Les signaux typiques consistent à savoir si la caméra est un appareil physique, si la session présente des signes d'émulation ou de manipulation, et si le rythme des images et leurs caractéristiques statistiques correspondent à un vrai capteur. Ces contrôles s'ajoutent à la détection du vivant, ils ne la remplacent pas.

Identités synthétiques et recyclées

Une identité synthétique est construite plutôt que volée. Elle mélange des données réelles, comme une adresse valide ou l'identifiant d'une personne réelle, avec des éléments inventés. Avec le temps, elle peut se constituer un historique de crédit ou une série de comptes qui lui donnent une apparence établie.

Les identités synthétiques sont difficiles à repérer par de simples contrôles de données, car chaque champ pris isolément peut être plausible. Elles deviennent plus difficiles à maintenir lorsque l'onboarding exige un document physique authentique, un visage qui lui correspond et la preuve qu'une personne réelle est présente. L'attaquant a alors besoin d'un vrai document pour une identité qui n'existe pas, ce qui place la barre beaucoup plus haut.

Là où la vérification aide

L'authenticité du document, la comparaison faciale et la détection du vivant comblent chacune une faille différente. Ensemble, elles rendent la fraude à grande échelle plus difficile à mener.

Aucune couche n'est parfaite à elle seule. L'intérêt de les superposer est qu'un attaquant qui déjoue un contrôle doit encore déjouer le suivant, et que le coût de l'opération à grande échelle augmente rapidement. Pour savoir ce que la fraude et les examens manuels coûtent aujourd'hui à votre entreprise, essayez notre calculateur du coût de la fraude.

Ce qu'il faut décider pour votre parcours

Avant de choisir des outils ou des seuils, il est utile de s'accorder en interne sur quelques points.

1. Les attaques que vous subissez réellement. Analysez les cas de fraude passés. Une plateforme d'échange crypto et un exploitant de parkings ne font pas face aux mêmes schémas.
2. Les contrôles proportionnés. Un retrait important peut justifier un parcours plus strict qu'une simple ouverture de compte.
3. Le traitement des cas incertains. Décidez quels résultats partent en examen manuel et qui les traite.
4. La manière de tirer des leçons des rejets. Suivez les raisons des échecs de session, pour distinguer un schéma d'attaque d'un problème d'ergonomie.
5. La durée de conservation des preuves. Les enquêtes sur la fraude nécessitent certaines données, mais conserver des images plus longtemps que nécessaire crée un risque en soi.

secuveri exécute le contrôle des documents avec lecture de la puce NFC lorsqu'elle est disponible, la comparaison faciale, la détection du vivant et des signaux de fraude couvrant les documents falsifiés et réutilisés, les rediffusions d'écran, les visages synthétiques et les flux injectés ou deepfakes. Vous choisissez les contrôles exécutés dans chaque parcours, et chaque résultat est renvoyé sous la forme accepter, examiner ou refuser. Les données sont traitées et stockées en Suisse, avec la possibilité d'un déploiement on-premise.