La vérification d'identité à distance repose sur deux éléments transmis par l'utilisateur : l'image d'un document et une capture de son visage. Ces deux éléments arrivent sous forme de fichiers, par un canal que le vérificateur ne maîtrise pas. L'IA générative permet de produire l'un comme l'autre, et les techniques d'injection permettent de les introduire sans passer par un capteur réel. Le KYC distant devient donc le point d'entrée le plus rentable d'une fraude à l'identité.
Pourquoi l'onboarding concentre le risque
Un compte frauduleux ouvert avec succès n'est pas un incident isolé : c'est une capacité durable. Il servira à recevoir des fonds, à souscrire, à déclarer un sinistre, à obtenir un crédit ou à blanchir. Contrairement à un détournement de compte existant, il ne déclenche aucune alerte de la part d'une victime, puisqu'il n'y en a pas.
Deuxième particularité : l'onboarding est le seul parcours où l'organisation n'a aucun historique sur la personne. Pas d'appareil connu, pas d'habitude, pas de comportement de référence. Tous les signaux contextuels sur lesquels repose l'authentification quotidienne sont absents.
Décomposition du parcours et exposition réelle
| Étape | Ce qui est vérifié | Vecteur d'attaque | Exposition |
|---|---|---|---|
| Capture du document | authenticité visuelle, cohérence des champs | document synthétique ou altéré, photographie d'un écran | élevée |
| Comparaison document/visage | correspondance biométrique | visage synthétisé cohérent avec le document | élevée |
| Détection de vivacité | présence d'une personne réelle | injection du flux, contournant le capteur | élevée |
| Entretien vidéo avec un agent | jugement humain | deepfake temps réel, pression sur l'agent | moyenne à élevée |
| Contrôle des sources officielles | existence et validité de l'identité | usurpation d'une identité réelle | moyenne |
| Vérification d'un moyen de paiement au nom du client | lien avec un compte existant vérifié | nécessite un compte déjà ouvert ailleurs | faible |
Le tableau se lit verticalement : les étapes qui examinent ce que l'utilisateur transmet sont exposées ; celles qui s'appuient sur une source indépendante le sont beaucoup moins. C'est le principe directeur pour renforcer un parcours.
L'injection, angle mort des dispositifs actuels
Beaucoup de dispositifs de vérification à distance ont été conçus contre les attaques par présentation : montrer une photo imprimée, un écran, un masque au capteur. La détection de vivacité répond à ce scénario.
L'injection relève d'une autre logique : le flux est fabriqué et introduit dans l'application via une caméra virtuelle, un pilote détourné ou un client modifié. Le capteur n'est jamais sollicité. Comme le vérificateur ne reçoit que le flux, aucune analyse du contenu ne peut établir avec certitude qu'une caméra physique l'a produit. Les contre-mesures utiles portent donc sur l'origine du flux — intégrité du client, attestation matérielle, signature à la capture — plutôt que sur son apparence, comme l'explique l'article sur la biométrie face aux deepfakes.
Renforcer sans casser la conversion
Un parcours d'entrée en relation est un compromis commercial autant que sécuritaire. Quatre leviers améliorent la robustesse sans rejeter les clients légitimes.
-
Ancrer sur des sources indépendantes. Chaque vérification qui ne dépend pas de ce que l'utilisateur transmet renforce mécaniquement le dispositif : contrôle auprès d'un référentiel officiel, vérification d'un moyen de paiement déjà authentifié, cohérence d'un faisceau de données externes.
-
Utiliser une identité déjà vérifiée quand elle existe. Le règlement européen eIDAS 2 établit le cadre d'un portefeuille d'identité européen. Une preuve d'identité déjà attestée par une entité qualifiée déplace le point de confiance hors du flux vidéo — c'est la trajectoire la plus solide à moyen terme pour l'entrée en relation.
3. Graduer les droits. Un compte fraîchement ouvert n'a pas besoin des mêmes plafonds qu'un compte ancien. Limiter les montants, retarder les premiers retraits, exiger une vérification supplémentaire au premier bénéficiaire externe : cela réduit la valeur d'un compte frauduleux sans pénaliser un client réel, qui n'a généralement pas besoin de tout dès le premier jour.
- Doter le client d'un facteur non transmissible dès l'enrôlement. C'est le point souvent manqué. La lutte contre la fraude ne s'arrête pas à l'ouverture : elle se poursuit sur chaque opération sensible. Un enrôlement qui installe une méthode de résolution personnelle, établie hors ligne et jamais communiquée, permet ensuite d'exiger une preuve d'intention consciente à chaque validation. C'est la logique du 4ᵉ facteur cognitif : ni un secret recopiable, ni une apparence synthétisable.
Ce que la réglementation impose déjà
L'entrée en relation à distance dans les services financiers s'inscrit dans un cadre exigeant, sans qu'il soit nécessaire d'invoquer des textes à venir :
- la DSP2 impose une authentification forte du client, avec deux facteurs de catégories distinctes et un lien dynamique entre l'authentification et le montant et le bénéficiaire de l'opération ;
- le RGPD encadre strictement le traitement des données biométriques et impose de justifier la proportionnalité de la collecte ;
- DORA, applicable depuis janvier 2025, impose au secteur financier une maîtrise documentée du risque numérique, y compris chez les prestataires — donc chez les fournisseurs de vérification d'identité ;
- eIDAS 2 ouvre la voie au portefeuille d'identité européen.
Ces textes ont un point commun : ils exigent une maîtrise démontrable du risque, pas un outil particulier. Un dispositif reposant entièrement sur une détection dont l'efficacité ne peut pas être démontrée dans la durée est difficile à défendre devant un auditeur.
FAQ
Un entretien vidéo avec un agent humain est-il plus sûr ?
Il apporte un jugement contextuel utile, mais il déplace la décision vers une personne soumise à pression, cadence et objectifs. Un deepfake temps réel s'adresse précisément à ce maillon. L'agent doit disposer de contrôles indépendants, pas seulement de son appréciation.
Faut-il renoncer au KYC à distance ?
Non, ce serait économiquement irréaliste. Il faut cesser d'en faire l'unique point de contrôle : graduer les droits, croiser les sources et maintenir une vérification d'intention sur les opérations sensibles.
Le portefeuille d'identité européen résoudra-t-il le problème ?
Il déplace la confiance vers une attestation qualifiée plutôt qu'un flux vidéo, ce qui est un progrès structurel pour l'entrée en relation. Il ne traite pas la question distincte de la manipulation d'un titulaire légitime lors d'une opération.
Quelles données conserver après vérification ?
Le minimum nécessaire à la preuve du contrôle, avec une durée de conservation justifiée. Conserver des gabarits biométriques centralisés crée un actif à durée de vie illimitée, non révocable, et donc un risque disproportionné dans la plupart des cas.
Aller plus loin : pilier : authentification cognitive · biométrie face aux deepfakes · détecter un deepfake · NIS2, DORA, DSP3, CRA et authentification