Rendre l'accès à un compte sur la foi d'un selfie est séduisant : c'est rapide, cela évite un appel au support, et cela ne dépend ni d'un appareil ni d'une boîte mail. C'est aussi le parcours le plus rentable à attaquer, parce qu'il transforme une ressemblance en pouvoir de reprise d'accès. Le déployer suppose donc d'accepter un modèle de menace très précis.
Ce que la récupération faciale prouve — et ce qu'elle suppose
Le parcours compare un visage capté maintenant à une référence enregistrée auparavant. Il prouve donc uniquement que le flux reçu ressemble à cette référence. Il suppose, implicitement, quatre choses :
- que la référence enregistrée est bien celle de l'utilisateur légitime ;
- que le flux vidéo provient d'un capteur réel et non d'une source injectée ;
- que la personne filmée agit librement ;
- que le seuil de comparaison est calibré pour ce niveau d'enjeu.
Chacune de ces quatre hypothèses est un point d'attaque. La quatrième est un réglage, la deuxième un problème d'architecture, la troisième un angle mort rarement traité — la contrainte physique — et la première renvoie à la qualité de l'enrôlement initial.
Pourquoi la récupération est plus exposée que la connexion
À première vue, c'est le même geste : montrer son visage. Le contexte est pourtant radicalement différent.
| Connexion quotidienne | Récupération de compte | |
|---|---|---|
| Appareil | connu, enrôlé, souvent géré | inconnu par définition |
| Signaux contextuels | riches et comparables à un historique | pauvres, non comparables |
| Fréquence | élevée, anomalies visibles statistiquement | rare, chaque cas est isolé |
| Traitement biométrique | local, sur l'appareil enrôlé | souvent distant, donc exposé à l'injection |
| Enjeu d'un succès frauduleux | une session | la reprise durable du compte |
| Pression sur l'utilisateur | faible | forte : il est bloqué, donc plus manipulable |
La dernière ligne explique beaucoup d'incidents. Un utilisateur bloqué accepte des demandes qu'il refuserait en temps normal, ce qui rend le parcours de récupération propice à l'ingénierie sociale autant qu'à la fraude technique.
Cinq garde-fous à poser avant d'ouvrir ce parcours
Vérifier la provenance du flux. Sans attestation de l'application et de l'appareil, une caméra virtuelle suffit à alimenter le système avec une vidéo générée. C'est le contrôle le plus important, et le plus souvent absent.
Relever le seuil pour ce parcours précis. Le réglage acceptable pour déverrouiller un téléphone ne l'est pas pour reprendre le contrôle d'un compte. Un seuil plus strict, assumé, produira plus de rejets légitimes : il faut donc prévoir la file d'attente correspondante.
Ne jamais accorder tous les droits d'un coup. Une récupération réussie rend l'accès en lecture ; les opérations sensibles restent gelées pendant une période définie. Cela réduit considérablement la valeur d'une attaque réussie, sans coût pour l'utilisateur légitime qui, la plupart du temps, voulait simplement retrouver son compte.
Notifier et laisser un droit d'opposition. Toute demande de récupération déclenche une notification sur l'ensemble des canaux enregistrés, avec un moyen simple de bloquer l'opération. Une attaque silencieuse devient une attaque visible.
Ne pas constituer une base centrale de gabarits. Une base de gabarits faciaux est un actif dont la fuite est irréversible. Le traitement local, avec conservation minimale, est à la fois une bonne pratique RGPD et une réduction de surface d'attaque.
Combiner plutôt que substituer
La conclusion opérationnelle est qu'un visage ne devrait jamais être la seule condition d'une reprise d'accès. Trois combinaisons tenables, par ordre d'exigence croissante :
| Combinaison | Ce qu'elle ajoute | Population visée |
|---|---|---|
| Visage + attestation d'appareil + délai d'attente | ferme l'injection, rend l'attaque visible | grand public, faible enjeu |
| Visage + identité attestée par un tiers qualifié | s'appuie sur une vérification déjà réalisée | services régulés, comptes financiers |
| Visage + preuve cognitive acquise hors ligne | ajoute un élément non falsifiable par l'image | comptes à privilèges, opérations sensibles |
La troisième ligne mérite une explication. Un challenge cognitif ne demande pas de reconnaître un visage mais de savoir faire quelque chose appris lors d'un enrôlement maîtrisé. Cette capacité ne se déduit d'aucune photographie publique, ne se rejoue pas et ne s'obtient pas par persuasion. Sur un parcours de récupération, c'est exactement la propriété qui manque à la biométrie seule.
Et la contrainte physique ?
Un facteur biométrique présente une particularité : il peut être mobilisé sans le consentement de son porteur. Ce scénario, marginal pour un compte de messagerie, cesse de l'être pour des comptes à forte valeur ou pour certaines populations exposées. Un facteur qui suppose une participation intentionnelle — que l'on ne peut pas obtenir en approchant simplement un téléphone d'un visage — apporte ici une garantie que l'inhérence ne peut structurellement pas offrir.
FAQ
Peut-on utiliser la même référence faciale qu'à l'enrôlement ?
Techniquement oui, et c'est le cas courant. Il faut alors être conscient que la fiabilité de la récupération est plafonnée par la fiabilité de l'enrôlement : si celui-ci a été réalisé à distance sans contrôle d'intégrité du flux, le doute se propage à tous les parcours ultérieurs.
Faut-il faire intervenir un opérateur humain en revue ?
Une revue humaine est utile pour les cas limites, mais elle ne doit pas être présentée comme un contrôle anti-deepfake : l'œil humain n'est plus un détecteur fiable. Réservez l'intervention humaine aux incohérences documentaires et procédurales.
Ce parcours est-il compatible avec le RGPD ?
Il peut l'être, à condition de justifier la nécessité, de traiter localement autant que possible, de limiter strictement les durées de conservation et d'offrir une alternative de niveau équivalent aux personnes qui ne souhaitent pas y recourir.
Quelle alternative pour les utilisateurs sans smartphone récent ?
Un parcours en agence ou en présentiel, ou une reprise d'accès fondée sur une preuve non biométrique de niveau équivalent. L'erreur à éviter est de proposer, comme alternative, un simple code envoyé par e-mail : cela rétablit le plancher faible que l'on cherchait à supprimer.
Aller plus loin : pilier : authentification cognitive · biométrie faciale à l'enrôlement · récupération de compte avec passkey · deepfake et faux conseiller