Garder une longueur d'avance sur les fraudeurs : comment lutter contre l'IA générative et les attaques biométriques basées sur des documents

La transformation numérique a considérablement élargi les modes d’interaction entre les particuliers et les banques ainsi que les prestataires de services financiers. Grâce à la technologie, il est désormais tout aussi facile de créer un compte depuis son canapé que de se rendre en personne dans son agence locale.

D'une part, le développement des technologies de vérification et d'authentification à distance a ouvert la voie aux services bancaires en ligne et à d'autres expériences numériques plus simples et plus pratiques pour les particuliers. D'autre part, cela a également accru le risque de fraude. 

Par ailleurs, les technologies sophistiquées permettant de créer des identités en ligne synthétiques ont fait naître de nouveaux défis. Les « deepfakes », les documents d’identité synthétiques et les attaques par injection numérique ont fourni aux acteurs malveillants les outils nécessaires pour semer le chaos à grande échelle. 

Pour faire face aux fraudeurs, les prestataires de services financiers doivent renforcer leurs processus d'inscription et d'authentification à l'aide d'une technologie de vérification efficace et précise. 

Les nouvelles technologies non réglementées entraînent des atteintes à l'identité synthétique

Alors que l'usurpation d'identité classique est en hausse, avec 52 milliards de dollars de pertes et 42 millions d'adultes touchés rien qu'aux États-Unis en 2021, les banques sont également confrontées à une nouvelle menace, plus complexe : la fraude à l'identité synthétique (SIF).

Alors que la fraude à l'identité traditionnelle repose généralement sur l'utilisation d'informations volées, la fraude à l'identité synthétique consiste à créer une « personne » – une identité entièrement nouvelle – qui n'existe pas, en combinant des informations d'identification personnelles (PII) volées, fictives ou manipulées. 

Comment sont créées les identités fictives : 

• Les fraudeurs créent un faux document d'identité très détaillé. Ces informations peuvent être un mélange d'éléments réels, volés et falsifiés – par exemple, un numéro de Sécurité sociale volé associé à un nom entièrement inventé ou à une adresse légèrement modifiée.
• Ils créent ensuite une image synthétique qui correspond à la photo figurant sur le document d'identité falsifié. Ils utilisent cette combinaison pour tenter de contourner le processus de vérification d'identité d'une organisation. 

Les fraudeurs se constituent généralement un historique de crédit ou bancaire dans le cadre de ce processus. Cela peut notamment consister à épuiser leurs lignes de crédit, ce qui rend presque impossible pour les banques ou les établissements financiers de déterminer si ces personnes sont simplement confrontées à des difficultés financières (par exemple, une perte d'emploi) ou s'il s'agit de malfaiteurs se livrant à des activités illégales – jusqu'à ce qu'il soit trop tard.

Cette nouvelle forme de fraude vise spécifiquement à contourner les documents d’identité et les technologies de vérification biométrique – qui constituent actuellement la norme en matière de vérification d’identité numérique – et est pratiquement impossible à détecter par le seul biais de contrôles de données (par exemple, la vérification d’une identité auprès d’un organisme de crédit). Pour lutter contre ce type de fraude, il faut une « double approche » : associer la vérification des documents d'identité et les technologies biométriques afin de prévenir ces menaces sophistiquées. 

Qu'est-ce que l'imagerie synthétique ? Pourquoi les menaces liées à la synthèse, telles que l'IA générative et les deepfakes, suscitent-elles de plus en plus d'inquiétudes ?

Comme mentionné précédemment, l’une des méthodes couramment utilisées pour donner un aspect réaliste aux identités synthétiques consiste à recourir à des images synthétiques. Les criminels peuvent utiliser la technologie pour créer des photos ou des vidéos réalistes qui ont été manipulées numériquement afin de remplacer l’image d’une personne par celle d’une autre, voire de « créer » des personnes qui n’existent pas. L’IA générative et les deepfakes constituent un outil extrêmement puissant pour accroître le succès de la fraude à l’identité synthétique. 

Un « deepfake » est un enregistrement vidéo qui a été déformé, manipulé ou créé de manière synthétique à l’aide de techniques d’apprentissage profond afin de présenter une représentation d’une personne générée par l’IA – à l’instar d’un masque numérique. Certaines des variantes les plus sophistiquées des deepfakes sont pratiquement impossibles à distinguer d’un vrai visage, avec notamment des mouvements naturels des yeux et de la bouche. L'utilisation de la technologie du deepfake dans la fraude à l'identité synthétique va des attaques par présentation aux attaques par injection numérique – deux techniques qui visent à contourner la vérification faciale. 

Partout dans le monde, les banques ont rapidement adopté la vérification faciale, celle-ci s'étant imposée comme la méthode la plus sûre pour garantir l'identité en ligne, face à des méthodes banalisées, moins sûres et peu pratiques telles que les mots de passe et les codes OTP. La reconnaissance faciale fait désormais partie intégrante de l'expérience bancaire numérique et, selon une enquête menée par iProov, 64 % des consommateurs du monde entier qui utilisent les services bancaires mobiles ont déjà recours à la reconnaissance faciale pour accéder à leurs comptes ou le feraient s'ils le pouvaient. 

C'est pourquoi il est essentiel que toute solution d'intégration numérique permette d'établir un lien solide entre les identités numériques et les personnes réelles. La solution Microblink-iProov permet de vérifier en temps réel qu’une personne bien réelle effectue la vérification à l’aide de sa pièce d’identité fiable et que ce document n’a pas été altéré. Cela permet de contrer les identités synthétiques lors de l’intégration, avant même qu’elles n’entrent dans le système.

Attaques par présentation vs attaques par injection numérique

Il existe toute une série d’attaques par présentation que les cybercriminels peuvent mettre en œuvre pour tenter d’obtenir un accès illicite au compte ou aux privilèges d’un utilisateur. Outre les tentatives physiques d’usurpation d’identité d’un véritable utilisateur, les attaques par présentation peuvent également consister à présenter un objet devant la caméra orientée vers l’utilisateur.  Un malfaiteur pourrait également créer un « deepfake », puis diffuser cette vidéo, via un autre écran, vers l'appareil chargé de la vérification faciale. 

Les attaques par injection numérique exploitent le même niveau de technologie « deepfake », mais impliquent que le fraudeur redirige le flux de la vidéo de vérification vers une caméra logicielle, injecte un « deepfake » dans le flux de données de l'application, voire utilise un émulateur pour imiter l'appareil d'un utilisateur. 

Le récent rapport d'iProov sur les menaces a révélé que les attaques par injection ont été cinq fois plus fréquentes que les attaques par présentation persistante sur le Web tout au long de l'année 2022. De plus, la détection de vivacité (c'est-à-dire les techniques permettant de déterminer si la source d'un échantillon biométrique est un être humain vivant ou une représentation factice) est relativement fiable pour détecter les attaques par présentation traditionnelles, ce qui fait des attaques par injection numérique la cible privilégiée des fraudeurs les plus chevronnés.

Les « deepfakes » deviennent encore plus dangereux lorsqu'ils sont utilisés dans le cadre d'attaques par injection numérique, car ils peuvent être déployés à grande échelle et automatisés très rapidement, ce qui leur permet de causer des dommages considérables.

Comment lutter contre les attaques par images synthétiques et par injection numérique

Si la plupart des technologies biométriques intègrent un certain niveau de détection de vitalité pour vérifier l'identité d'un individu, cette détection ne suffit pas à elle seule à détecter une attaque par injection numérique. Pour lutter contre la combinaison des « deepfakes » et des attaques par injection numérique, les établissements financiers ont besoin d'une approche solide et multidimensionnelle, qui s'appuie sur la création d'une donnée biométrique à usage unique. 

La solution d'inscription numérique de Microblink et iProov utilise une technologie biométrique à usage unique afin de garantir que toute personne cherchant à vérifier son identité le fasse en temps réel et n'utilise pas d'images synthétiques. 

Comment ? En éclairant le visage de la personne avec une séquence unique de couleurs qui ne peut être reproduite ni manipulée de manière synthétique. Cela garantit que l'utilisateur s'authentifie bien à l'instant présent : il ne s'agit ni d'une attaque par usurpation d'identité à l'aide d'une photo ou d'un masque, ni d'une attaque par injection numérique utilisant la rediffusion d'une authentification antérieure ou d'une vidéo synthétique telle qu'un deepfake.

Les identifiants synthétiques augmentent la complexité et les risques

Avant l'essor des services bancaires en ligne, la fraude d'identité traditionnelle restait d'une ampleur limitée, une seule personne pouvant utiliser une seule identité volée à la fois. Le processus était lent et la vigilance des collaborateurs en interne jouait un rôle essentiel dans la lutte contre la fraude et la réduction des risques.

Grâce aux fausses pièces d'identité et à l'essor des « deepfakes », les fraudeurs peuvent étendre l'ampleur de leurs agissements, et ce à un rythme plus rapide que jamais. 

Les identités synthétiques sont particulièrement dangereuses, car elles permettent de créer d’innombrables « personnes » dont un fraudeur peut usurper l’identité. Dans un exemple tiré du rapport d’iProov, quelque 200 à 300 attaques ont été lancées à l’échelle mondiale depuis un même emplacement en l’espace de 24 heures, dans le but de contourner sans discernement les systèmes de sécurité d’une organisation.

Les attaques menées par des acteurs malveillants gagnent en ampleur et en automatisation, et les images synthétiques utilisées pour étayer des vérifications frauduleuses sont de plus en plus difficiles à distinguer de la réalité à l'œil nu. C'est pourquoi les organisations ont besoin des technologies les plus avancées en matière de vérification biométrique et de vérification des pièces d'identité pour lutter contre ces menaces. 

Lutter contre les pièces d'identité falsifiées grâce à une meilleure numérisation des pièces d'identité

Étant donné que des personnes mal intentionnées exploitent une combinaison d'informations réelles et frauduleuses pour créer des documents d'identité synthétiques, une simple numérisation ne suffira plus. 

C'est là que la capture, l'extraction et la vérification des documents d'identité assistées par l'IA peuvent faire la différence. Une approche basée sur l'IA permet de comprendre le contexte global du document d'identité numérisé, d'assurer la cohérence des données et d'effectuer des contrôles de validation sur l'ensemble des informations extraites, tout en recherchant systématiquement les défauts visuels ou les anomalies afin d'offrir un niveau de garantie accru.

En adoptant une approche fondée sur les données, qui combine l'examen non judiciaire et judiciaire de divers documents d'identité, ainsi qu'une détection de vie créant un identifiant biométrique à usage unique, votre entreprise peut avoir l'assurance que les documents d'identité des utilisateurs sont authentiques.

Enfin, la flexibilité et l'apprentissage continu d'une solution basée sur l'IA lui permettent d'extraire et de vérifier la grande majorité des types de pièces d'identité et des variantes géographiques, ce qui vous garantit de ne pas sacrifier la flexibilité, l'expérience utilisateur ou la facilité d'utilisation au profit de la sécurité et de la confiance. 

Pour réduire les risques, il faut s'entourer des bons partenaires technologiques

La combinaison d'identités synthétiques et des identifiants qui leur sont associés, ainsi que les deepfakes, font peser un risque accru sur les processus d'intégration numérique des organisations de toutes tailles, tous secteurs confondus.

Sans une infrastructure technologique permettant de se prémunir contre ces nouvelles méthodes de fraude de plus en plus sophistiquées, les prestataires de services financiers s'exposent à des risques tels que la perte de chiffre d'affaires, la perte de la confiance des clients et des sanctions réglementaires. 

L'utilisation conjointe de technologies de capture, d'extraction et de vérification d'identité basées sur l'IA – telles que celles proposées par Microblink – et de solutions de scan biométrique ponctuel comme iProov permet d'offrir une expérience d'inscription numérique plus sécurisée. En associant la fiabilité et la flexibilité de ces technologies éprouvées, il est possible de lutter contre le danger croissant que représente la fraude financière.