Vérification de l'identité des utilisateurs : ce que toute entreprise doit savoir

Un grand détaillant en ligne a été victime d'une fraude : des pirates informatiques avaient utilisé des comptes clients volés pour effectuer des achats importants et rediriger les livraisons vers leurs propres adresses. L'entreprise ne disposant pas de mesures rigoureuses de vérification de l'identité des utilisateurs, elle n'a pas pu faire la distinction entre les clients légitimes et les fraudeurs. 

L'entreprise a subi des pertes financières, sans compter une érosion de la confiance de ses clients. Ce n'est là qu'un exemple parmi tant d'autres : dans le paysage numérique actuel, il est absolument indispensable que les entreprises en ligne mettent en place un processus rigoureux de vérification d'identité afin de protéger à la fois leurs résultats financiers et leur réputation.

Dans cet article, nous expliquerons pourquoi la vérification de l'identité peut s'avérer essentielle pour prévenir la fraude, protéger les informations sensibles et respecter les exigences réglementaires.

Mais la vérification de l'identité d'un utilisateur ne se limite pas à lui demander de fournir une pièce d'identité. Les méthodes de vérification modernes peuvent combiner des documents d'identité, des données biométriques, des sources de données fiables et d'autres indicateurs afin de déterminer si une personne est bien celle qu'elle prétend être, tout en trouvant le juste équilibre entre la sécurité et la nécessité d'offrir une expérience rapide et fluide.

Qu'est-ce que la vérification de l'identité d'un utilisateur ?

La vérification de l'identité d'un utilisateur consiste à s'assurer qu'une personne est bien celle qu'elle prétend être. Dans un environnement numérique, cela implique généralement de recueillir des éléments d'identification et de les comparer à des informations fiables ou à des caractéristiques associées à la personne légitime.

La vérification d'identité est souvent utilisée lors de l'intégration, c'est-à-dire lorsqu'une organisation établit une relation avec un nouveau client, un nouvel employé ou tout autre utilisateur. Elle peut également être utilisée à un stade ultérieur de la relation lorsque le niveau de risque évolue, par exemple lors de la récupération d'un compte, d'une transaction d'un montant élevé, d'une modification des informations sensibles liées au compte ou de toute autre activité justifiant une vérification supplémentaire.

La vérification d'identité est étroitement liée à l'authentification, mais ces deux notions ne sont pas identiques. La vérification d'identité permet d'établir ou de confirmer l'identité d'une personne, tandis que l'authentification consiste à déterminer si une personne qui tente d'accéder à un compte ou à un système dispose des identifiants appropriés. Une entreprise peut vérifier l'identité d'une personne lors de son intégration, puis l'authentifier ultérieurement à l'aide d'un mot de passe, d'une clé d'accès, d'un appareil ou d'un autre facteur.

Cette augmentation des transactions en ligne a renforcé la nécessité pour les entreprises de recourir à la vérification des pièces d'identité et à d'autres formes de vérification d'identité afin de lutter contre la fraude, de protéger les données personnelles et de garantir la sécurité et la fiabilité des interactions numériques dans un monde de plus en plus interconnecté. 

Quelles sont les principales méthodes de vérification d'identité ?

Il n'existe pas de méthode unique pour vérifier l'identité. Les organisations choisissent généralement leurs méthodes en fonction du type d'interaction, du niveau de risque, des exigences réglementaires et des informations disponibles.

Vérification des pièces d'identité

La vérification des documents s'appuie sur des titres officiels délivrés par les pouvoirs publics, tels que les passeports, les permis de conduire et les cartes d'identité nationales, afin d'établir l'identité d'une personne. Les systèmes numériques permettent de numériser le document, d'en extraire les informations d'identité et de l'analyser afin de détecter d'éventuels signes d'altération, de falsification ou de fraude.

Vérification biométrique

La vérification biométrique s'appuie sur des caractéristiques physiques pour aider à établir que la personne effectuant la vérification est bien le titulaire légitime de l'identité. La vérification faciale, par exemple, permet de comparer un selfie pris en direct avec le portrait figurant sur un document d'identité. La détection de la présence d'une personne vivante peut fournir une preuve supplémentaire que l'échantillon biométrique provient bien d'une personne vivante et non d'une photo, d'un écran, d'un masque ou de toute autre forme d'attaque par présentation.

D'autres formes de biométrie peuvent inclure les empreintes digitales, la reconnaissance vocale et la reconnaissance de l'iris, selon l'application et la technologie disponible.

Vérification fondée sur des données

Les informations d'identité peuvent également être comparées à des sources de données fiables ou faisant autorité. En fonction du cas d'utilisation et de la juridiction, les organisations peuvent vérifier des informations telles que le nom, l'adresse, la date de naissance, le numéro de téléphone ou d'autres éléments d'identification d'une personne.

Vérification fondée sur les connaissances

Les méthodes basées sur les connaissances demandent aux utilisateurs de fournir des informations que la personne légitime est censée connaître. Ces approches ont traditionnellement consisté à poser des questions portant sur l'historique personnel ou financier. Étant donné que les informations personnelles peuvent être exposées à la suite de violations de données, d'attaques d'ingénierie sociale ou d'autres sources, les organisations doivent évaluer si les méthodes basées sur les connaissances offrent une assurance suffisante au regard du risque encouru.

Vérification multifactorielle et par niveaux

Les organisations peuvent combiner plusieurs méthodes de vérification plutôt que de se fier à un seul indicateur. Par exemple, un utilisateur peut présenter une pièce d'identité, se soumettre à une vérification biométrique par reconnaissance faciale et passer avec succès un contrôle de vivacité. D'autres indicateurs de risque ou contextuels peuvent alors aider à déterminer si une vérification supplémentaire est nécessaire.

Les méthodes de sécurisation par couches peuvent compliquer la tâche des fraudeurs qui cherchent à contourner un système en exploitant un identifiant compromis ou une technique d'attaque, tout en permettant aux entreprises d'adapter le niveau de friction en fonction du risque.

Comment fonctionne le processus de vérification d'identité ?

Le déroulement précis varie d'une organisation à l'autre, mais un processus type de vérification d'identité numérique comporte plusieurs étapes.

Tout d'abord, l'organisation détermine quel niveau de vérification d'identité est approprié pour l'interaction en question. L'ouverture d'un compte bancaire ou la récupération de l'accès à un compte piraté peuvent nécessiter des justificatifs plus solides que la réalisation d'une transaction à faible risque.

L'utilisateur fournit ensuite les informations d'identité demandées. Cela peut impliquer de saisir des données personnelles, de scanner une pièce d'identité officielle, de prendre un selfie ou d'effectuer une autre étape de vérification. Les informations figurant sur le document peuvent être extraites automatiquement, ce qui évite à l'utilisateur de devoir remplir manuellement chaque champ.

Le système procède ensuite à l'évaluation des éléments de preuve. L'authenticité d'un document et l'absence de traces de falsification peuvent être vérifiées, les informations d'identité peuvent être comparées à des sources de données fiables, et une comparaison biométrique peut permettre de déterminer si la personne présentant le document correspond au portrait qui y figure. La technologie de détection de vie permet de vérifier si l'échantillon biométrique est fourni par une personne vivante.

L'organisation peut ensuite s'appuyer sur ces résultats, ainsi que sur d'autres indicateurs de risque pertinents, pour prendre une décision. Une vérification simple peut s'effectuer automatiquement, tandis qu'un cas incertain ou présentant un risque plus élevé peut nécessiter une étape de vérification supplémentaire, une nouvelle numérisation du document ou un examen manuel.

La vérification ne s'achève pas nécessairement après l'inscription. Les organisations peuvent procéder à une nouvelle vérification d'identité lorsque les circonstances l'exigent, par exemple lors de la récupération d'un compte, en cas d'activité particulièrement sensible ou de changement significatif du niveau de risque.

Dans quels cas recourt-on à la vérification de l'identité des utilisateurs ?

La vérification d'identité renforce la confiance numérique dans un large éventail de secteurs et d'interactions.

Services financiers : les banques, les prêteurs, les entreprises de technologie financière, les prestataires de services de paiement et d’autres institutions financières ont recours à la vérification d’identité lors de l’ouverture d’un compte et d’autres interactions sensibles. Cette vérification permet de respecter les exigences en matière de « KYC » (connaissance du client) et de lutte contre le blanchiment d’argent, tout en contribuant à prévenir la fraude liée aux identités volées ou synthétiques.

Commerce électronique et places de marché : les entreprises en ligne peuvent procéder à la vérification des acheteurs, des vendeurs ou des commerçants afin de limiter les abus liés aux comptes, les transactions frauduleuses et la fraude sur les places de marché. Cette vérification peut s’avérer particulièrement importante lorsque les utilisateurs ont la possibilité de vendre des produits, de recevoir des paiements ou d’accéder à d’autres privilèges sur une plateforme.

Santé : Les établissements de santé peuvent être amenés à vérifier l'identité des patients avant de leur donner accès à des dossiers sensibles, à des services ou à des prestations. La mise en place de procédures d'identification plus rigoureuses peut également contribuer à lutter contre l'usurpation d'identité médicale et les demandes de remboursement frauduleuses.

Prestations publiques et aides de l'État : les organismes publics peuvent recourir à la vérification d'identité pour déterminer l'éligibilité et s'assurer que les services, les prestations et les comptes numériques sont bien utilisés par la personne à laquelle ils sont destinés.

Accès du personnel et des prestataires : les entreprises peuvent vérifier l'identité de leurs salariés, prestataires et fournisseurs avant de leur accorder l'accès à des systèmes sensibles, à des locaux ou à des informations confidentielles. Cette vérification peut également faciliter les processus de recrutement et d'intégration du personnel.

Tourisme et hôtellerie : les compagnies aériennes, les hôtels, les voyagistes spécialisés dans les croisières et autres entreprises du secteur du tourisme peuvent recourir à la numérisation de documents et à la vérification d'identité pour rationaliser les procédures d'enregistrement des clients et des voyageurs, tout en s'assurant de la validité des documents et de l'identité des personnes concernées.

Le coût d'une vérification d'identité insuffisante

Des procédures d'identification insuffisantes peuvent avoir des conséquences financières, réglementaires et en termes de réputation. Les fraudeurs peuvent utiliser des informations personnelles volées, des documents falsifiés ou des identités synthétiques pour créer des comptes, accéder à des comptes existants ou effectuer des transactions frauduleuses.

Les failles liées à l'identité peuvent également entraîner la divulgation d'informations sensibles. En 2019, la société First American Financial Corporation aurait exposé des centaines de millions d'enregistrements en raison d'une vulnérabilité de son site web, ce qui illustre les conséquences potentielles d'une protection insuffisante de l'accès aux informations sensibles.

Pour les entreprises soumises à une réglementation, l'identité est également étroitement liée à la conformité. Les exigences en matière de « KYC » (connaissance du client) et de lutte contre le blanchiment d'argent peuvent obliger les établissements financiers et autres organisations concernées à identifier leurs clients et à effectuer les vérifications préalables appropriées, tandis que les exigences en matière de protection de la vie privée régissent la manière dont les données à caractère personnel sont collectées, traitées et protégées.

Le défi ne consiste pas simplement à maximiser le nombre de contrôles. Une vérification qui engendre des obstacles inutiles peut pousser les utilisateurs légitimes à abandonner le processus d'inscription ou à rencontrer des difficultés pour accéder aux services. Une vérification d'identité efficace exige donc des organisations qu'elles gèrent de manière conjointe la lutte contre la fraude, la conformité et l'expérience client.

Quels sont les défis liés à la vérification d'identité ?

Pour mettre en place un programme de vérification efficace, les organisations doivent résoudre simultanément plusieurs problèmes contradictoires.

Expérience utilisateur et obstacles : chaque étape de vérification supplémentaire demande du temps et des efforts. Une mauvaise qualité d'image, des instructions peu claires ou des étapes superflues peuvent frustrer les utilisateurs légitimes et augmenter le taux d'abandon.

Sophistication de la fraude : les techniques de fraude ne cessent d'évoluer. Les documents falsifiés, les identités synthétiques, les « deepfakes », les échanges de visages et les attaques par injection peuvent mettre à rude épreuve les systèmes conçus pour faire face à des méthodes d'attaque plus anciennes.

Faux rejets : un utilisateur légitime peut échouer à la vérification en raison d'un mauvais éclairage, d'une mauvaise qualité d'image, de documents endommagés, d'informations discordantes ou d'autres raisons sans gravité. Les organisations doivent disposer de moyens permettant de distinguer les problèmes corrigibles des risques réels.

Ampleur et couverture géographique : les entreprises présentes sur plusieurs marchés peuvent être confrontées à des milliers de variantes de documents d’identité, à différentes langues et écritures, ainsi qu’à des exigences réglementaires en constante évolution.

Intégration et opérations : la vérification d'identité doit s'intégrer aux systèmes existants de gestion de l'intégration des nouveaux clients, de gestion des comptes et de gestion des risques. Les organisations doivent également définir comment les résultats incertains, les exceptions et les vérifications manuelles sont gérés sur le plan opérationnel.

Confidentialité et protection des données : la vérification d'identité peut impliquer des informations personnelles et biométriques extrêmement sensibles. Les organisations doivent mettre en place des politiques et des mesures de protection adaptées régissant les informations collectées, les raisons pour lesquelles elles sont nécessaires, leur durée de conservation et les personnes autorisées à y accéder.

Bonnes pratiques pour la mise en œuvre de la vérification d'identité

Un programme efficace de vérification d'identité doit tenir compte du risque réel lié à l'interaction, plutôt que d'imposer des contraintes maximales à chaque utilisateur.

Commencez par définir les justificatifs d'identité nécessaires pour chaque cas d'utilisation. Les interactions à haut risque peuvent justifier l'authentification de documents, l'utilisation de données biométriques, la vérification de la présence physique ou d'autres signaux, tandis que les activités à faible risque peuvent nécessiter moins d'étapes.

Les organisations doivent également veiller à ce que le processus de vérification soit facile à comprendre. Des instructions claires concernant la numérisation des documents, les selfies et les autres étapes peuvent réduire les erreurs des utilisateurs et les échecs inutiles. Lorsqu’une vérification ne peut être menée à bien, les utilisateurs doivent se voir proposer une solution adaptée, qu’il s’agisse de prendre une nouvelle photo, de fournir des justificatifs supplémentaires ou de passer à un autre processus de vérification.

La combinaison de signaux complémentaires peut fournir des preuves plus solides que le recours à un seul contrôle. Parallèlement, les entreprises doivent surveiller les performances des contrôles de vérification, notamment les taux de réussite, les faux rejets, la détection des fraudes et le volume des examens manuels, afin d'identifier les points du processus qui génèrent des risques ou des frictions inutiles.

La vérification doit également être considérée comme faisant partie intégrante d'une relation continue. Un client ayant passé avec succès la vérification lors de son inscription peut par la suite être victime d'un piratage de compte ou connaître d'autres changements en matière de risque. Une nouvelle vérification ou une vérification renforcée peut apporter une garantie supplémentaire lorsque des actions sensibles ou un comportement inhabituel le justifient.

Enfin, les organisations doivent réexaminer régulièrement leur stratégie de vérification à mesure que les modes de fraude, la réglementation, le comportement des clients et les technologies évoluent. Un processus conçu pour faire face aux menaces d'hier ne garantira peut-être plus le même niveau de sécurité demain.

L'évolution de la vérification d'identité

L'intelligence artificielle a des répercussions sur les deux aspects de la question de l'identité. Les entreprises peuvent recourir à l'IA et à l'apprentissage automatique pour analyser plus efficacement les documents, les données biométriques et les signaux de fraude, tandis que les fraudeurs peuvent utiliser l'IA générative pour créer des faux documents de plus en plus convaincants, des identités synthétiques, des « deepfakes » et d'autres types d'attaques.

L'avenir de la vérification d'identité ne réside donc pas tant dans l'ajout d'une nouvelle méthode de vérification que dans la combinaison de plusieurs types de preuves. L'analyse des documents, la biométrie, la vérification de la présence physique, la détection des fraudes et les signaux contextuels peuvent aider les organisations à se forger une vision plus complète de la personne ou de l'acteur à l'origine d'une interaction.

Cela rend également la vérification au-delà de la phase d'intégration de plus en plus importante. L'établissement de l'identité au début d'une relation reste essentiel, mais la confiance peut évoluer avec le temps. Le piratage de compte, le partage d'identifiants, la compromission d'appareils et d'autres incidents peuvent transformer une interaction auparavant fiable en une interaction à haut risque.

Il en résulte une évolution : on passe d'une approche consistant à considérer la vérification d'identité comme une étape unique lors de l'ouverture d'un compte à une évaluation de l'identité et du risque aux moments où une assurance supplémentaire est réellement nécessaire.

Comment Microblink peut vous aider

Microblink aide les organisations à établir l'identité de leurs interlocuteurs tout en réduisant les obstacles inutiles lors des interactions numériques. Notre technologie associe l'analyse intelligente des documents, la vérification d'identité, la biométrie, la détection passive de la présence vivante et la détection des fraudes afin d'aider les entreprises à déterminer si la personne et les justificatifs d'identité présentés lors d'une interaction sont fiables.

La technologie de Microblink dédiée aux documents permet de saisir et d'extraire les informations d'identité tout en analysant les documents à la recherche d'indices de fraude ou de falsification. La reconnaissance faciale biométrique et la vérification passive de la présence physique peuvent fournir des preuves supplémentaires attestant que la personne présentant le document en est bien le titulaire légitime et qu'elle est physiquement présente lors de l'interaction.

Grâce à des API et des SDK conçus pour s'intégrer aux expériences numériques existantes, les entreprises peuvent intégrer la vérification d'identité dans les processus d'intégration et autres flux de travail, tout en adaptant les exigences de vérification à leurs cas d'utilisation.

À mesure que la fraude à l'identité évolue, une vérification efficace repose de plus en plus sur la combinaison de plusieurs indicateurs plutôt que sur un seul contrôle. Cela permet aux entreprises de renforcer leurs décisions en matière d'identité tout en garantissant la fluidité de l'accès aux utilisateurs légitimes.

À mesure que les interactions numériques et la fraude à l'identité gagnent en sophistication, les organisations les mieux à même de se protéger seront celles qui considèrent la vérification d'identité non pas comme un obstacle ponctuel pour les clients, mais comme le fondement permettant d'établir et de maintenir la confiance.