Deepfakes : comment leur démocratisation fragilise la reconnaissance faciale
Les sites pornographiques et les banques en ligne ont un point commun. Pour accéder à leurs services, leurs utilisateurs doivent souvent prouver leur existence grâce à la reconnaissance faciale, lors d'un processus de vérification d'identité appelé Know Your Customer (KYC). Il leur est alors demandé de bouger la tête en avant et en arrière, et parfois de parler, face caméra, pour fournir des "preuves de vie", appelées aussi "vérification de vivacité". Ces procédés sophistiqués sont toutefois de plus en plus contournés par les cyberdélinquants, estime Tuan-Minh Nguyen, directeur des produits chez Entrust, une entreprise spécialisée dans la sécurité des identités.
Sur les forums du dark web, les hackers sont en effet de plus en plus nombreux à demander des conseils sur les techniques efficaces pour déjouer cette étape. Souvent, leur objectif est de dissimuler leur véritable identité pour accéder à des comptes bancaires et y blanchir de l'argent. "Pour cela, ils utilisent des deepfakes. Depuis plusieurs mois, nous remarquons que les attaques par injection de deepfakes sur les systèmes de biométrie faciale ne font qu'augmenter : elles représentent désormais une attaque sur cinq en la matière", affirme même l'expert. Un deepfake est un contenu multimédia généré par IA, destiné à faire croire qu'une personne réelle dit ou fait quelque chose. Il peut être pré-enregistré ou être généré en direct, lors de l'étape de vérification.
Deepfake injection attack : une technique de plus en plus accessible
"J'essaie de contourner le KYC de Verisoul, j'ai un vrai permis de conduire et un vrai selfie. Et d'après ce que j'ai compris, Verisoul est le système le plus facile à contourner car la vérification de vivacité est simple. (…) Toute aide est appréciée", demande un hacker, quizmaker33, dans un fil de discussion qu'il a créé pour ce sujet dans Dread, le Reddit du dark web. Son objectif : détourner la solution de vérification biométrique que la start-up de cybersécurité fournit à ses clients, souvent des néobanques et fintech.
Pour parvenir à ses fins, il veut utiliser le selfie de sa victime pour générer un deepfake vidéo qui mimera les mouvements attendus lors du contrôle de vivacité. Lorsqu'il est diffusé en direct, le deepfake peut être animé de deux manières : soit il calque en temps réel les mouvements du cybercriminel placé devant une caméra, soit l'IA génère les gestes de façon autonome. "Dans le dark web, les outils sophistiqués capables de générer des deepfakes en temps réel peuvent en effet produire automatiquement les preuves de vie demandées lors du KYC", affirme Christophe Chaput, directeur produit chez IDnow, entreprise allemande spécialisée dans la vérification d'identité numérique.
Générer des deepfakes est désormais à la portée de tous. Des logiciels faciles d'accès permettent d'y parvenir facilement et à moindres coûts. Parmi eux figurent par exemple Kling AI ou Magicam, qui ne coûtent que quelques euros par mois pour leurs versions améliorées. Dans la vidéo ci-dessous, une photo statique est transformée en images mouvantes.
Pour injecter le deepfake dans le processus KYC, il est en revanche nécessaire de s'équiper d'une caméra virtuelle "qui remplace le flux de la caméra du téléphone mobile ou de l'ordinateur par le deepfake", indique le spécialiste. Celle-ci trompe le système du téléphone ou de l'ordinateur en se faisant passer pour une webcam physique légitime, ce qui permet de diffuser le deepfake au moment de la vérification faciale.
Ces caméras virtuelles sont également accessibles à tout un chacun. Dans la discussion sur Dread, les participants évoquent les outils freemium VCam et ManyCam, ou encore la solution gratuite et open-source incontournable chez les streamers, OBS Studio, qui a récemment été testée par les équipes de l'entreprise de cybersécurité Synactiv. Dans une étude publiée en juillet 2026, ses chercheurs démontrent en effet comment ils ont utilisé OBS Studio pour contourner la vérification biométrique d'un site pornographique. "Le KYC est une problématique actuelle qui doit faire face à des défis techniques face à l'arrivée de nouvelles technologies toujours plus convaincantes", conclut l'étude.
Les fournisseurs de solution KYC sous pression
"Au lieu de générer un visage à partir d'une photo sur un document volé, les fraudeurs peuvent désormais générer un visage qui n'existe pas, générer un document d'identité et un deepfake avec ce visage inventé, modifier des visages générés, les réutiliser, en générer toujours plus", résume Christophe Chaput, qui craint des attaques toujours plus sophistiquées et industrialisées contre les systèmes KYC. "On observe que la simple reconnaissance faciale n'est plus suffisante pour lutter contre l'émergence de fraudes génériques. Il est nécessaire de mettre en œuvre des mécanismes supplémentaires".
Pour contrer cette menace croissante, Michaël Lakhal, directeur produits chez Signaturit, une entreprise spécialisée dans la vérification d'identité, précise que des mécanismes repérant l'usage de webcams virtuelles sont de plus en plus mis en œuvre par les fournisseurs de KYC. "Ceux-ci sécurisent la liaison avec la vraie caméra physique. Nous avons mis en place ce type de mécanisme, et cela nous permet de détecter l'injection vidéo", assure-t-il. Au grand dam de nycbridge, un hacker qui intervient dans le fil de discussion initié par quizmaker33 sur Dread : "Si tu échoues à la vérification de vivacité même avec un vrai permis de conduire et un selfie, c'est que ton flux de caméra virtuelle est signalé car les systèmes anti-fraude modernes comme ceux de Verisoul ne regardent pas que les images vidéo. Ils valident aussi les API des capteurs optiques de l'appareil et les pilotes de la caméra". Selon lui, Verisoul vérifie donc désormais que l'image provient bien d'une caméra physique et non virtuelle.
Une autre solution développée par iProof, une entreprise spécialisée dans la vérification faciale, consiste à projeter des flux lumineux colorés sur le visage de l'utilisateur via l'écran de son téléphone ou de son ordinateur. Pour une IA, il est en effet difficile de reproduire en temps réel ces reflets lumineux. "En plus de nos techniques de vérification biométrique, on doit aussi collecter des informations invisibles, comme la localisation du mobile utilisé, la configuration du mobile, l'utilisation ou non d'un VPN, etc. Bref, nous devons collecter tout un ensemble de métadonnées qui, corrélées entre elles, nous permettront de détecter un comportement frauduleux", conclut Christophe Chaput. Pour combien de temps cela suffira-t-il à déjouer l'ingéniosité des hackers ?