Deepfakes : comment leur démocratisation fragilise la reconnaissance faciale
Les attaques par injection de deepfakes lors des procédures de reconnaissance faciale en ligne ne cessent d’augmenter. Face à cette menace, les fournisseurs de solutions Know Your Customer (KYC) renforcent leurs contrôles.
Les sites pornographiques et les banques en ligne exigent souvent de leurs utilisateurs une preuve d’identité via la reconnaissance faciale. Cela implique des mouvements de la tête et parfois des interactions vocales pour fournir des « preuves de vie », également appelées « vérification de vivacité ». Cependant, ces méthodes sophistiquées sont de plus en plus contournées par des cyberdélinquants, selon Tuan-Minh Nguyen, directeur des produits chez Entrust, une entreprise spécialisée dans la sécurité des identités.
Sur les forums du dark web, les hackers sollicitent des conseils pour contourner ces vérifications. Leur objectif est souvent de dissimuler leur identité afin d’accéder à des comptes bancaires pour y blanchir de l’argent. « Nous constatons que les attaques par injection de deepfakes sur les systèmes de biométrie faciale augmentent : elles représentent désormais une attaque sur cinq », affirme Nguyen. Un deepfake est un contenu multimédia généré par intelligence artificielle, visant à faire croire qu’une personne réelle agit ou parle d’une certaine manière.
Deepfake injection attack : une technique de plus en plus accessible
Un hacker, utilisant le pseudonyme quizmaker33, a récemment posté sur un forum du dark web, exprimant son intention de contourner le KYC de Verisoul, qu’il considère comme le système le plus facile à manipuler. Il prévoit d’utiliser un selfie de sa victime pour créer un deepfake vidéo mimant les mouvements nécessaires pour la vérification de vivacité. Les deepfakes peuvent être animés en temps réel ou générés de manière autonome par l’intelligence artificielle. Christophe Chaput, directeur produit chez IDnow, souligne que des outils sophistiqués dans le dark web peuvent créer des preuves de vie en temps réel.
La création de deepfakes est désormais accessible à tous grâce à des logiciels à faible coût, tels que Kling AI ou Magicam. Pour injecter un deepfake dans le processus KYC, un hacker doit utiliser une caméra virtuelle qui remplace le flux vidéo de l’appareil par celui du deepfake, trompant ainsi le système de vérification.
Ces caméras virtuelles sont également facilement accessibles. Dans la discussion sur Dread, plusieurs outils freemium comme VCam et ManyCam, ainsi que des solutions open-source comme OBS Studio, sont mentionnés. Une étude de Synactiv a démontré comment OBS Studio a été utilisé pour contourner la vérification biométrique d’un site pornographique.
Les fournisseurs de solution KYC sous pression
Christophe Chaput met en garde contre l’évolution des méthodes de fraude, où les cybercriminels peuvent désormais générer des visages inexistants et des documents d’identité en utilisant des deepfakes. Il souligne que la simple reconnaissance faciale ne suffit plus pour contrer ces fraudes. Des mécanismes supplémentaires doivent être mis en place.
Pour répondre à cette menace croissante, Michaël Lakhal, directeur produits chez Signaturit, indique que des systèmes de détection des webcams virtuelles sont de plus en plus intégrés par les fournisseurs de KYC. Ces systèmes vérifient la liaison avec la caméra physique, permettant de détecter les injections vidéo. De plus, iProof, une entreprise spécialisée dans la vérification faciale, utilise des flux lumineux projetés sur le visage de l’utilisateur pour rendre la fraude plus difficile.
La lutte contre les deepfakes et les tentatives de fraude associées est un enjeu crucial pour les systèmes de vérification d’identité, nécessitant des adaptations constantes face à l’ingéniosité des hackers.
Source : Journal du Net
