Un seul contrôle de sécurité ne suffit pas : les arguments en faveur d'une protection multicouche de l'identité

La plupart des systèmes de sécurité reposent sur une hypothèse dangereuse : un seul contrôle suffit pour empêcher les fraudeurs d'entrer. Ce n'est pas le cas. Et les chiffres le montrent clairement.

Les identifiants ont été les premiers à tomber. Les données de Microsoft Entra montrent que les attaques basées sur les mots de passe représentent désormais plus de 99 % des 600 millions d'attaques quotidiennes contre l'identité qu'ils observent. Le code d'accès à usage unique envoyé par SMS sur votre téléphone n'est pas non plus à l'abri. les attaques par échange de carte SIM augmentent augmentent de plus de 1 000 % d'une année sur l'autre rien qu'au Royaume-Uni.

Les organisations se sont donc tournées vers la biométrie faciale, et les pirates ont suivi. En effet, les systèmes hautement sécurisés (ceux qui protègent les processus critiques, les comptes financiers et les données sensibles) attirent les adversaires les plus déterminés. Rien qu'en 2024, iProov a observé :

• Les attaques par caméra virtuelle native ont augmenté de 2 665 %.
• Échange de visages Attaques deepfake ont triplé
• Attaques par injection augmenté 783 % (et encore 740 % d'ici 2025)

Il ne s'agit pas seulement de chiffres plus élevés. Ils représentent un changement fondamental : les pirates informatiques ciblent désormais spécifiquement la couche biométrique, contournant les défenses que les organisations pensaient pouvoir « configurer et oublier ». Le problème ne réside pas dans la technologie biométrique, mais dans l'hypothèse selon laquelle un seul contrôle, aussi sophistiqué soit-il, est suffisant à lui seul.

Lorsque nous parlons ici de sécurité multicouche, nous ne faisons pas référence à l'authentification multifactorielle traditionnelle authentification multifactorielle – par exemple, l'utilisation d'un mot de passe en plus d'une application d'authentification (bien que cela soit fortement recommandé et de plus en plus obligatoire dans de nombreux pays et secteurs). Nous parlons de la stratégie de défense en profondeur au sein de chaque facteur lui-même : comment la superposition de plusieurs contrôles de sécurité dans le cadre de la vérification biométrique garantit que si un contrôle est trompé, les autres rattrapent ce qu'il a manqué.

La sécurité de l'identité en ligne est une course à l'armement. Il s'agit d'une évolution continue, et non d'une équation qui peut être résolue et mise de côté. C'est précisément pour cette raison que l'architecture de votre défense est aussi importante que la solidité de chacun de ses composants. Voyons pourquoi une protection multicouche de l'identité est essentielle et comment elle vous permet de garder une longueur d'avance sur les acteurs malveillants.

Le problème de la sécurité à point unique

Le parallèle avec les mots de passe n'est pas fortuit. Les mots de passe ont échoué non pas parce que le concept était mauvais, mais parce que les pirates sont devenus suffisamment sophistiqués pour contourner à grande échelle les vérifications d'identifiants à facteur unique à l'aide de méthodes telles que les attaques par force brute et le le credential stuffing. La même dynamique s'applique aux solutions biométriques à faible niveau de sécurité, avec des attaques de plus en plus complexes qui sont démocratisées, commercialisées et vendues par des fraudeurs.

Tous les contrôles biométriques de vivacité ne se valent pas. Certains fournisseurs s'appuient sur une vérification d'image à image unique : ce visage semble réel ? Le problème est que les outils modernes de substitution de visage, les caméras virtuelleset logiciels de deepfake sont spécialement conçus pour passer ce type de contrôle. iProov a identifié plus de 115 000 combinaisons d'attaques possibles parmi les outils que nous suivons activement. Aucun contrôle ne peut à lui seul couvrir toute cette surface d'attaque.

Les vérifications à image unique capturent un instantané, et non une présence réelle. Elles ne peuvent pas prouver que quelqu'un est réellement présent, mais seulement que l'image semble réelle, et de nombreux deepfakes sont conçus avec succès pour ressembler réelles.

Et compter sur les humains comme solution de secours n'est pas non plus une réponse. Seulement 0,1 % des personnes sont capables de repérer de manière fiable les médias synthétiques. Lorsque 99,9 % des gens ne peuvent pas distinguer le vrai du faux, l'examen manuel est une vulnérabilité plutôt qu'un filet de sécurité.

Vous pourriez raisonnablement vous demander : si les vérifications à point unique posent problème, cela ne s'applique-t-il pas à tous les fournisseurs de solutions biométriques, y compris iProov ? Ce serait le cas si iProov effectuait des vérifications à point unique. Or, ce n'est pas le cas. La distinction est d'ordre architectural, et c'est ce que nous allons vous expliquer ci-après.

Comment fonctionne réellement la sécurité biométrique multicouche ?

La solution ne consiste pas simplement à ajouter davantage de couches sans corrélation intelligente, car cela ne ferait que créer du bruit et des frictions. L'objectif est une intégration optimale, où chaque couche apporte des signaux distincts qui, lorsqu'ils sont analysés ensemble, créent une image complète qu'aucune couche ne pourrait voir seule.

Les images seules laissent également l'environnement numérique totalement incontrôlé. Un pirate peut utiliser un émulateur ou injecter un deepfake préenregistré directement dans le flux vidéo, contournant ainsi complètement la caméra. Il s'agit d'une technique que les contrôles basés uniquement sur l'imagerie ne peuvent pas détecter. Sans corrélation des métadonnées (signaux d'intégrité des appareils, détection des émulateurs, vérification de l'environnement), un contrôle de vivacité fonctionne à l'aveugle sur l'ensemble de la surface d'attaque.

Découvrez comment l'approche multicouche d'iProov détecte et bloque les attaques modernes dans la pratique :

1 : La couche d'imagerie : détection avancée de la présence humaine

La première couche prouve qu'une personne réelle est physiquement présente, et non une photo, une vidéo, un deepfake ou un masque. Cela va bien au-delà de la simple vérification de la crédibilité d'un visage.

Dynamic Liveness utilise technologie Flashmark™ : votre écran s'illumine de couleurs aléatoires pendant que le système analyse la façon dont la lumière se reflète sur un visage authentique à travers plusieurs images. Cela crée un défi-réponse unique et défi-réponse en temps réel qu'il est pratiquement impossible de simuler, même avec des deepfakes sophistiqués, car il prouve que la personne est bien présente à ce moment précis, et non pas une attaque par rejeu.

2 : La couche métadonnées : criminalistique numérique

Alors que la détection de présence vérifie la personne, la couche de métadonnées vérifie l'environnement numérique. Cela comprend :

• Détection des appareils compromis (jailbreakés ou rootés)
• Détection des émulateurs, souvent utilisés dans les opérations de fraude à grande échelle
• Identification des VPN ou des anonymiseurs masquant la véritable origine d'un appareil
• Vérification croisée des signaux techniques par rapport au dispositif revendiqué

Considérons le dernier point : un pirate présente ce qui semble être un iPhone, mais les dimensions de l'image dans le flux de données ne correspondent à aucune résolution jamais produite par un appareil photo iPhone. Ce signal seul ne prouve pas la fraude. Combiné à un VPN, une origine IP inhabituelle et des données de vivacité un peu trop nettes, il pourrait toutefois susciter de sérieux soupçons.

C'est l'équivalent numérique d'un passeport qui semble authentique, mais qui porte l'hologramme d'un autre pays. Les fraudeurs modernes ne se font pas toujours prendre par un seul signal : les vérifications GPS, l'analyse IP ou la détection de vivacité ont chacune leurs angles morts. La clé est de s'assurer que chaque couche apporte des informations uniques qui renforcent la décision globale.

3 : L'avantage de la surveillance continue

Comme il s'agit d'une course à l'armement, le déploiement n'est pas la fin de l'histoire. Les outils d'attaque qui étaient élitistes l'année dernière sont désormais vendus comme des «Crime-as-a-Service» à toute personne disposant d'une carte de paiement.

Centre des opérations de sécurité d'iProov centre des opérations de sécurité (iSOC) analyse en permanence les données relatives aux attaques réelles et met à jour les méthodes et algorithmes de détection à mesure que les menaces évoluent. Il ne s'agit pas d'un système que l'on configure une fois pour toutes, mais d'un système de défense actif et adaptatif. Un système statique, aussi bien conçu soit-il à son lancement, constitue une cible fixe.

L'iSOC et la surveillance active des menaces expliquent en grande partie pourquoi la détection d'iProov suit le rythme de l'évolution des attaques plutôt que de les poursuivre. La menace change, la réponse aussi. Cette approche proactive de la sécurité est la seule qui ait du sens dans un paysage de menaces en constante évolution, où aucun contrôle ne peut jamais être définitif.

CPensées perdues : la réalité

Aujourd'hui, la fraude alimentée par l'IA est aussi simple que pointer et cliquer. Les kits Deepfake se vendent comme des abonnements à des services de streaming. Presque personne ne peut distinguer le vrai du faux.

Contrôles ponctuels – en particulier moins accréditées – sont obsolètes face à cette menace.

Comme l'explique Gartner :

« Les leaders du secteur de la vérification d'identité sont poussés à adopter une approche plus holistique qui intègre une stratégie de défense multicouche pour se prémunir contre les deepfakes. »
Rapport sur l'impact de l'IA et des deepfakes sur la vérification d'identité.

Les approches multicouches qui combinent une détection avancée de l'activité, l'analyse des métadonnées et la surveillance active des menaces ne sont pas seulement meilleures. Elles sont indispensables. La surveillance constante et la gestion active des menaces ne sont pas des options supplémentaires, elles constituent la base même de la sécurité.

La question n'est pas de savoir si la sécurité multicouche vaut l'investissement. Il s'agit plutôt de savoir si vous pouvez vous permettre de fonctionner sans elle.

---

Vous souhaitez en savoir plus sur les solutions biométriques multicouches d'iProov ?

• Premier et seul fournisseur à avoir obtenu une évaluation Iévaluation de niveau 4 par Genenium pour la détection des attaques par injection , une norme qui dépasse le niveau le plus élevé de la norme CEN TS 18099 (CEN High) tant en termes de portée que de rigueur. Lors d'un test indépendant de 40 jours, aucune voie d'attaque par injection n'a pu être établie : les visages synthétiques et les vidéos deepfake n'avaient nulle part où aller. Taux de rejet des utilisateurs légitimes : seulement 1,3 %, bien en dessous du seuil de 15 % requis par la norme.
• Récemment, le premier et unique fournisseur à répondre aux exigences de vérification biométrique incluses dans la nouvelle publication spéciale 800-63-4 du NIST intitulée « Digital Identity Guidelines » (Directives relatives à l'identité numérique)
• Réservez dès aujourd'hui votre démonstration consultative.