Vérifier une carte d’identité, un justificatif de domicile, un contrat ou un relevé bancaire reste indispensable. Mais ce contrôle ne répond qu’à une partie du problème. Un document peut être authentique, valide et néanmoins utilisé par la mauvaise personne, dans le mauvais contexte ou pour obtenir un droit qu’elle ne possède pas. La lutte contre la fraude doit désormais apprécier une situation dans son ensemble, sans transformer chaque utilisateur en suspect.
La vérification documentaire cherche généralement à répondre à quelques questions précises : le document existe-t-il réellement ? Son format correspond-il à celui de l’autorité ou de l’organisation qui l’a émis ? A-t-il été modifié ? Est-il toujours valide ? Les informations qu’il contient sont-elles cohérentes ?
Ces contrôles permettent de détecter une partie des faux (altération d’une photographie, modification d’une date, incohérence dans la zone de lecture automatique, falsification d’un justificatif ou reproduction d’un document officiel). Ils ne permettent cependant pas, à eux seuls, de conclure que la demande est légitime.
Un titre réel peut, en effet, avoir été volé, détourné ou présenté par un imposteur ressemblant à son titulaire. Dans ce cas, le document passe le contrôle d’authenticité précisément parce qu’il est vrai.
Le référentiel français PVID repose sur cette distinction. Selon l’ANSSI, une vérification d’identité à distance doit établir à la fois que le titre présenté est authentique et que la personne est bien son détenteur légitime. Contrôler le support sans vérifier son lien avec l’utilisateur revient donc à ne traiter que la moitié du problème.
La même limite apparaît avec les documents d’entreprise. Un extrait d’immatriculation, un mandat, une facture ou un relevé d’identité bancaire peut être parfaitement authentique. Cela ne prouve pas que la personne qui le transmet est habilitée à engager l’entreprise, que le mandat est toujours valable ou que le changement de coordonnées bancaires demandé correspond à une opération légitime.
Passer du contrôle d’une pièce à l’analyse d’une situation
Pour éviter ce piège, il faut distinguer plusieurs niveaux de vérification. Le NIST sépare clairement trois opérations :
- identifier une personne dans un référentiel donné,
- valider l’authenticité et l’exactitude des preuves présentées,
- vérifier que le demandeur est bien la personne à laquelle ces preuves ont été délivrées.
Cette dernière étape peut reposer, selon le niveau de risque et le cadre juridique applicable, sur une comparaison faciale, un moyen d’identification électronique, la maîtrise d’un compte connu ou une autre preuve reliant concrètement le demandeur à son identité. Mais même une identité correctement vérifiée ne suffit pas toujours. Le NIST précise que l’éligibilité à un service ou le droit d’effectuer une opération relèvent d’une décision métier distincte.
C’est ici que le document doit rejoindre un faisceau de preuves plus large. Dans une entrée en relation, un paiement, une demande de remboursement ou une modification de coordonnées, l’organisation peut devoir examiner l’identité, le moyen d’authentification, le rôle de la personne, son mandat, l’historique du compte et les caractéristiques de l’opération.
D’autres signaux peuvent être utiles : utilisation inhabituelle d’un compte, multiplication de demandes rapprochées, changement récent d’adresse ou d’IBAN, nouveau terminal, rupture avec les habitudes connues ou incohérence entre le canal utilisé et la nature de la demande. Aucun de ces éléments ne prouve isolément une fraude. Leur combinaison peut en revanche justifier une vérification supplémentaire.
Le raisonnement doit rester simple. Plus les conséquences de l’opération sont importantes ou irréversibles, plus le niveau de preuve attendu doit être élevé. Modifier une préférence de communication ne présente pas le même risque que changer le bénéficiaire d’un paiement, ouvrir un compte ou accorder un crédit. Appliquer le même contrôle à toutes les opérations crée soit une sécurité insuffisante, soit une friction disproportionnée.
Orchestrer les signaux sans fabriquer une boîte noire
L’objectif n’est pas d’accumuler le plus de données possible. Ce réflexe serait à la fois inefficace et difficilement défendable. La CNIL rappelle que la lutte contre la fraude doit respecter le principe de minimisation. Autrement dit, seules les données nécessaires peuvent être traitées, en tenant compte du contexte, des informations déjà disponibles et des autres mesures de sécurité en place.
Chaque signal doit donc avoir une fonction explicite. Que cherche-t-il à détecter ? Quelle est sa fiabilité ? À quelle fréquence provoque-t-il une fausse alerte ? Peut-il être contourné ? Combien de temps doit-il être conservé ? Ces questions doivent être posées avant d’intégrer une nouvelle donnée dans un moteur de décision.
Un score de risque ne devrait pas davantage devenir un verdict incompréhensible. Il doit permettre de classer les situations : accepter une opération à faible risque, demander une preuve complémentaire, suspendre temporairement une action sensible ou transmettre le dossier à un analyste. La décision doit rester traçable, explicable et révisable.
Le GAFI recommande également de relier les dispositifs d’identité numérique aux processus antifraude, à la cybersécurité, à la vigilance continue et au suivi des transactions. Une identité vérifiée au moment de l’entrée en relation ne demeure pas fiable par magie. Un compte, un terminal ou un moyen d’authentification peut ensuite être perdu, volé, cédé ou compromis.
La bonne approche n’oppose donc pas le document aux autres signaux. Elle lui redonne sa juste place. Le document établit une partie de la preuve. L’identité relie cette preuve à une personne. Le contexte permet d’évaluer l’opération. Et la décision finale doit résulter de l’ensemble, pas du simple affichage d’un voyant vert à côté d’une pièce déclarée authentique.
