Votre visage peut être reproduit, votre voix peut être clonée, et vos empreintes digitales se trouvent peut-être déjà dans la base de données d'un pirate informatique.
Regardons les choses en face (jeu de mots voulu) : nos caractéristiques biométriques uniques sont de plus en plus présentes dans l’univers numérique, à mesure que de plus en plus d’administrations et d’entreprises adoptent des systèmes biométriques à des fins de gestion des identités et de sécurité.
Mais même s’il existe un risque que nos données faciales ou nos empreintes digitales tombent entre de mauvaises mains (jeu de mots peut-être voulu), elles rendent bon nombre de nos activités plus faciles, plus rapides, plus pratiques – et plus sûres, diront certains –, ce qui explique pourquoi cette technologie se généralise.
Examinons les évolutions observées ces derniers mois dans plusieurs secteurs d'activité.
- des aéroports – Abu Dhabi a annoncé l'année dernière qu'en 2025 , son aéroport international Zayed serait le premier aéroport au monde à exiger un embarquement biométrique, avec des capteurs biométriques à chaque point de contrôle d'identité. De nombreux aéroports américains ont également recours aujourd'hui à la technologie de reconnaissance faciale aux contrôles de sécurité afin de vérifier l'identité d'un passager en comparant son visage en direct à la photo figurant sur sa pièce d'identité.
- Institutions financières – La Banque nationale d'Égypte, la plus grande banque du pays, , a annoncé le mois dernier qu'elle déployait la plateforme PortalGuard de BIO-key, dédiée à la gestion des identités et des accès . Cette plateforme utilise la biométrie et d'autres formes d'authentification multifactorielle (MFA) afin de faciliter la connexion et d'autres procédures pour ses 30 000 collaborateurs et (à terme) ses millions de clients.
- Les sociétés émettrices de cartes de crédit – Mastercard ont annoncé en novembre leur intention d’améliorer les achats en ligne en supprimant la nécessité de saisir les numéros de carte et les mots de passe au profit de la tokenisation et de l’authentification biométrique par 2030, tandis que Visa et Tencent ont conclu en septembre un partenariat autour d’une solution de paiement par la paume de la main qui sera testée d’abord à Singapour, puis sur d’autres marchés.
- dans le domaine de la santé – Selon des projections récentes, le marché mondial de la biométrie dans le secteur de la santé, actuellement évalué à 10,1 milliards de dollars, devrait atteindre 55,4 milliards de dollars d’ici 2035, grâce à l’intégration de l’IA et de l’apprentissage automatique ainsi qu’à son adoption croissante dans les services de télémédecine.
- Stades – Le stade « 85 000-capacity Más Monumental » de Buenos Aires a récemment mis en place une solution de biométrie faciale. Aux États-Unis, le programme « Go-Ahead Entry » de la Ligue majeure de baseball associe la reconnaissance faciale aux comptes de billets, un processus sans contact qui peut réduire les temps d'attente à l'extérieur des stades jusqu'à 68 %, selon un rapport publié en décembre .
Ainsi, de nombreuses entreprises et organisations se lancent à corps perdu dans la mise en place de systèmes biométriques. Mais alors que les menaces pour la sécurité évoluent plus rapidement que jamais, la question se pose : la biométrie représente-t-elle toujours l'avenir, ou constitue-t-elle le talon d'Achille de la cybersécurité ?
Nous avons discuté avec deux professionnels du secteur qui ont des points de vue très divergents sur le sujet, notamment en ce qui concerne le rôle que l'IA peut jouer dans un sens ou dans l'autre.
L'essor de la biométrie – et sa principale faiblesse
La reconnaissance faciale, la numérisation de la rétine et l'authentification par empreintes digitales connaissent un essor fulgurant, car elles semblent constituer d'excellentes alternatives aux mots de passe et aux cartes d'accès. Mais voici le problème : contrairement à un mot de passe, vous ne pouvez pas changer de visage. Une fois volées, vos données biométriques sont compromises à jamais.
«On m’a déjà volé mes 10 empreintes digitales. » « Comment un système qui s'appuie sur mon empreinte digitale peut-il savoir que c'est bien moi ? »Roger Grimes, spécialiste de la sécurité, KnowBe4
Et selon Roger Grimes, chargé de la sensibilisation à la sécurité chez KnowBe4, une entreprise spécialisée dans la formation à la sensibilisation à la sécurité, c'est exactement ce qui se passe. En effet, il prévoit que la biométrie s'avérera ne pas être un bon moyen d'authentification dès cette année.
“All 10 of my fingerprints have already been stolen,” he says, referring to the 2015 U.S. Office of Personnel Management (OPM) breach, where hackers stole the sensitive biometric data of millions. « Mais comment un système qui s'appuie sur mon empreinte digitale peut-il savoir que c'est bien moi ? »
Il ne s'agit pas seulement d'empreintes digitales. Des logiciels malveillants tels que GoldPickaxe, récemment découverts en Thaïlande, ont volé des scans faciaux sous le couvert d'une application de vérification des droits à la retraite. Une personne peut alors utiliser ces visages volés pour contourner l'authentification ou créer des identités « deepfake » ultra-réalistes.
Les « deepfakes » aggravent le problème de la biométrie
Si des pirates informatiques sont capables de créer une vidéo quasi parfaite de vous, dans laquelle vous parlez avec votre propre voix et imitez vos expressions, dans quelle mesure la reconnaissance faciale est-elle sûre ?
« Je peux utiliser 30 secondes de votre vidéo pour créer un deepfake de vous », explique Grimes. « Je le fais tout le temps. » Je le fais pour les présentations. Il me suffit de 30 secondes de votre voix et d'une photo de votre visage pour que je puisse vous faire dire et faire n'importe quoi par voie numérique. Comment est-ce possible ? « Comment mon visage ou ma voix pourraient-ils jamais servir de moyen d'authentification ? »
L'IA et la technologie du « deepfake » de font déjà des ravages. L'année dernière, par exemple, des « deepfakes » ont permis de se faire passer pour des dirigeants du constructeur automobile de luxe Ferrari, du fournisseur d'énergie britannique Octopus et du plus grand groupe publicitaire mondial WPP, entre autres ; par ailleurs, un employé de Hong Kong de la multinationale britannique d'ingénierie Arup a été escroqué et contraint de verser 25 millions de dollars à un fraudeur qui, lors d'une visioconférence, avait utilisé la technologie « deepfake » pour se faire passer pour le directeur financier de l'entreprise. Des escroqueries de type « deepfake », consistant à usurper l'identité de professionnels de l'informatique travaillant à distance, ont infiltré des centaines d'entreprises américaines. Par ailleurs, le Deloitte Center for Financial Services prévoit que l'IA générative pourrait entraîner des pertes liées à la fraude pouvant atteindre 40 milliards de dollars aux États-Unis d'ici 2027 , contre 12,3 milliards de dollars en 2023.
Et les outils permettant de créer des deepfakes ne cessent de s'améliorer. Les plateformes open source telles qu’ElevenLabs et Stable Diffusion ont démocratisé l’accès au clonage de visages et de voix grâce à l’intelligence artificielle. Cela signifie que les criminels n'ont plus besoin de compétences avancées en piratage informatique : il leur suffit d'un ordinateur portable et d'une connexion Internet.
L'argument contraire : l'IA pourrait bien constituer la plus grande valeur ajoutée de la biométrie
Rob Clyde ne cède pas à la panique. M. Clyde, qui siège au conseil d'administration de Cybral, une entreprise spécialisée dans la sécurité et la surveillance par l'intelligence artificielle, et qui a été président de l'ISACA, une organisation mondiale dédiée à la gouvernance informatique et à la cybersécurité, est conscient des risques liés à la biométrie. Il souligne toutefois que, tout comme l'IA s'avère être un outil inestimable en matière de cybersécurité, les défenses biométriques basées sur l'IA évoluent aussi rapidement que les menaces qui pèsent sur elles.
«» L’IA et les systèmes de détection des deepfakes… ne cessent de s’améliorer. Nous ne sommes, après tout, que des êtres humains. Nous n'allons pas nous améliorer de manière exponentielle au fil du temps. L'IA en est capable. »Rob Clyde, membre du conseil d'administration de Cybral et ancien président de l'ISACA
« La capacité des êtres humains à détecter de manière fiable les deepfakes va continuer à diminuer », déclare Clyde. « Je pense sincèrement que l'intelligence artificielle et les systèmes permettant de détecter les deepfakes et de garantir la validité de l'authentification vont se développer. » Ils ne cessent de s'améliorer. Nous ne sommes, après tout, que des êtres humains. Nous n'allons pas nous améliorer de manière exponentielle au fil du temps. « L'IA en est capable. »
Certaines nouvelles solutions de sécurité ont déjà recours à l'IA pour lutter contre l'IA. Des outils tels que « FakeCatcher » d'Intel, par exemple, analysent les signaux de circulation sanguine dans les vidéos montrant des visages et affichent un taux de précision de 96 % dans la détection des images « deepfake ». La biométrie comportementale, qui analyse les micro-mouvements et les schémas d'interaction propres à chaque individu, rend également plus difficile pour les imposteurs utilisant des « deepfakes » de passer inaperçus.
« Nous utilisons de nombreuses techniques d'analyse avancées, notamment l'étude des micro-expressions », explique Brian Christensen, directeur des services financiers chez Jumio, une société spécialisée dans la vérification d'identité, lors de la conférence IdentityWeek America qui s'est tenue à l'automne dernier. « On peut capter de nombreux signaux passifs intéressants de cette manière. »
Il y a ensuite l'essor de l'authentification multimodale, c'est-à-dire des systèmes qui combinent plusieurs données biométriques. Un simple scan facial peut certes être falsifiable, mais l'ajout de tests de détection de présence en temps réel, de scans rétiniens infrarouges ou d'authentification vocale rend la falsification exponentiellement plus difficile.
"Facial recognition today isn’t just a 2D photo anymore," Clyde says. « Les dernières versions, comme Face ID d'Apple, utilisent 30 000 points de données pour vérifier votre identité et nécessitent la détection de l'attention. » « Il est bien plus difficile de le pirater que les anciens systèmes. »
La conclusion du gouvernement : la biométrie à elle seule ne suffit pas
Bien que les techniques biométriques basées sur l'IA ne cessent de s'améliorer, les principaux organismes de cybersécurité ne sont pas convaincus qu'elles soient suffisantes. Le gouvernement américain, pour sa part, n'est pas disposé à faire reposer la sécurité nationale uniquement sur la reconnaissance faciale. En effet, en août dernier, l'Institut national des normes et des technologies (NIST) a mis à jour ses recommandations en matière d'identité numérique, précisant que l'authentification biométrique devait toujours être associée à un dispositif d'authentification matériel, tel qu'une clé YubiKey.
« Si vous utilisez la biométrie, vous devriez également recourir à un facteur d'authentification matériel », conseille M. Grimes. « Cela montre bien que la biométrie n’est pas aussi sûre qu’on le prétend. »
Et cela ne concerne pas uniquement le gouvernement. Les géants de la technologie tels que Microsoft et Google ont également commencé à exiger une authentification multifactorielle (MFA) qui associe la biométrie à des jetons matériels, des clés cryptographiques ou l'analyse comportementale.
Quelle est la prochaine étape ? Ne manquez pas ces 5 tendances à venir en matière de biométrie
Malgré la montée en puissance des menaces liées aux « deepfakes », l'authentification biométrique n'est pas près de disparaître. Ce qui change, c'est la manière dont cette technologie est utilisée, selon Clyde, qui prévoit cinq tendances liées à la biométrie :
- La biométrie associée à l'authentification multifactorielle (MFA) devient la norme – La pratique consistant à utiliser un seul scan biométrique pour l'authentification touche à sa fin. Les organisations combinent de plus en plus souvent la biométrie avec d'autres facteurs d'authentification.
- Le retour en force des jetons physiques – Dans la lignée de l’authentification multifactorielle (MFA), l’engouement pour les YubiKeys et autres solutions matérielles similaires laisse penser que les organisations se tourneront de plus en plus vers des systèmes d’authentification combinant « ce que vous êtes » (données biométriques) et « ce que vous possédez » (un jeton physique ou un autre dispositif).
- La détection des deepfakes grâce à l'IA prend de l'ampleur – Les entreprises vont également intensifier leurs investissements dans des outils de détection basés sur l'IA, tels que FakeCatcher et Truepic, afin d'éliminer en temps réel les données biométriques frauduleuses.
- L'authentification continue s'impose – Au lieu d'une connexion unique, les entreprises adopteront la biométrie comportementale en temps réel, qui vérifie en permanence l'identité d'un utilisateur tout au long d'une session.
- Mises à jour et actualisations biométriques – Les systèmes biométriques feront l'objet de mises à jour régulières comprenant des améliorations et nécessiteront davantage de points de données au fil du temps. Cela permettra de réduire le risque que des données volées soient utilisées pour créer des « deepfakes » susceptibles de tromper les systèmes d'authentification. Par exemple, les systèmes biométriques de reconnaissance faciale peuvent demander périodiquement à l'utilisateur de fournir de nouvelles images et vidéos en temps réel afin de créer de nouveaux points de données à des fins d'authentification, rendant ainsi obsolètes les points de données volés.
Le point essentiel sur la biométrie
La biométrie reste un élément essentiel pour l'avenir de l'authentification. Après tout, les consommateurs et les employés apprécient la simplicité d’utilisation de la biométrie – une simple pression du doigt ou un coup d’œil à un écran, plutôt que de devoir se souvenir d’un mot de passe complexe – et celle-ci présente un avantage considérable dans des secteurs tels que la santé, où les professionnels ont besoin d’un accès rapide aux données des patients, ainsi que dans d’autres environnements où la rapidité est essentielle.
Cela change également la donne dans d'innombrables bureaux où les employés doivent se plier à une série de procédures de connexion complexes rien que pour allumer leur ordinateur chaque matin. La biométrie constitue donc un atout e pour l'expérience numérique globale des employés, rendant ainsi les technologies sur le lieu de travail moins contraignantes.
[À lire également : Qu'est-ce que l'expérience employé ? [Consultez ce guide simplifié]
Et pourtant, malgré ces qualités, il n'en reste pas moins qu'elles ne constituent plus la solution miracle qu'on croyait autrefois qu'elles étaient. À mesure que les technologies de « deepfake » et d'intelligence artificielle progressent, les organisations doivent rester vigilantes et s'adapter si elles décident de continuer à utiliser la biométrie.
Ou, comme le dit Clyde :
« On ne peut pas faire aveuglément confiance à tous les systèmes biométriques à mesure qu'ils vieillissent. » Ils seront moins dignes de confiance. « L'essentiel est de les actualiser régulièrement et de veiller à ce qu'elles s'inscrivent dans une approche globale de la sécurité. »
De son côté, Grimes lance un avertissement encore plus sévère :
« Vos empreintes digitales, votre visage, votre voix… tout cela est déjà accessible à tous. » La question est la suivante : « Et maintenant ? »
