Biométrie : les criminels reconstituent les éléments du corps humain pour tromper les systèmes de sécurité et d'identification

La biométrie est souvent présentée comme étant un moyen efficace de singulariser les individus. Pourtant, les criminels cherchent désormais à contourner ces modes d’identification. La biométrie s’est développée dans notre quotidien. Elle consiste à utiliser des éléments du corps humain (les empreintes digitales, l’iris de l’œil, le rythme cardiaque, la voix ou la forme et l’apparence du visage, voire le système veineux) pour vérifier l’identité de quelqu’un ou donner accès à un équipement.

Comme par exemple un téléphone portable ou une pièce dont l’entrée serait réservée à certaines personnes dûment autorisées.

Longtemps considérée comme étant un procédé très résistant au piratage, la technologie disponible met à la disposition des criminels des moyens de contourner ces dispositifs. La situation est telle qu’Europol, l’agence européenne de police criminelle, publie mi-avril 2025 une note destinée à informer les services d’enquêtes des pays de l’UE sur les modalités de ce type de fraude qui tend à se développer fortement.

Des moyens mis en œuvre pour imiter les différents éléments du corps humain

Tous les canaux sont ciblés pour leurrer les capteurs :

• Des masques en silicone personnalisés ou des images numériques (deepfake ou hypertrucage). Les modèles performants sont aujourd’hui commercialisés autour de 3 000 $. Si le profil s’y prête, des maquillages soignés peuvent même suffire.
• Des lentilles spéciales ou des images haute résolution de l’œil pour tromper la reconnaissance de l’iris.
• Des synthèses vocales ou des enregistrements pour diffuser la voix d’une personne.
• Des empreintes digitales artificielles sont créées à partir de moules ou d’impressions 3D. Elles auront été préalablement captées, par exemple sur un verre ou sur des couverts.
• Enfin, la signature veineuse, constituée par une empreinte du réseau de veines prise sur un doigt ou la paume de la main.

Les scénarios de fiction deviennent réalité

Ces modes opératoires sont désormais accessibles techniquement et financièrement. C’est la raison pour laquelle Europol alerte les services de police et de gendarmerie face à la recrudescence de ce type d’opérations. Qui permettent de passer outre des dispositifs de protection que jusqu’à présent on estimait être robustes. Ils ont quitté l’arsenal des services de renseignement ou de la fiction pour rejoindre la panoplie d’attaquants qui vont maintenant cibler les entreprises, et demain le grand public.

Obtenir des accès à des environnements protégés

Les empreintes digitales sont utilisées notamment pour déverrouiller un smartphone. Ce qui peut être utile pour accéder à des messageries et ainsi procéder à des changements de mots de passe ou intercepter des correspondances.

La reconnaissance faciale, outre pour les smartphones, permet souvent d’autoriser l’accès à des zones protégées dans des lieux sensibles. Tandis que des consignes peuvent être ordonnées à des collaborateurs en imitant la voix d’un responsable hiérarchique au téléphone.

C’est ensuite le scénario conçu par le pirate qui, avec l’aide de ces technologies, donnera toute son efficacité à la fraude envisagée.

Des contre-mesures à inventer

C’est l’éternel combat du glaive et du bouclier. Puisqu’il n’existe pas de solutions technologiques durablement infranchissables. C’est la raison pour laquelle il convient de faire cette pédagogie sur les pratiques imaginées par les assaillants pour berner ces équipements complexes.

On comprend ensuite qu’il va falloir combiner des expertises diverses pour renforcer ces protocoles : en associant des spécialistes de l’intelligence artificielle, de la biométrie et de la sécurité numérique. Avec par exemple une analyse plus fine de ce qu’on appelle la "vivacité biométrique", pour s’assurer encore plus précisément que la personne qui se présente est bien réelle et non un masque modélisé.

Europol plaide enfin pour une meilleure protection de la confidentialité des données biométriques, afin d’éviter leur emploi frauduleux. La tâche est ardue. On se rappelle qu’en 2014, à l’occasion d’un Congrès de pirates informatiques, un hacker avait montré comment il était parvenu à capter les empreintes digitales d'Ursula Von der Leyen, alors ministre allemande de la Défense, à partir d’une simple photo de sa main publiée dans la presse. Idem pour l’iris d’Angela Merkel, alors Chancelière, à partir de ses portraits publics disponibles en haute définition.