Contourner le KYC avec des deepfakes : est-ce que ça marche ?

Les grands modèles de langage étaient censés être utilisés pour des tâches ennuyeuses et répétitives — des tâches qui prennent des heures chaque semaine mais n'apportent aucun sens à votre vie. En réalité, ils ont fini par apprendre à imiter votre personnalité. À l'heure actuelle, ils sont employés afin de contourner les restrictions KYC, de se connecter à votre compte de plateforme d'échange et de convaincre un système de vérification qu'une personne fictive est apte à détenir des fonds.

La situation est simple dans la mesure où tous les éléments que vous fournissez lors de la vérification de votre identité sont des informations numériques. Cela se compose d'une photographie de votre visage, d'une copie numérisée de votre pièce d'identité et d'une vidéo où vous clignez des yeux sur commande. Tout cela n'est que de la donnée transitant sur Internet. Si les données peuvent être falsifiées avec une précision suffisante, la machine à l'autre bout les acceptera tout aussi facilement. Aucun être humain ne prend part au processus ; au lieu de cela, une machine détecte des motifs et une autre machine est capable de reproduire ces mêmes motifs. Une intelligence artificielle trompe donc une autre intelligence artificielle, votre argent et votre identité se retrouvant au cœur du problème.

Il ne s'agit pas d'une simple préoccupation théorique ; une analyse mondiale de plus d'un milliard de procédures de vérification d'identité révèle que la fraude par deepfake représente un cas sur cinq de fraude biométrique. Le nombre de tentatives utilisant des selfies deepfakes a augmenté de 58% rien qu'en 2025. On a constaté une hausse de 783% des attaques par injection en 2024, c'est-à-dire des cas où une fausse vidéo est directement injectée dans le flux de la caméra. La technologie requise pour mener à bien de telles actions coûte une vingtaine de dollars et prend trente minutes. Des identités entièrement synthétiques, capables de passer les contrôles KYC, peuvent être achetées sur les places de marché du dark web pour deux cents dollars.

Le système continue de fonctionner parce que ces outils n'ont jamais été conçus pour détecter ce genre de choses ; ils ont été élaborés pour reconnaître des photocopies, des captures d'écran et des cas où quelqu'un usurpe l'identité d'un tiers. L'objectif initial de ces systèmes n'était pas de repérer un visage généré par une machine qui n'a jamais réellement existé, associé à une pièce d'identité générée par une machine qui n'a jamais été émise, le tout soumis par un individu utilisant un logiciel d'échange de visage en temps réel pour contourner le test de présence censé confirmer son humanité.

Quand les machines mentent aux machines

La fraude ne se limite pas aux exchanges de cryptomonnaies, même si la crypto représente 88% de toutes les fraudes par deepfake détectées dans le monde ; elle a également lieu au sein des banques, chez les commerçants en ligne et sur les plateformes fintech, partout où la vérification d'identité est automatisée et où la confiance est présumée. La méthode employée pour vous vérifier recherche certains indices : le visage sur le selfie correspond-il à celui de la pièce d'identité ? La personne cligne-t-elle des yeux quand on le lui demande ? Le document présente-t-il les bonnes polices, les bons hologrammes et les bons éléments de sécurité ? Tous ces contrôles peuvent désormais être contournés, non pas grâce à un piratage sophistiqué, mais en saisissant des invites dans un générateur d'images et en effectuant trente minutes de montage vidéo.

Kyle Holder s'est fait voler l'intégralité de ses économies de retraite, soit trois cent mille dollars, en l'espace de trois mois en raison d'une escroquerie impliquant une manipulation par IA.

Les agents de l'IRS en charge de son dossier ont affirmé qu'il ne restait plus rien. L'escroquerie n'a pas directement utilisé le KYC par deepfake, mais elle reposait sur le même principe : celui d'une confiance générée par l'IA. Elle comprenait de fausses plateformes de trading, des profits fictifs, des vidéos deepfakes de dirigeants et des voix clonées. Lorsqu'elle a tenté de retirer son argent, la plateforme a disparu.

Les fraudeurs qui ont dérobé ses économies n'ont eu besoin d'aucune intrusion forcée, puisqu'il leur a suffi de paraître authentiques pendant une durée suffisante pour qu'elle finisse par croire au mensonge.

Ce qui est falsifié et comment

L'aspect visible concerne les deepfakes, mais cela ne reflète pas l'ensemble de la situation. Les fraudeurs utilisent l'intelligence artificielle pour produire de faux documents, de fausses signatures, des historiques de transactions, des soldes de compte, des e-mails de vérification, des échanges avec le service client et même des appels vidéo en temps réel. Ils créent des identités synthétiques en combinant de réelles données volées avec des informations inventées de toutes pièces — par exemple un véritable numéro de sécurité sociale, un faux nom, un visage généré par IA et une adresse réelle. Bien que chaque élément de l'identité passe les contrôles individuels des bases de données, aucune personne réelle ne se trouve derrière cette identité.

La fraude à l'identité synthétique, qui relève de cette catégorie, est devenue la principale forme de criminalité financière en 2025, car elle associe la crédibilité de données authentiques à la flexibilité d'une invention totale. L'individu qui fait une demande d'ouverture de compte ne prétend pas être quelqu'un d'autre ; il invente plutôt une nouvelle personne, quelqu'un qui semble légitime aux yeux de tous les systèmes automatisés chargés de la contrôler, même si cette personne n'existe qu'en tant qu'ensemble de points de données qui se trouvent concorder par hasard.

Un audit mené sur seize générateurs d'images IA commerciaux en 2026 a révélé que sur soixante-quinze tentatives, soixante-neuf ont abouti à un résultat ressemblant à une pièce d'identité, et cinq de ces modèles ont produit des images semblant être de véritables documents officiels. Il ne s'agissait pas de contrefaçons élaborées nécessitant des connaissances d'initié en matière d'impression de sécurité. C'étaient des images générées par des outils accessibles au public, en réponse à des requêtes de personnes qui n'avaient jamais mis les pieds dans un bureau des passeports.

Les documents paraissent authentiques parce que l'IA a été entraînée à partir de vrais documents. Les visages semblent réalistes parce que l'IA a été entraînée sur des visages réels. Le système ne procède pas par conjectures ; il reconstruit plutôt ce qu'il a appris, et ce qu'il a appris est suffisamment convaincant pour tromper aussi bien les machines que les humains.

Simuler le test d'humanité

La détection de présence (liveness detection) était censée régler ce problème. Le concept était limpide : amener l'utilisateur à effectuer une action qu'une photographie ou une vidéo ne peut reproduire. Cela pouvait consister à cligner des yeux, tourner la tête, sourire ou suivre un objet en mouvement du regard. Si vous pouvez réaliser ces actions en temps réel, vous devez nécessairement être une personne réelle utilisant un vrai téléphone, et non quelqu'un qui repasse un enregistrement.

Le problème est que la détection de présence tient pour acquis que le flux vidéo est authentique ; elle suppose que la caméra montre exactement ce qui se trouve devant elle. Or, les technologies de deepfake modernes n'ont pas besoin de duper la caméra puisqu'elles peuvent injecter de la fausse vidéo directement dans le flux, en court-circuitant complètement l'objectif. Le logiciel enregistre le défi de vérification, produit une réponse synthétique en temps réel, puis renvoie cette réponse au système comme si elle provenait d'une caméra. Le contrôle de présence détecte ainsi la personne en train de cligner des yeux sur demande, de tourner la tête et de sourire ; il n'a aucun moyen de savoir que la personne n'est pas réellement là.

C'est la raison pour laquelle on a assisté à une hausse de 783% des attaques par injection en une seule année — la défense avait été conçue pour un type de menace inadapté ; elle visait à détecter des attaques par rejeu et des photos imprimées, et non de la synthèse en temps réel.

Plusieurs plateformes se sont tournées vers la détection de présence passive, une méthode qui examine la vidéo sans obliger l'utilisateur à réaliser la moindre action. Elle détecte les micro-expressions, le flux sanguin sous la peau, les ombres et les reflets réagissant comme s'ils étaient en trois dimensions. Bien que cette approche soit plus efficace, elle n'est en rien parfaite. Les fraudeurs entraînent déjà leurs propres modèles sur les signaux recherchés par la détection de présence passive, en éliminant les indices révélateurs, en ajoutant du bruit rappelant le grain naturel d'une caméra et en introduisant les menues imperfections qui confèrent à un élément une apparence humaine.

Une étude menée en 2026 a révélé que seuls 0.1% des participants étaient capables de distinguer de manière fiable le contenu authentique de celui généré par l'IA. Dans la mesure où les humains en sont incapables et où les systèmes automatisés sont entraînés à détecter les motifs que l'IA apprend simultanément à produire, la question n'est pas de savoir si les défenses réussiront. La question est de savoir au bout de combien de temps elles cesseront d'y parvenir.

Ce que cela signifie pour vous

Si vous détenez des cryptos et que vous avez vérifié votre identité sur une plateforme d'échange, en ayant à un moment donné soumis un selfie avec une pièce d'identité avec photo pour prouver que vous êtes bien la personne que vous prétendez être, le système même qui a été utilisé pour vous vérifier peut être trompé. Cela implique qu'une autre personne pourrait monter une identité synthétique, franchir les mêmes procédures de vérification que vous, ouvrir un compte, puis utiliser ce compte pour virer de l'argent, blanchir des fonds ou subtiliser les actifs d'autrui.

Cela signifie également que votre identité peut être utilisée à votre insu. Aujourd'hui, un fraudeur n'a plus besoin de voler l'intégralité de votre identité ; il lui suffit d'obtenir une photo de votre visage, ce qui est probablement déjà accessible si vous avez déjà publié sur les réseaux sociaux. Il utilise ensuite cette photo avec un outil d'échange de visage pour concevoir une vidéo deepfake où vous accomplissez un contrôle de présence, l'associe à une fausse pièce d'identité comportant votre visage avec un nom légèrement altéré, et la soumet à une plateforme dépourvue de capacités solides de détection des deepfakes. Dès lors que la plateforme valide la demande, il disposera d'un compte qui vous ressemble, qui a votre voix et qui est en mesure de valider les processus de vérification conçus pour prouver que vous êtes bien qui vous dites être.

Il est difficile de mesurer l'ampleur de ce problème avant d'examiner les chiffres. En 2025, les Américains ont subi des pertes de plus de onze milliards de dollars en raison de la fraude aux cryptomonnaies, ce qui représente plus de la moitié de l'ensemble de l'argent perdu à la suite de cybercrimes signalés au FBI. À l'échelle mondiale, les escroqueries crypto ont rapporté au moins quatorze milliards de dollars on-chain en 2025, en hausse par rapport à moins de dix milliards de dollars en 2024. Rien qu'au cours du premier trimestre de 2026, les deepfakes par IA ont provoqué des pertes s'élevant à 577 millions de dollars, et sont désormais à l'origine de 40% des fraudes crypto de grande envergure.

Les fraudeurs n'agissent pas isolément ; ils font partie d'une organisation structurée. Une enquête menée en 2025 a mis au jour un écosystème de fraude pesant 187 millions de dollars qui s'étendait à la fois sur l'Australie et les États-Unis, s'appuyant sur de fausses plateformes de trading, des approbations par deepfake de célébrités et une confiance manipulée par le biais de l'IA. L'opération s'est emparée de chaînes YouTube populaires, a utilisé des deepfakes audio et vidéo pour imiter les communications officielles de véritables entreprises crypto, et a proposé de faux airdrops aux utilisateurs qui envoyaient de l'argent au préalable. Des milliers d'individus sont tombés dans le piège.

Se protéger dans un monde de deepfakes

Même si vous ne pouvez empêcher quelqu'un d'imiter votre visage, vous pouvez lui rendre plus difficile l'utilisation de cette falsification pour vous voler. Votre première ligne de défense n'est pas technique ; elle est comportementale.

1. Assurez-vous que toutes les fonctionnalités de sécurité disponibles sont activées sur les comptes contenant des fonds ou d'autres informations sensibles, telles que l'authentification à deux facteurs, la connexion biométrique, une liste blanche d'adresses de retrait et des confirmations par e-mail pour chaque action critique. Chacune de ces mesures de sécurité complique la gestion de votre compte par un tiers, même s'il parvient à déjouer le processus KYC.

2. Chaque fois que vous recevez une vidéo, un message vocal ou toute autre forme de communication d'une personne vous demandant de lui envoyer de l'argent ou de transmettre vos identifiants, considérez-la comme fausse jusqu'à preuve du contraire. Les arnaques par usurpation d'identité crypto ont bondi de 1 400% en 2025. Si la personne semblant être votre PDG, un ami ou une célébrité vous contacte au sujet d'une opportunité d'investissement, vérifiez l'information par un canal indépendant avant toute initiative.

3. Il n'est jamais nécessaire d'envoyer de la cryptomonnaie pour réclamer un airdrop, débloquer un compte ou prouver son identité ; les plateformes authentiques ne vous demanderont jamais de payer pour recevoir de l'argent. C'est ainsi que chaque arnaque au faux airdrop est structurée, et des personnes se font encore piéger car les vidéos et les messages ont l'air réels.

4. Privilégiez les plateformes dotées d'un dispositif antifraude robuste. Étant donné que tous les exchanges ou services ne se sont pas investis dans la détection de deepfakes, ceux qui l'ont fait le feront savoir, car c'est désormais un avantage concurrentiel. Recherchez la vérification multimodale, l'analyse comportementale, les contrôles d'intégrité au niveau de la session et la détection de présence avancée qui dépasse les simples tests de clignement d'yeux et de rotation de la tête.

5. Vérifiez que le service utilise la détection de présence 3D ou l'analyse biométrique passive, car ces méthodes sont plus difficiles à tromper que les contrôles de présence active, dans la mesure où elles vont au-delà de la simple exécution de consignes : elles examinent la profondeur, les micro-expressions et les signaux physiologiques que la vidéo synthétique peine à reproduire de manière convaincante.

6. Considérez votre visage comme un mot de passe et limitez au maximum le nombre de photos haute résolution de vous accessibles publiquement. Les escrocs collectent les visages sur les réseaux sociaux afin de les utiliser dans des deepfakes. Plus il y a d'images de vous en haute définition en ligne, plus il devient aisé de concevoir un faux convaincant.

7. Lorsque vous transférez un montant élevé, en particulier pour des transferts importants d'USDT ou d'autres transactions crypto de grande valeur, utilisez des services qui vous permettent de vérifier les coûts et les itinéraires avant de procéder. Les fraudeurs exploitent fréquemment le sentiment d'urgence et la confusion autour des frais, poussant les victimes à envoyer les fonds à la mauvaise adresse ou à payer bien plus que nécessaire. Les plateformes sérieuses, en revanche, vous permettent d'estimer les frais à l'avance, de vérifier les adresses des destinataires et de contrôler l'intégralité des détails avant que la transaction ne soit exécutée.

L'industrie réagit, mais avec lenteur. Aujourd'hui, les procédures de vérification renforcées s'appuient sur des contrôles multimodaux qui analysent conjointement documents, biométrie faciale, motifs vocaux et signaux comportementaux. Certaines plateformes mettent au point des ensembles de preuves au niveau de la session qui horodatent et scellent de façon cryptographique chaque image d'une session de vérification, produisant ainsi un enregistrement médicolégal capable d'indiquer si la session était authentique ou avait fait l'objet d'une injection. Nombre de ces plateformes intègrent également des prestataires tiers de services de confiance qui agissent en témoins impartiaux du processus de vérification, ce qui rend nettement plus difficile pour un fraudeur de se frayer un chemin sans laisser de traces.

Néanmoins, ces garde-fous ne s'appliquent pas à l'ensemble des plateformes. Beaucoup trop d'entre elles se contentent toujours de la formule document-plus-selfie, une approche dont l'échec est pourtant patent depuis 2024. Les plateformes n'ont pas modernisé leurs infrastructures car le coût de détection des deepfakes est prohibitif et les répercussions de la fraude sont généralement assumées par les utilisateurs plutôt que par la plateforme elle-même.

Le coût d'un monde où plus rien n'est vérifiable de façon certaine

Le véritable enjeu n'est pas d'ordre technologique mais relève d'une problématique fondamentale. Nous entrons à présent dans une ère où il est devenu tout sauf aisé de prouver que vous êtes bien la personne que vous prétendez être. Les systèmes conçus pour vérifier l'identité des individus sont mis en échec par des outils qui coûtent moins cher qu'un repas et prennent moins de temps qu'un trajet quotidien. La confiance, qui était déjà précaire dans l'univers en ligne, est en train de s'effondrer sous l'effet de contenus qui ont l'air réels, semblent réels et réagissent de manière authentique alors qu'ils ne le sont pas.

Cela n'indique pas que le KYC est mort, mais simplement que le KYC doit dépasser le concept selon lequel un selfie et une pièce d'identité font office de preuve irréfutable. Les plateformes qui traverseront cette mutation seront celles qui considéreront la vérification comme un processus continu plutôt que comme un unique point de passage ; elles bâtiront la confiance sur la durée en faisant appel aux signaux comportementaux, aux profils de transactions, aux empreintes d'appareils et à de fréquentes réauthentifications, plutôt qu'en se reposant sur un seul élément de preuve susceptible d'être contrefait.

Cela implique que les utilisateurs doivent désormais prendre en charge la démarche de vérification par eux-mêmes. Vous ne pouvez plus considérer comme acquis que parce qu'une plateforme a validé un profil particulier, cette personne est authentique. De même, vous ne pouvez plus supposer qu'une vidéo est réelle simplement parce qu'elle paraît réaliste. Vous devez procéder à vos propres vérifications par des canaux tiers et en recourant à des outils et méthodes plus complexes à falsifier.

Les répercussions financières de cette méprise ne sont pas les seules ; on assiste aussi à une fragilisation progressive du postulat fondamental selon lequel la personne de l'autre côté d'une transaction est bien celle qu'elle déclare être. Dès lors que cette certitude s'évanouit, chaque échange doit être accueilli avec méfiance et chaque transaction doit être validée de manière indépendante, empêchant ainsi la confiance d'être accordée aveuglément.

Les deepfakes parviennent bel et bien à contourner les procédures KYC. Ce n'est pas le cas systématiquement ni sur l'ensemble des plateformes, mais suffisamment souvent pour que les montants de la fraude se chiffrent en milliards. La question n'est pas de savoir si le phénomène persistera. La question est de savoir si les mesures défensives parviendront à tenir le rythme avant que le coût de l'inaction ne devienne trop lourd pour être ignoré.

Fraude et confusion s'entremêlent tout particulièrement sur le terrain des frais de transaction. Les frais dont vous vous acquittez lors d'un transfert sur la blockchain, en particulier pour les transactions en USDT sur des réseaux tels que TRON, peuvent fluctuer considérablement selon la manière dont le transfert est configuré. Les escrocs exploitent cette situation en mettant en place de fausses plateformes qui affichent des frais gonflés afin d'empocher la différence. Ils envoient également des messages d'hameçonnage affirmant que vous devez régler en urgence des frais de blockchain pour débloquer vos fonds, alors même que ces frais n'existent pas.

Si vous comprenez ce qu'un transfert doit véritablement coûter, vous éviterez de tomber dans le piège de ces escroqueries. Par exemple, sur TRON, chaque transfert d'USDT consomme une certaine quantité d'Energy et de Bandwidth. Lorsque vous ne disposez pas d'une quantité suffisante de ces ressources, le réseau brûle vos TRX pour couvrir la dépense, ce qui peut revenir très cher. Un transfert vers une adresse contenant déjà des USDT consomme moins d'Energy qu'un transfert vers une adresse vide, car le réseau doit initialiser le solde de jetons. En sachant cela par avance, vous saurez identifier quand quelqu'un vous ment sur les sommes que vous devez payer.

Des outils tels que le Netts USDT Transfer Calculator vous permettent de savoir avec précision la quantité d'Energy et de Bandwidth qu'un transfert spécifique nécessitera et s'il s'avère plus économique de louer de l'Energy que de consommer des TRX. Pour les personnes effectuant de fréquents transferts d'USDT ou déplaçant des montants conséquents, cela fait toute la différence entre payer les frais d'USDT les plus bas possibles ou finir par débourser deux fois plus, voire davantage, que ce que vous devriez. Cela fournit également un moyen de s'assurer que les frais réclamés sont authentiques et non un montant inventé destiné à vous soutirer un surplus à chaque fois. Bien que les calculateurs de coûts transparents n'éradiquent pas la fraude, ils neutralisent l'une des manières les plus faciles pour les fraudeurs de soutirer des fonds aux personnes qui ignorent ce qu'une transaction sur la blockchain devrait coûter.