Identité, authentification, fraude documentaire

Selon la directive européenne relative aux services de paiements, dite DSP2, les normes techniques d’authentification des transactions devaient entrer en vigueur à compter du 14 septembre 2019. Cette réglementation vise à renforcer le niveau de sécurité des paiements et à protéger les consommateurs en imposant des procédures d'authentification forte pour l'accès aux comptes et les opérations de paiements.

Toutefois en raison d’une insuffisance de préparation des acteurs concernés (banques, e-commerce, prestataires de services de paiement en ligne) et d’une crainte de la baisse du taux de transformation des transactions dans le e-commerce, l’ABE (Autorité Bancaire Européenne) a proposé aux pays de l’union le report de cette échéance. Ainsi, la France reporte à 2022 l'application de cette mesure.

L’authentification forte implique l'utilisation de deux éléments ou plus sur trois :

1. Connaissance: ce que seul l’utilisateur connaît ; exemple un mot de passe ou un code
2. Possession: ce que l’utilisateur possède ; exemple, un smartphone, une carte à puce, etc.
3. Inhérence: ce que l’utilisateur est ; exemple, une caractéristique personnelle telle qu’une empreinte digitale, sa voix (reconnaissance vocale), sa physionomie (reconnaissance faciale), etc.

QUI SUIS-JE ?

Chacun de nous sait bien qu’il est une entité consciente de conscience. Il se perçoit comme unique et se reconnaît sur des photos, des vidéos, même anciennes. Il est certain de son existence.

Et pourtant il n’existe pas de réponse parfaite à cette éternelle question philosophique, sinon que nous ne sommes ni notre prénom, ni notre nom, et que la notion d’identité (s’appeler X ou Y, fils ou fille de, être né quelque part un certain jour d’un certain calendrier, à une certaine heure et posséder certaines caractéristiques physiques) sert finalement et surtout à identifier des individus (que l’on ne peut diviser) au sens d’êtres de chair et d’os.

Question philosophique qui nous amène à constater que les données, les informations, les caractéristiques, ne constituent pas le Savoir. Seule la certitude est le Savoir.

Nom, prénom, bla-bla-bla… Un assez bas niveau, donc, d’identification. Toutefois, pour des raisons de vie en communauté, d’appartenance à un groupe, d’appartenance à une nation, d’attribution de droits et de devoirs, il s’est avéré pratique de doter chaque individu d’un identifiant unique et théoriquement inviolable.

QUI ÊTES-VOUS ?

Voilà en fait la vraie question à laquelle vous devez répondre dès l’instant où vous désirez intégrer un groupe ou y appartenir. En effet, si l’on vit seul, isolé de toute population, point n’est besoin d’être identifié. Mais, entrer dans une banque pour ouvrir un compte en disant que vous êtes celui qui possède 30 moutons sur la colline, que tout le monde vous connaît, qu’on vous appelle Martin, que vous habitez là-haut, juste derrière la forêt de hêtres, etc. ne suffira pas à convaincre le conseiller. Tout fraîchement instruit des règles du KYC (Know Your Customer), il vous demandera de prouver qui vous êtes. PROUVER, voilà le grand mot. On mesure donc l’importance de ce qui a trait à l’identité dans le rapport avec les autres, avec les communautés, les organismes et les nations.

UN PEU D’HISTOIRE

(Sources : Ilsen About, Vincent Denis in Histoire de l’identification des personnes)

De tout temps, l’Homme s’est attribué un nom s’appliquant à toute la famille, puis un prénom pour en distinguer les différents membres (quoiqu’il ne soit pas rare, surtout aux Etats-Unis qu’un fils hérite du prénom du père et que l’on doive lui associer « Junior » pour le distinguer). C’est surtout à la Révolution française que l’idée d’identité et, surtout, de nationalité, commence à se concrétiser sous forme de « papier ».

Le « passeport » bien plus ancien que la « carte d’identité »

Dès le XVe siècle, les voyageurs se font délivrer par une autorité publique des documents attestant de leur qualité d’individus : le passeport (pour passer la porte des villes). Ce document, dérivé des anciens sauf-conduits leur permettait de se déplacer dans le royaume et au-delà sans être inquiétés et de développer le commerce et les échanges.

Puis, c’est François Ier qui prescrit la tenue de registres de naissances, baptêmes, mariages, décès. Cette inscription faisait foi de l’identité de la personne et était conservée avec le plus grand soin. En revanche, le passeport, seul « papier » transportable, s’attachait plus à décrire les biens et les droits de la personne que son patronyme, année et lieu de naissance.

Comment donc identifier avec certitude telle personne qui ne possède pas de papiers d’identité ? Sous l’ancien régime, on faisait appel aux cercles familiaux, voisins, relations, pour désigner, en cas de besoin – particulièrement en cas de délit, l’identité de la personne. D’où l’importance de l’apparence physique et de toutes ses caractéristiques reconnaissables par des témoins (la biométrie, en quelque sorte : voir infra). Malgré tout, les différentes caractéristiques biologiques peuvent être, elles aussi, contrefaites.

On se souvient de l’affaire Martin Guerre jugée à Toulouse en 1560 et dont le magistrat Jean de Coras a publié toutes les minutes du procès. Ce n’est qu’à son retour au village, après 8 ans d’absence, que Martin Guerre a pu confondre Arnaud du Tilh qui avait usurpé son identité, trompant amis, villageois, et jusqu’à son épouse (quoique…).

Peu à peu, au XVIIe et XVIIIe siècles, pour des raisons économiques, militaires ou sanitaires, la notion de « papier » fait son chemin et les autorités de justice délivrent à ceux qui en ont besoin des certificats d’identification. Peu à peu, également, pointe l’intérêt politique de développer des registres de population portant les caractéristiques des individus, permettant ainsi un meilleur contrôle d’une population de plus en plus mobile. C’est le cas, notamment des compagnons qui, par nature, ont besoin de se déplacer. La police se développant parallèlement, il devient utile à la fin du XVIIIe siècle de se munir de « papiers » pour ne pas croupir en prison pour vagabondage ou mendicité. La forme des certificats d’identification va alors s’étoffer.

Naissance de la fraude « documentaire »

Mutatis mutandis, plus les contrôles policiers se renforcent, plus l’imagination des fraudeurs et contrefacteurs s’accroît. De véritables réseaux organisés sont démantelés à la fin du XVIIIe siècle : faux certificats, faux passeports, faux « permis de mendier », etc. C’est surtout à la révolution que l’identification des personnes devient un sujet d’État. Distinguer les « nationaux » des « étrangers » est la première préoccupation. D’où l’importance des « papiers ». On voit ainsi apparaître des « cartes civiques » à Paris en 1792. L’ensemble des étrangers est scrupuleusement contrôlé par la police, et l’État se donne le droit d’expulser tout étranger considéré comme persona non grata. La centralisation des pouvoirs révolutionnaires, en particulier du Ministère de la Police Générale créé en 1796, fait que le contrôle s’étend sur tout le territoire, tous les citoyens et nécessite, donc, une uniformisation des passeports. Pour échapper à cette répression pesante, un besoin de « faux papiers » s’accroît. La contrefaçon se développe d’autant. C’est une escalade infinie car, pour lutter contre les fraudeurs, l’État puis l’Empire impose des passeports intérieurs pour suivre le déplacement de chaque citoyen hors de son canton. Les mairies et les préfets utilisent un modèle de passeport basé sur un support inaltérable. On y trouve mentionné quantité de caractéristiques physiques de la personne. Il devient de plus en plus difficile aux fraudeurs de falsifier un tel document.

Au XIXe siècle, la pression policière issue de la révolution et de l’Empire diminue et l’accroissement des transports rend obsolète le passeport intérieur. Reste donc l’idée forte de nationalité versus étranger. Il faudra attendre 1882 avec Bertillon pour développer l’usage des nouvelles technologies biométriques.

Lois sur la nationalité et « mise en carte » des individus

D’où nous vient la nationalité ? Qui « appartient » à qui ? C’est en 1889 que la première loi sur le sujet apparaît : filiation et droit du sol. Les papiers servant à distinguer les Français des étrangers doivent être homogènes sur tout le territoire. Pendant la guerre de 14-18, une carte d’identité des étrangers devient obligatoire. Elle est généralisée entre les deux guerres, ce qui deviendra le titre de séjour. Pour ce qui est des Français, la carte d’identité n’apparaît qu’en 1921 à Paris puis est étendue aux autres préfectures en 1935 par le gouvernement Laval. Ce qui suscite nombre de réactions et de falsifications diverses.

C’est sous Vichy que la « carte d’identité des Français » d’un modèle unique et standardisé devient obligatoire. Sous des prétextes économiques, politiques, de protection contre la criminalité, etc. cette vaste opération est couplée à la constitution de fichiers dont on sait qu’il en existe encore secrètement camouflés dans les préfectures.

Le numéro à 13 chiffres (sexe /année de naissance /mois de naissance /département /commune /N° d’ordre de naissance dans la commune) est né. Après la guerre, l’État désirant se refaire une virginité politique stoppe le projet de « carte d’identité de Français » mais conserve le modèle. D’autres projets échouent. En 1955, la « carte nationale d’identité » est présentée comme non obligatoire (les informations identitaires restant dans les fichiers des préfectures). A cette époque, l’argument politique était le contrôle des musulmans d’Algérie en métropole. Aujourd’hui, l’introduction de la biométrie dans la carte d’identité rend sa contrefaçon plus difficile.

LA CRIMINALITÉ IDENTITAIRE ou FRAUDE DOCUMENTAIRE

La falsification de papiers d’identité, ou toute fraude destinée à procurer des documents d’identité à un individu ne date pas d’aujourd’hui. Ce qui a changé, c’est d’une part le contexte économique cible que sont le blanchiment d’argent et le financement du terrorisme et, d’autre part, l’industrialisation du processus frauduleux grâce aux technologies nouvelles. Aujourd’hui, les criminels ont pignon sur Internet, et l’on trouve quantité de faussaires vous proposant des faux papiers de toute sorte à un prix dérisoire.

Quelques chiffres

Selon Christophe Naudin, criminologue,

1. Entre 4 et 6 % des documents d'identité présentés pour ouvrir des comptes bancaires ou effectuer des démarches administratives sont faux. (50 % de fausses identités, environ 30 % d'usurpation d'identité...)
2. En 2010, 25 000 fraudeurs ont usurpé une identité dans l'espoir de piéger un organisme financier.
3. 20 milliards d'euros de préjudice aux prestations sociales, dont 17 milliards au détriment de l'UNEDIC (Pôle Emploi), selon un rapport parlementaire du député Dominique TIAN. M. NAUDIN avance lui le chiffre de 40 milliards.
4. 5 600 milliards d'euros, c'est le coût annuel mondial de la fraude identitaire (Source ONU).

Au Royaume Uni, le National Fraud Authority qui publie un indice « Annual Fraud Indicator » estime à 52 milliards de Livres la perte due à la fraude en 2014.

En 2014, en France, l’accroissement de la fraude identitaire est de 38%.

Différentes méthodes de fraude documentaire

1. la contrefaçon : Méthode de reproduction de document authentique
2. la falsification : Modification d’un partie d’un document authentique, en général la photographie et/ou les mentions d’identité
3. le document volé vierge : les documents authentiques sont volés avant apposition des mentions d’identité et des mentions variables
4. le document fantaisiste : le fraudeur va inventer un document qui n’existe pas, pariant sur la méconnaissance de la personne qui contrôlera.

Les types de fraude à l’identification

1. L’identité fictive : c’est la fraude la plus répandue tant pour des individus que pour des entreprises. Les organisations criminelles fournissent des faux papiers aux immigrés clandestins. Selon les informations du Midi libre du 12/11/2011, un Marseillais a créé 200 entreprises fictives ayant licencié 2 400 employés tout aussi fictifs, empochant ainsi 20 millions d'euros d'allocations chômage.
2. L’obtention indue : le fraudeur obtient un document d’identité authentique en présentant de fausses pièces justificatives (extraits d’actes de naissance, justificatifs de domicile…).
3. L’usurpation d’identité : le fraudeur utilise sa ressemblance avec la photographie du titulaire légitime et se fait passer pour lui. Ou il s’agit de papiers d’identité volés et revendus. Environ 30% des cas de fraude.
4. L’identité d’une personne décédée : fraude pratiquée surtout par la communauté asiatique.

Les plus récentes méthodes de commercialisation de faux documents

Le « pack » : Une photocopie de carte d'identité, une de carte de séjour, assorties d'une carte Vitale? Entre 2 000 € et 4 000 €. Vous ajoutez la copie d'un permis de conduire et celle d'un relevé d'identité bancaire, c'est le « pack plus » et il coûte 3000 € minimum. Ou alors, à partir de 5000 €, vous aurez le « pack premium », avec en plus des feuilles de paie, des quittances de loyer ou des factures prouvant une domiciliation… Que ce soit sur Internet ou encore, le plus souvent, par le bouche-à-oreille, des réseaux établis en France mais aussi à l'étranger (Afrique, Asie, Europe de l'Est) ont adopté les méthodes du marketing moderne pour vendre ces documents indispensables à tout usurpateur d'identité. (Le Parisien, 11 octobre 2012)

KNOW YOUR CUSTOMER (connaissez votre client)

Suite à la publication de la 4ème Directive sur la Lutte Contre le Blanchiment et contre le Financement du Terrorisme, les obligations minimales se sont complexifiées : une ordonnance, plusieurs décrets et une demi-douzaine d’arrêtés ont été publiés. (voir présentation ACPR)

Connaître son client est une obligation pour toute institution bancaire et financière en vertu de laquelle l’identité de même que l’adresse permanente des individus ou entités ayant recours à ses services doit être vérifiable à tout moment. Cela implique également des mesures permettant de comprendre, entre autres, la nature des activités et des relations que le client entend mener auprès de la banque, l’origine des revenus et la nature des activités commerciales et professionnelles de tout client. Bien sûr ces informations doivent être mises à jour en permanence.

Le KYC n’est pas l’apanage des banques et de l’e-commerce. Tous les secteurs financiers sont évidemment concernés, mais aussi le secteur immobilier, les activités réglementées, ainsi que les sociétés de domiciliation par exemple. D’une manière générale, toute industrie dans laquelle les flux d’argent peuvent être importants, avec une possibilité offerte d’anonymisation doivent être particulièrement surveillée. C’est ainsi que l’industrie des jeux en ligne et des paris sportifs a récemment été réglementée.

Les documents nécessaires à tout processus KYC sont

1. pour un individu une preuve d’identité (carte d’identité, passeport) et une preuve de domicile (facture d’électricité, téléphone, relevé bancaire, etc.)
2. pour une entreprise, ce sont ceux qui permettront d’établir l’identité légale de la compagnie (KBis), de confirmer l’identité des gestionnaires (directeurs, actionnaires, bénéficiaires ultimes, signataires autorisés, etc.), de définir le profil en termes des activités commerciales et du chiffre d’affaires.

Compte tenu de l’extrême facilité à se procurer de faux documents, les analystes KYC complètent les informations apportées par les commerciaux et procèdent à des recherches complémentaires selon le niveau de risque pressenti, en ayant recours à des outils spécifiques comme Factiva, Worldcheck, Bankers Almanac.

1. Factiva est un outil d'information professionnelle de la société Dow Jones & Company. Factiva agrège des contenus provenant à la fois de sources sous licence et gratuites, et apporte aux entreprises des fonctionnalités de recherche, d'alerte, de diffusion et de gestion de l'information. Les produits Factiva donnent accès à plus de 31 000 sources (comme des journaux, magazines retranscriptions radio et télévision, photos, etc..) provenant de 200 pays en 25 langues, incluant plus de 600 fils d'actualités mis à jour en continu.
2. World Check est un outil de veille spécialisé dans la collecte d’informations sur les individus et les entreprises. Il couvre 240 pays, spécialisé dans le financement du terrorisme et du blanchiment.
3. Bankers Almanac, établie depuis 1845, l'Almanach des banquiers est un fournisseur leader de données de référence sur le secteur bancaire. Il vise à aider les décideurs financiers à effectuer des paiements, à effectuer une vérification diligente, à évaluer les risques de crédit et à mener des recherches financière sur les banques du monde.

AUTHENTIFICATION DES DOCUMENTS IDENTITAIRES

Les référentiels

1. Le guide pratique pour la détection des faux documents de l’OFFICE EUROPÉEN DE LUTTE ANTIFRAUDE (OLAF) de la Commission Européenne
2. Les services du Ministère de l’Economie : la Délégation nationale à la lutte contre la fraude (DNLF)
3. Le bureau de la fraude documentaire du Ministère de l’Intérieur centralise les informations relatives à la fraude documentaire en provenance du territoire national et de l’étranger.
4. Les bases documentaires utilisées par les autorités de contrôle :
5. FADO (Faux documents et documents authentiques en ligne) est un système à accès restreint utilisé pour l’échange d’informations entre experts en documents d’identité et de voyage faux et authentiques; ce système a été mis en place en application de l’action commune 98/700/JAI du Conseil. Le système iFADO contient les informations les plus importantes, tirées de FADO, en matière de contrôle de documents.
6. PRADO - Registre public en ligne de documents authentiques d'identité et de voyage. Donne par pays les descriptions et photos des documents d’identité.

Les outils de base

1. les compte-fils et loupes permettent d'effectuer un premier contrôle visuel pour éliminer une grande partie de la fraude documentaire en comptant les lignes des fonds d’impression
2. Les détecteurs à lumière UV pour détection des encres utilisées
3. Les scanners avec éclairage multiple (lumière blanche, UV, IR) permettant de lire les pistes MRZ et les puces RFID. Les résultats peuvent être enregistrés.

Les systèmes informatiques en ligne de lecture intégrant des algorithmes de détection, de comparaison, de stockage, permettant d’authentifier les documents présentés.

Quelques entreprises spécialisées dans le domaine de l’authentification :

1. AFD [www.authentiques-faux-documents.fr]. Cette société délivre des formations à la détection de faux documents, fournit des moyens de détection (détection en ligne, lecteurs UV+IR, loupes compte-fils, scanners, détecteurs de faux billets, etc.)
2. CTMS [www.ctms.fr]. Cette société est orientée vers le commerce : traitement des billets et des pièces, fourniture d’appareils détecteurs de faux (scanners, loupes compte-fils, etc.), des solutions d’identification biométrique, etc.
3. MITEK [https://www.miteksystems.com]. Fournit une solution scanner couplée à un ensemble de logiciels pouvant s’interfacer avec les logiciels clients pour authentifier les pièces d’identité présentées. Identifie automatiquement le type de document.
4. IDnow & Ariadnext. Conçoit des solutions d’identité numérique, de contrôle de documents et d’identité, de sécurisation de documents et de signature électronique.

Comment lutter contre la fraude documentaire quand le niveau de risque ne justifie pas un contrôle aussi onéreux ?

Si des solutions techniques existent, elles sont rarement déployées. La cryptographie apporte par exemple des solutions simples et quasiment infalsifiables. Ainsi, un simple code à barres 2D peut suffire pour certifier la validité d'un document et des informations qu'il contient. Cette solution peut régler toutes les questions d'usurpation d'adresse. Si plusieurs grands "producteurs" de justificatifs de domicile ont annoncé qu'ils intègreraient cette technologie dans leurs factures, seul un opérateur de téléphonie l'a déployée à ce jour.

La France est également l'un des rares pays à ne pas proposer de référentiel des cartes d'identités. Dans la plupart des pays d’Europe, vous pouvez saisir sur un site dédié le numéro d’une carte d'identité. Grâce aux informations qui figurent sur le document, le système en ligne vous indique s'il s'agit d'un document authentique.

En 2013, la délégation nationale à la lutte contre la fraude prévoyait également la généralisation de cette solution pour 2014 et la mise en place d'un dispositif Checkdoc de contrôle en ligne de la validité des pièces d'identité pour le début de l'année 2015.

Même si le certificat numérique personnel est un dispositif de cryptographie très performant qui permettrait à son détenteur de prouver son identité, de signer électroniquement des documents ou encore de crypter des échanges de données, son utilité en termes de lutte contre la fraude documentaire dépend directement de la sécurité de sa procédure de délivrance.

En attendant que des solutions performantes soient déployées à grande échelle, il existe néanmoins des solutions pragmatiques pour répondre aux enjeux de la fraude documentaire :

1. l’utilisation des sécurités existantes telles que les sécurités visuelles : zones MRZ valides par exemple (bande d'information codée que l'on trouve au bas de nos CNI, permis de conduire, passeports, titres de séjour et autres cartes grises et qui comporte des clés de contrôle). Si le contrôle de validité des zones MRZ n'assure pas un niveau de sécurité très élevé, c'est déjà un début.
2. La détection des doublons. Dans certaines fraudes documentaires, une même facture EDF peut être utilisée plusieurs dizaines de fois avec des « habillages » différents. Un réseau d'alerte est aujourd’hui capable de détecter ces doublons et de les signaler aux préfectures. Cette détection pourrait être systématisée et mise à disposition de toutes les personnes concernées.
3. Le contrôle de cohérence. S'assurer que l'ensemble des pièces qui composent un dossier sont bien cohérentes entre elles permet de renforcer le niveau de sécurité d’un dossier. Les contrôles de cohérence permettent aujourd’hui d’accélérer les processus d’acceptation des dossiers, d’optimiser les taux de transformation et d’augmenter la productivité des entreprises. Ainsi, si la simple détection des zones MRZ permet de réduire les risques de fraude documentaire de 70%, le contrôle de cohérence de l’ensemble d’un dossier va contribuer à augmenter considérablement ce pourcentage.

Les contrôles de cohérence effectués par la solution Jouve Mobile Capture, par exemple, assurent la conformité d’un dossier que ce soit pour un document qui le constitue ou l’ensemble de celui-ci. L’ensemble des données (Etat civil, Adresse) des documents du dossier sont vérifiées et comparées, un pourcentage de similitude du dossier est alors fourni.

S’il existe peu de solutions en ligne pour vérifier la validité d'une pièce d'identité Française, cette base existe néanmoins pour les comptes en banque. On peut ainsi vérifier si les coordonnées bancaires fournies par un utilisateur correspondent à la bonne identité.

Enfin, d'autres sécurités plus difficiles à contrefaire mais aussi à contrôler devraient être prochainement opérationnelles.

En conclusion, les services de l’Etat et les entreprises sont confrontés au problème de la fraude documentaire qui est en croissance continue et coûte cher. Tous ces acteurs devraient y faire face et mutualiser leurs investissements pour garantir rapidement des contrôles fiables et cohérents.