Prévenir l’usurpation d’identité dans les services en ligne

Un changement d’adresse électronique, suivi deux minutes plus tard d’une modification des coordonnées bancaires, puis d’une demande de versement : le schéma est connu des services de paiement des prestations. Il ne demande ni piratage sophistiqué ni faille technique, seulement un mot de passe obtenu par hameçonnage. La fraude à l’identité dans les services en ligne exploite le parcours de l’usager autant que les systèmes.

Ce guide s’adresse aux responsables de services en ligne, publics ou privés. Il ne traite pas de la conception d’un système national d’identité, mais de la façon dont un service protège ses propres comptes.

Les quatre moments à protéger

• Création du comptequi est la personne ?
• Connexionest-ce bien elle ?
• Récupération d’accèselle a perdu son moyen de connexion
• Opérations sensiblescoordonnées, paiements, données

Création du compte : vérifier à la mesure du risque

Tous les services n’ont pas besoin de savoir qui est la personne. Un service d’information peut se contenter d’une adresse électronique vérifiée. Un service qui verse de l’argent ou délivre un document officiel doit établir un lien fiable entre le compte et une personne réelle : par une identité numérique de niveau adapté (en France, par exemple via FranceConnect et les fournisseurs d’identité qui y sont raccordés), par un rapprochement avec des données que l’administration détient déjà, ou par une vérification d’identité à distance.

Le règlement eIDAS définit trois niveaux de garantie (faible, substantiel, élevé) ; les lignes directrices NIST SP 800-63, aux États-Unis, suivent une logique semblable. Ces cadres aident à choisir le niveau de vérification démarche par démarche.

Connexion : sortir du mot de passe seul

Le mot de passe seul ne résiste ni à l’hameçonnage ni à la réutilisation de mots de passe dérobés ailleurs. Un second facteur réduit fortement le risque. Tous ne se valent pas : un code reçu par SMS est mieux que rien mais peut être intercepté ou détourné par un transfert frauduleux de numéro ; une application d’authentification est plus robuste ; les clés de sécurité et les clés d’accès (passkeys), fondées sur les normes FIDO, résistent à l’hameçonnage parce qu’elles sont liées au site légitime.

Récupération d’accès : le maillon faible

C’est souvent là que la fraude réussit. Une procédure de récupération trop facile (questions secrètes, simple courriel) annule le bénéfice d’une connexion bien protégée. La récupération doit être au moins aussi exigeante que la création du compte, et laisser une trace visible pour le titulaire.

Opérations sensibles : vérifier au moment où cela compte

Changement d’adresse électronique, de numéro de téléphone ou de coordonnées bancaires, demande de versement, téléchargement de données personnelles : ces opérations justifient une nouvelle vérification, même si la personne est déjà connectée. C’est le principe de l’authentification renforcée au moment de l’opération.

Mettre en place les mesures, étape par étape

1. Classer les démarches selon le préjudice possible en cas d’usurpation : financier, juridique, atteinte à la vie privée.
2. Fixer un niveau de garantie pour chaque classe, à la création, à la connexion et pour les opérations sensibles.
3. Revoir la récupération d’accès pour qu’elle ne soit jamais plus faible que la création du compte.
4. Notifier le titulaire de chaque changement de coordonnées, sur l’ancien et le nouveau canal, avec un délai avant que le changement prenne effet pour les opérations à risque.
5. Détecter les anomalies : enchaînements suspects (changement de coordonnées puis demande de paiement), connexions depuis des lieux inhabituels, nombreux comptes créés avec les mêmes coordonnées bancaires.
6. Former les agents du centre d’appel et de l’accueil aux scénarios de fraude par manipulation.
7. Prévoir les voies alternatives pour les personnes sans téléphone ou peu à l’aise avec le numérique.

Ne pas exclure en voulant protéger

Chaque contrôle supplémentaire écarte une partie des usagers légitimes : personnes âgées, personnes sans téléphone personnel, personnes en situation de handicap, personnes dont les documents ne sont pas reconnus par les outils automatiques. Le risque n’est pas seulement l’exclusion : une personne qui ne parvient pas à se connecter confie souvent ses accès à un proche ou à un intermédiaire, ce qui crée de nouvelles occasions de fraude.

Un guichet physique, un code envoyé par courrier, un accompagnement par un aidant identifié : ces voies alternatives font partie du dispositif de sécurité, pas d’une exception à celui-ci.

Le premier pas

Reprendre les dix dernières fraudes connues, ou les signalements reçus, et noter pour chacune le moment du parcours où elle a réussi. Dans la plupart des services, deux ou trois moments concentrent l’essentiel des cas. C’est là que portent les premières mesures. L’expertise identité numérique de DOSOBE traite ces questions avec les services publics qui délivrent ou utilisent des identités.

Questions fréquentes

Faut-il imposer l'authentification à deux facteurs partout ?

Pour les démarches sensibles, oui. Pour les autres, on peut la proposer et l'exiger seulement au moment d'une opération à risque, comme un changement de coordonnées bancaires. Les méthodes résistantes à l'hameçonnage, comme les clés de sécurité et les clés d'accès, sont à privilégier.

La vérification d'identité à distance est-elle fiable ?

Elle peut l'être, à condition de détecter les documents falsifiés et les tentatives d'usurpation par photo ou vidéo. En France, l'ANSSI a publié un référentiel pour les prestataires de vérification d'identité à distance (PVID), qui sert de repère sur les exigences attendues.

Comment protéger les personnes qui n'ont pas de téléphone ?

En maintenant des voies alternatives : guichet physique, code envoyé par courrier, accompagnement par un tiers de confiance identifié. L'exclusion de ces personnes crée aussi des risques, en les poussant à confier leurs accès à d'autres.