Recapture d'écran : détecter les faux documents (Belgique)

Une attaque par recapture d'écran consiste à photographier ou filmer un écran affichant un document d'identité falsifié plutôt qu'à soumettre l'original physique — une manière de faire passer un montage numérique pour une capture directe. Le fraudeur modifie une pièce d'identité volée ou fabriquée dans un éditeur d'image, l'affiche sur un moniteur ou un smartphone, puis recapture cet affichage avec l'appareil requis par le parcours KYC. Cette étape intermédiaire brouille les traces de manipulation que l'analyse forensique classique cherche à révéler.

En Belgique, près de 3 500 cas suspects de fraude à l'identité ont été identifiés en 2025 (L'Avenir, fraude à l'identité en Belgique), et la CTIF-CFI a reçu 102 312 communications, soit une hausse de près de 12 % par rapport à 2024 (CTIF-CFI, tendances relayées par La Libre). La recapture d'écran figure parmi les vecteurs qui alimentent cette hausse, aux côtés des montages générés par IA.

Qu'est-ce qu'une attaque par recapture d'écran ?

Une attaque par recapture d'écran affiche un document sur un support numérique puis le capture à nouveau avec l'appareil du parcours de vérification, au lieu de présenter l'original. Le principe exploite une faille structurelle des contrôles d'upload classiques : ceux-ci vérifient la cohérence interne de l'image reçue, pas l'origine physique de ce qui a été photographié.

Le déroulé typique tient en trois étapes : le fraudeur obtient une image d'un document — volé, acheté ou fabriqué — puis l'édite pour modifier l'identité, la photo ou une donnée clé ; il affiche le fichier retouché sur un écran ; il capture cet affichage avec l'appareil requis par le formulaire KYC, produisant une image qui semble être une photographie directe. Pour une carte d'identité électronique belge (eID), la manœuvre vise à contourner la lecture de la puce NFC en soumettant plutôt une simple photo de la carte.

Cette recapture ajoute une couche visuelle qui masque une partie des traces de montage : redimensionnement, impression virtuelle sur écran, bruit du capteur de la seconde caméra, reflets et recompression affaiblissent les signaux forensiques — halos de compression, artefacts de bordure, incohérences de métadonnées — qu'une analyse comme l'ELA détecterait sur l'image éditée d'origine.

Pourquoi la recapture d'écran contourne les contrôles classiques

Les contrôles d'upload standard analysent le fichier reçu, pas le support depuis lequel il a été capturé — c'est exactement l'angle mort que la recapture exploite. Un contrôle qui vérifie uniquement le format, la résolution et la lisibilité OCR ne fait aucune différence entre une photo prise sur une carte plastifiée et une photo prise sur un écran LCD.

Les métadonnées EXIF posent le même problème une fois la seconde capture effectuée : l'appareil qui a recapturé l'écran génère ses propres métadonnées cohérentes — date, modèle, géolocalisation — qui masquent l'historique du fichier original édité. L'analyse EXIF reste utile pour d'autres fraudes, mais perd son pouvoir discriminant face à une recapture propre.

C'est pourquoi la détection de recapture ne repose pas sur l'analyse du contenu mais sur celle du support de capture : la question posée n'est plus « ce document est-il authentique ? » mais « cette image provient-elle d'un objet physique ou d'un écran ? ».

PAD contre IAD : deux familles d'attaques à distinguer

La recapture d'écran est une attaque de présentation (PAD), pas une attaque par injection (IAD) — la distinction conditionne le choix des contre-mesures. Les référentiels de certification biométrique et documentaire structurent leur exigence de résistance autour de cette séparation. En France par exemple, le schéma PVID de l'ANSSI constitue un cadre national comparable, exigeant les deux résistances séparément.

Une recapture d'écran est une attaque de présentation : un objet physique — l'écran allumé — est bel et bien placé devant la caméra du terminal. Une attaque par injection, elle, ne présente rien du tout : elle remplace le flux vidéo au niveau du pilote ou du logiciel, avant même qu'une caméra physique n'intervienne. Un système qui ne teste que la résistance aux injections peut rester intégralement vulnérable à une recapture d'écran soignée, et inversement (LSTI, certification PVID, exemple d'un cadre national de référence).

Le motif de moiré, signature forensique de la recapture d'écran

Le motif de moiré — une interférence visuelle produite par la superposition de la grille de pixels d'un écran et de la matrice du capteur photo — est le signal forensique le plus fiable pour identifier une recapture d'écran. Ce phénomène optique n'apparaît pas quand une caméra photographie un objet physique non pixellisé : il est spécifique au fait de recapturer un affichage numérique.

Une équipe de recherche a formalisé cette approche dans l'étude mID: Tracing Screen Photos via Moiré Patterns, présentée à USENIX Security 2021, qui démontre que les motifs de moiré contiennent une empreinte suffisamment distincte pour identifier non seulement qu'une image a été recapturée, mais dans certains cas le modèle d'écran utilisé (USENIX Security 2021).

En complément du moiré, l'analyse forensique recherche trois signaux corrélés : reflets et éclairage incohérents avec un environnement de capture standard, géométrie de bord irrégulière révélant le biseau ou le cadre de l'écran, et saturation des couleurs anormalement uniforme (Mitek Systems, document liveness detection). Aucun signal isolé n'est décisif ; leur combinaison réduit le taux de faux négatifs.

La norme ISO/IEC 30107-3 encadre les tests de résistance PAD

ISO/IEC 30107-3 est la norme internationale de référence pour tester et rapporter la résistance des systèmes biométriques et documentaires aux attaques de présentation, dont la recapture d'écran. Elle définit un protocole de test reproductible plutôt qu'un algorithme de détection unique (ISO, norme 30107-3).

La norme introduit trois métriques qui remplacent les taux d'erreur classiques dans ce contexte :

• APCER (Attack Presentation Classification Error Rate) : proportion d'attaques — y compris les recaptures d'écran — classées à tort comme des présentations authentiques.
• BPCER (Bona fide Presentation Classification Error Rate) : proportion de présentations authentiques rejetées à tort comme des attaques, un coût direct en abandon et en support.
• IAPMR (Imposter Attack Presentation Match Rate) : taux auquel une attaque parvient jusqu'à la correspondance biométrique finale, mesurant l'impact de bout en bout de l'attaque sur le système.

Un fournisseur qui revendique une résistance à la recapture d'écran sans publier d'APCER/BPCER mesurés sur un jeu de tests incluant ce vecteur n'apporte pas de preuve vérifiable. Comme pour la liveness faciale, la détection de vivacité applique les mêmes métriques au visage plutôt qu'au document — les deux couches sont complémentaires en KYC.

Le cadre belge : Loi du 18 septembre 2017, FSMA, BNB, CTIF-CFI et APD

La loi belge du 18 septembre 2017 relative à la prévention du blanchiment de capitaux et du financement du terrorisme impose aux entités assujetties de vérifier l'authenticité des documents d'identité présentés par leurs clients (texte consolidé sur le portail belge de la législation), transposant l'AMLD4 (directive 2015/849/UE). Pour les clients à haut risque, les informations recueillies doivent distinguer sans ambiguïté la personne de toute autre — une exigence qu'un document recapturé ne satisfait pas.

Deux régulateurs se partagent le contrôle de ces obligations : la FSMA (Autorité des services et marchés financiers) supervise les règles de conduite envers la clientèle, la BNB (Banque Nationale de Belgique) le contrôle prudentiel des banques. Les banques belges identifient normalement leurs clients en agence, mais peuvent le faire à distance via Itsme® et/ou leurs propres procédures, sous réserve de garanties équivalentes (FSMA, identification anti-blanchiment) — précisément les parcours où une recapture non détectée peut se substituer à une pièce authentique.

La CTIF-CFI (Cellule de Traitement des Informations Financières) reçoit les déclarations de soupçon qui découlent d'anomalies documentaires non résolues ; son rapport 2025 fait état de 1 334 dossiers transmis à la justice pour 2,13 milliards d'euros. La APD (Autorité de protection des données) encadre le traitement des données biométriques collectées.

La FSMA publie en outre un questionnaire périodique annuel qui évalue la mise en œuvre effective des dispositifs LCB-FT, y compris les procédures de vérification documentaire (FSMA, questionnaire périodique LCB-FT). Un dispositif conforme documente le résultat de l'analyse de recapture — moiré détecté ou non, score associé — dans le dossier de risque client, avec le raisonnement archivé.

Signaux de détection : comparer les techniques forensiques

Aucune technique forensique isolée ne couvre l'ensemble des vecteurs de fraude documentaire ; la recapture d'écran nécessite une analyse d'image de bas niveau que l'inspection de contenu ne fournit pas.

Cette complémentarité justifie une checklist des signes de document généré par IA distincte de la détection de recapture : un document peut être authentique dans son contenu et néanmoins soumis via une recapture d'écran, ou inversement être un montage grossier soumis en direct.

Intégrer la détection de recapture dans un pipeline KYC

La détection de recapture d'écran s'intègre en amont du pipeline documentaire, avant l'extraction OCR et l'analyse de contenu, car elle porte sur la nature de la capture et non sur les données extraites. Un flux robuste enchaîne trois filtres : validation du support de capture (moiré, reflets, géométrie), analyse structurelle du document, puis criblage réglementaire des identités extraites — complété, pour un document belge, par une consultation de checkdoc.be, la base fédérale des documents déclarés perdus ou volés.

CheckFile applique une analyse multi-couche (structurelle, métadonnées, cohérence inter-documents), complétée par une couche additionnelle de signaux de génération IA déployée selon configuration client, avec une latence compatible avec les workflows interactifs et flux KYC temps réel. La plateforme prend en charge plus de 3 200 types de documents dans 32 juridictions, avec un SLA de disponibilité cible de 99,94 %.

Ce type de contrôle s'applique aux parcours KYC bancaires comme aux vérifications dans le financement et le leasing, deux secteurs où un document recapturé masque un montage de revenus ou d'identité. Le détail de notre approche de la protection des données figure sur la page sécurité.

Le cadre européen : eIDAS 2.0 et ETSI TS 119 461

Au niveau européen, le portefeuille d'identité numérique (EUDI Wallet) prévu par eIDAS 2.0 impose une vérification d'identité résistante aux attaques de présentation, dont la recapture d'écran, via la norme technique ETSI TS 119 461. Cette norme opérationnalise les exigences de preuve d'identité à distance pour les prestataires de services de confiance qualifiés, en couvrant conjointement les résistances PAD et IAD (Entrust, panorama eIDAS 2). Le règlement d'exécution (UE) 2026/798 renforce ces exigences pour l'entrée en relation à distance. Pour les entités assujetties belges, l'écosystème Itsme® et l'eID s'inscrivent dans cette trajectoire : mieux vaut aligner un contrôle unique sur ETSI TS 119 461 v2.

Ce que révèlent les manuels de conformité sur le terrain

Les responsables conformité qui découvrent ce vecteur d'attaque posent en général les mêmes questions : comment distinguer une recapture d'un simple reflet d'éclairage de bureau, et si la détection doit remonter une alerte bloquante ou un score de risque à examiner manuellement.

En pratique, la détection de recapture ne doit presque jamais bloquer automatiquement un dossier au premier signal : le moiré, les reflets et la géométrie de bord alimentent un score de risque intégré à la décision globale, aux côtés de l'ELA, des métadonnées et du criblage réglementaire. Selon le rapport 2024 de l'ACFE (Report to the Nations), la détection manuelle de la fraude documentaire prend en moyenne 87 jours pour 37 % de succès — un délai que la hausse continue des communications reçues par la CTIF-CFI rend intenable sans automatisation.

Pour une vue d'ensemble des méthodes de contrôle documentaire, notre guide de vérification des documents couvre les fondamentaux au-delà de la seule détection de recapture.

Détecter la recapture d'écran avec CheckFile

Aucune solution n'atteint une détection à 100 %. CheckFile augmente la couverture en combinant analyse structurelle, métadonnées et signaux de génération IA en complément de vos contrôles existants. Consultez la page de détection de documents IA pour voir comment cette couche s'intègre à votre processus de vérification.

Pour discuter d'un déploiement adapté à vos volumes et à votre secteur, consultez nos tarifs ou contactez notre équipe.

Questions fréquemment posées

Qu'est-ce qu'une attaque par recapture d'écran en KYC ?

C'est une technique de fraude documentaire où un document falsifié ou volé est affiché sur un écran puis photographié avec l'appareil requis par le parcours de vérification, plutôt que présenté directement. Cette étape masque une partie des traces de manipulation visibles sur l'image éditée d'origine.

Comment détecter une recapture d'écran sur un document soumis en ligne ?

Le signal le plus fiable est le motif de moiré, une interférence produite par la superposition de la grille de pixels de l'écran et du capteur de la caméra qui recapture. Les analyses complémentaires portent sur les reflets, l'éclairage, la géométrie de bord et la saturation des couleurs anormalement uniforme.

Quelle est la différence entre PAD et IAD ?

PAD (Presentation Attack Detection) couvre les attaques physiques placées devant la caméra — photo imprimée, recapture d'écran, masque 3D. IAD (Injection Attack Detection) couvre les attaques logicielles qui injectent un flux vidéo directement dans le pipeline sans caméra physique. Les cadres de qualification les plus exigeants, comme le PVID français, exigent une résistance démontrée aux deux familles séparément.

La norme ISO 30107-3 s'applique-t-elle à la vérification documentaire ou seulement à la biométrie faciale ?

ISO/IEC 30107-3 définit un protocole de test générique pour les attaques de présentation, applicable à la biométrie faciale comme à la capture de documents. Les métriques APCER, BPCER et IAPMR mesurent respectivement le taux d'attaques non détectées, le taux de faux rejets et le taux de réussite de l'attaque jusqu'à la décision finale.

La recapture d'écran est-elle courante en Belgique en 2026 ?

Les statistiques publiques belges n'isolent pas encore un chiffre dédié à la recapture d'écran, mais elle s'inscrit dans une hausse générale de la fraude documentaire : près de 3 500 cas suspects de fraude à l'identité ont été recensés en Belgique en 2025, et la CTIF-CFI a enregistré une hausse de près de 12 % des communications reçues entre 2024 et 2025. Les entités qui ne testent que la falsification de contenu, sans tester la nature du support de capture, restent exposées à ce vecteur — un point que la FSMA et la BNB examinent au titre de la loi du 18 septembre 2017.