Recapture d'écran : détecter les faux documents au Canada

Une attaque par recapture d'écran consiste à photographier ou filmer un écran affichant un document d'identité falsifié plutôt qu'à soumettre l'original physique — une manière de faire passer un montage numérique pour une capture directe. Le fraudeur modifie une pièce d'identité volée ou fabriquée dans un éditeur d'image, l'affiche sur un moniteur ou un cellulaire, puis recapture cet affichage avec l'appareil requis par le parcours KYC. Cette étape intermédiaire brouille les traces de manipulation que l'analyse forensique cherche à révéler.

Au Canada, la fraude d'identité synthétique dans les demandes de crédit a presque triplé en une seule année, et les Canadiens ont déclaré avoir perdu plus de 704 millions de dollars à la fraude en 2025 (Bureau de la concurrence, Mois de la prévention de la fraude 2026). La recapture d'écran figure parmi les vecteurs qui alimentent cette hausse, aux côtés des documents synthétiques et des deepfakes.

Qu'est-ce qu'une attaque par recapture d'écran ?

Une attaque par recapture d'écran affiche un document sur un support numérique puis le capture à nouveau avec l'appareil du parcours de vérification, au lieu de présenter l'original. Le principe exploite une faille structurelle des contrôles d'upload classiques : ceux-ci vérifient la cohérence interne de l'image reçue, pas l'origine physique de ce qui a été photographié.

Le déroulé typique tient en trois étapes : le fraudeur obtient une image d'un document — volé, acheté sur un marché clandestin ou fabriqué — puis l'édite pour modifier l'identité, la photo ou une donnée clé ; il affiche le fichier retouché sur un écran d'ordinateur, de tablette ou de cellulaire ; il capture cet affichage avec l'appareil requis par le formulaire KYC, produisant une image qui semble être une photo directe d'un document physique.

Cette recapture ajoute une couche visuelle qui masque une partie des traces de montage : le redimensionnement, l'impression virtuelle sur écran, le bruit de la seconde caméra, les reflets et la recompression affaiblissent les signaux forensiques — halos de compression, artefacts de bordure, incohérences de métadonnées — qu'une analyse comme l'ELA détecterait sur l'image éditée d'origine.

Pourquoi la recapture d'écran contourne les contrôles classiques

Les contrôles d'upload standard analysent le fichier reçu, pas le support depuis lequel il a été capturé — c'est l'angle mort que la recapture exploite. Un contrôle qui vérifie uniquement le format, la résolution et la lisibilité des champs OCR ne fait aucune différence entre une photo prise sur une carte plastifiée et une photo prise sur un écran LCD.

Les métadonnées EXIF posent le même problème une fois la seconde capture effectuée. L'appareil qui a recapturé l'écran génère ses propres métadonnées cohérentes — date, modèle, géolocalisation — qui masquent l'historique du fichier original édité. L'analyse EXIF reste utile pour d'autres formes de fraude, mais perd une partie de son pouvoir discriminant face à une recapture propre.

C'est pourquoi la détection de recapture ne repose pas sur l'analyse du contenu mais sur celle du support de capture : la question posée n'est plus « ce document est-il authentique ? » mais « cette image provient-elle d'un objet physique ou d'un écran ? ».

PAD contre IAD : deux familles d'attaques à distinguer

La recapture d'écran est une attaque de présentation (PAD), pas une attaque par injection (IAD) — la distinction conditionne le choix des contre-mesures. Les référentiels de certification biométrique et documentaire structurent leur exigence de résistance autour de cette séparation ; le schéma français PVID de l'ANSSI, référence en Europe, l'illustre bien à titre de comparaison internationale.

Une recapture d'écran est une attaque de présentation : un objet physique — l'écran allumé — est placé devant la caméra du terminal. Une attaque par injection, elle, ne présente rien : elle remplace le flux vidéo au niveau du pilote ou du logiciel, avant même qu'une caméra physique n'intervienne. Un système qui ne teste que la résistance aux injections peut rester vulnérable à une recapture d'écran soignée, et inversement — d'où l'intérêt de démontrer les deux résistances séparément (LSTI, certification PVID).

Le motif de moiré, signature forensique de la recapture d'écran

Le motif de moiré — une interférence visuelle produite par la superposition de la grille de pixels d'un écran et de la matrice du capteur photo — est le signal forensique le plus fiable pour identifier une recapture d'écran. Ce phénomène optique n'apparaît pas quand une caméra photographie un objet physique non pixellisé : il est spécifique à la recapture d'un affichage numérique.

Une équipe de recherche a formalisé cette approche dans l'étude mID: Tracing Screen Photos via Moiré Patterns, présentée à USENIX Security 2021, qui démontre que les motifs de moiré contiennent une empreinte suffisamment distincte pour identifier non seulement qu'une image a été recapturée, mais dans certains cas le modèle d'écran utilisé (USENIX Security 2021). Les recherches plus récentes en 2026 exploitent le domaine spectral du motif de moiré pour renforcer la robustesse de la détection face à des écrans de résolutions et de tailles variées.

En complément du moiré, l'analyse forensique recherche trois signaux corrélés : des reflets et un éclairage incohérents avec un environnement de capture standard, une géométrie de bord irrégulière révélant le biseau ou le cadre de l'écran, et une saturation des couleurs anormalement uniforme sur l'ensemble de l'image (Mitek Systems). Aucun signal pris isolément n'est décisif ; leur combinaison réduit fortement le taux de faux négatifs.

La norme ISO/IEC 30107-3 encadre les tests de résistance PAD

ISO/IEC 30107-3 est la norme internationale de référence pour tester et rapporter la résistance des systèmes biométriques et documentaires aux attaques de présentation, dont la recapture d'écran. Publiée par l'Organisation internationale de normalisation, elle définit un protocole de test reproductible plutôt qu'un algorithme de détection unique (ISO, norme 30107-3).

La norme introduit trois métriques qui remplacent les taux d'erreur classiques :

• APCER (Attack Presentation Classification Error Rate) : proportion d'attaques — y compris les recaptures d'écran — classées à tort comme des présentations authentiques.
• BPCER (Bona fide Presentation Classification Error Rate) : proportion de présentations authentiques rejetées à tort comme des attaques, un coût direct en abandon et en support.
• IAPMR (Imposter Attack Presentation Match Rate) : taux auquel une attaque parvient jusqu'à la correspondance biométrique finale, mesurant l'impact de bout en bout de l'attaque sur le système.

Un fournisseur qui revendique une résistance à la recapture d'écran sans publier d'APCER/BPCER mesurés sur un jeu de tests incluant ce vecteur n'apporte pas de preuve vérifiable. Comme pour la liveness faciale, la détection de vivacité applique les mêmes métriques au visage plutôt qu'au document — les deux couches sont complémentaires dans un parcours KYC.

Le cadre canadien : CANAFE, la LRPCFAT et la CAI

Depuis le 31 mars 2022, les entités déclarantes assujetties à la réglementation fédérale canadienne doivent utiliser un autre moyen que le seul jugement humain pour authentifier une pièce d'identité avec photo lorsque le client n'est pas présent physiquement — CANAFE précise explicitement que le simple visionnement d'un document en appel vidéo est insuffisant. Cette exigence de la méthode de la pièce d'identité avec photo délivrée par un gouvernement, l'une des cinq méthodes reconnues par le Centre d'analyse des opérations et déclarations financières du Canada, cible directement la faille qu'exploite la recapture : une vérification purement visuelle ne distingue pas un document affiché sur un écran d'un document présenté physiquement (CANAFE).

Pour les entités assujetties — banques, sociétés de fiducie, assureurs, courtiers, entreprises de services monétaires — la vigilance documentaire à l'entrée en relation s'inscrit dans la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes (LRPCFAT), pendant canadien du Code monétaire et financier français (Justice Canada). Le texte exige des contrôles proportionnés au risque, capables de détecter des documents falsifiés ou recapturés à l'ouverture de compte. CANAFE reçoit les déclarations d'opérations douteuses qui en découlent — le rôle de TRACFIN en France — et l'Autorité des marchés financiers (lautorite.qc.ca) encadre ces obligations pour les institutions à charte québécoise.

Côté renseignements personnels, la Loi sur la protection des renseignements personnels dans le secteur privé — modernisée par la Loi 25 — exige un consentement exprès avant toute utilisation de données biométriques pour vérifier une identité, impose un moyen de vérification alternatif non biométrique, et oblige à déclarer à la Commission d'accès à l'information du Québec (CAI) tout projet de banque biométrique au moins soixante jours avant sa mise en service (Légis Québec ; CAI) — un rôle équivalent à la CNIL française. Un dispositif conforme documente le résultat de l'analyse de recapture dans le dossier de risque client, avec le raisonnement archivé pour la piste d'audit.

Signaux de détection : comparer les techniques forensiques

Aucune technique forensique isolée ne couvre l'ensemble des vecteurs de fraude documentaire ; la recapture d'écran nécessite une analyse d'image de bas niveau que l'inspection de contenu ne fournit pas.

Cette complémentarité justifie une checklist des signes de document généré par IA distincte de la détection de recapture : un document peut être authentique dans son contenu et néanmoins soumis via une recapture d'écran, ou inversement un montage grossier soumis en direct sans recapture.

Intégrer la détection de recapture dans un pipeline KYC

La détection de recapture d'écran s'intègre en amont du pipeline documentaire, avant l'extraction OCR, car elle porte sur la nature de la capture et non sur les données extraites. Un flux robuste enchaîne trois filtres : d'abord la validation du support de capture (moiré, reflets, géométrie), puis l'analyse structurelle du document, enfin le criblage réglementaire des identités extraites.

CheckFile applique une analyse multi-couche (structurelle, métadonnées, cohérence inter-documents), complétée par une couche additionnelle de signaux de génération IA déployée selon configuration client, avec une latence compatible avec les workflows interactifs et flux KYC temps réel. La plateforme prend en charge plus de 3 200 types de documents dans 32 juridictions, avec un SLA de disponibilité cible de 99,94 %.

Ce contrôle s'applique aussi bien aux parcours KYC bancaires qu'aux vérifications de justificatifs dans le financement et le leasing, deux secteurs où un document recapturé sert à masquer un montage de revenus ou d'identité. Le détail de notre approche de la protection des données figure sur la page sécurité.

Le contexte international : PVID, eIDAS 2.0 et le Cadre de confiance pancanadien

Le Canada n'a pas d'équivalent direct au portefeuille d'identité numérique européen d'eIDAS 2.0, mais les cinq méthodes de CANAFE et le Cadre de confiance pancanadien (Pan-Canadian Trust Framework) du DIACC visent le même objectif : une preuve d'identité à distance résistante aux attaques de présentation. En Europe, la norme ETSI TS 119 461 opérationnalise les exigences PAD et IAD pour les prestataires qualifiés du portefeuille EUDI Wallet (Entrust). Le DIACC, organisme canadien réunissant secteur public et privé, publie des guides sur les menaces liées à l'identité synthétique et aux deepfakes (DIACC). Ancrer la détection de recapture sur des signaux forensiques (moiré, ISO 30107-3) plutôt que sur les exigences d'une seule juridiction évite de dupliquer les dispositifs par marché.

Ce que révèlent les manuels de conformité sur le terrain

Les responsables conformité qui découvrent ce vecteur posent en général les mêmes questions : comment distinguer une recapture d'un simple reflet d'éclairage de bureau, et si la détection doit remonter une alerte bloquante ou un score à examiner manuellement.

En pratique, la détection de recapture ne doit presque jamais bloquer automatiquement un dossier au premier signal : le moiré, les reflets et la géométrie de bord alimentent un score de risque intégré à la décision globale, à côté de l'ELA, des métadonnées et du criblage réglementaire. Selon le rapport 2024 de l'ACFE, la détection manuelle de la fraude documentaire prend en moyenne 87 jours et n'aboutit que dans 37 % des cas — un délai que seule l'automatisation réduit à l'échelle d'un volume d'onboarding significatif. La fraude d'identité synthétique au Canada, qui a presque triplé en un an dans les demandes de crédit selon Equifax Canada, rend la seule inspection manuelle intenable à volume (Equifax Canada).

Pour une vue d'ensemble des méthodes de contrôle documentaire, notre guide de vérification des documents couvre les fondamentaux au-delà de la recapture.

Détecter la recapture d'écran avec CheckFile

Aucune solution n'atteint une détection à 100 %. CheckFile augmente la couverture en combinant analyse structurelle, métadonnées et signaux de génération IA en complément de vos contrôles existants. Consultez la page de détection de documents IA pour voir comment cette couche s'intègre à votre processus de vérification.

Pour discuter d'un déploiement adapté à vos volumes et à votre secteur, consultez nos tarifs ou contactez notre équipe.

Questions fréquemment posées

Qu'est-ce qu'une attaque par recapture d'écran en KYC ?

C'est une technique de fraude documentaire où un document falsifié ou volé est affiché sur un écran puis photographié ou filmé avec l'appareil requis par le parcours de vérification, plutôt que présenté directement. Cette étape masque une partie des traces de manipulation visibles sur l'image éditée d'origine.

Comment détecter une recapture d'écran sur un document soumis en ligne ?

Le signal le plus fiable est le motif de moiré, une interférence visuelle produite par la superposition de la grille de pixels de l'écran et du capteur de la caméra qui recapture. Les analyses complémentaires portent sur les reflets, l'éclairage, la géométrie de bord (cadre ou biseau de l'écran visible) et la saturation des couleurs anormalement uniforme.

Quelle est la différence entre PAD et IAD ?

PAD (Presentation Attack Detection) couvre les attaques physiques placées devant la caméra — photo imprimée, recapture d'écran, masque 3D. IAD (Injection Attack Detection) couvre les attaques logicielles qui injectent un flux vidéo directement dans le pipeline sans passer par une caméra physique. Les référentiels les plus exigeants, comme le schéma français PVID, imposent une résistance démontrée aux deux familles séparément.

La norme ISO 30107-3 s'applique-t-elle à la vérification documentaire ou seulement à la biométrie faciale ?

ISO/IEC 30107-3 définit un protocole de test générique pour les attaques de présentation, applicable aussi bien à la biométrie faciale qu'à la capture de documents. Les métriques APCER, BPCER et IAPMR mesurent respectivement le taux d'attaques non détectées, le taux de faux rejets et le taux de réussite de l'attaque jusqu'à la décision finale.

La recapture d'écran est-elle courante au Canada en 2026 ?

Les données publiques n'isolent pas encore un chiffre dédié à la recapture d'écran, mais elle s'inscrit dans une hausse générale de la fraude documentaire assistée par des outils numériques : la fraude d'identité synthétique dans les demandes de crédit a presque triplé en une seule année au Canada, et CANAFE exige depuis 2022 une authentification allant au-delà du seul jugement humain pour la vérification à distance. Les équipes conformité qui ne testent que la falsification de contenu, sans tester la nature du support de capture, restent exposées à ce vecteur.