Attaque par recapture d'écran : détecter les faux documents

Une attaque par recapture d'écran consiste à photographier ou filmer un écran affichant un document d'identité falsifié plutôt qu'à soumettre l'original physique — une manière de faire passer un montage numérique pour une capture directe. Le fraudeur modifie une pièce d'identité volée ou fabriquée dans un éditeur d'image, l'affiche sur un moniteur ou un smartphone, puis recapture cet affichage avec l'appareil requis par le parcours KYC. Cette étape intermédiaire brouille les traces de manipulation que l'analyse forensique classique cherche à révéler.

En France, les tentatives de fraude par documents synthétiques ont bondi de 281 % entre le premier trimestre 2024 et le premier trimestre 2025, et les tentatives liées aux deepfakes ont grimpé de 700 % sur la même période (FacePlusPlus, analyse des risques de fraude eKYC). La recapture d'écran figure parmi les vecteurs qui alimentent cette hausse.

Qu'est-ce qu'une attaque par recapture d'écran ?

Une attaque par recapture d'écran affiche un document sur un support numérique puis le capture à nouveau avec l'appareil du parcours de vérification, au lieu de présenter l'original. Le principe exploite une faille structurelle des contrôles d'upload classiques : ceux-ci vérifient la cohérence interne de l'image reçue, pas l'origine physique de ce qui a été photographié.

Le déroulé typique tient en trois étapes : le fraudeur obtient une image d'un document — volé, acheté sur un marché clandestin ou fabriqué — puis l'édite pour modifier l'identité, la photo ou une donnée clé ; il affiche le fichier retouché sur un écran d'ordinateur, de tablette ou de téléphone ; il capture enfin cet affichage avec l'appareil requis par le formulaire KYC, produisant une image qui semble être une photographie directe d'un document physique.

Cette recapture ajoute une couche visuelle qui masque une partie des traces de montage : le redimensionnement, l'impression virtuelle sur écran, le bruit du capteur de la seconde caméra, les reflets et la recompression affaiblissent les signaux forensiques — halos de compression, artefacts de bordure, incohérences de métadonnées — qu'une analyse comme l'ELA détecterait sur l'image éditée d'origine.

Pourquoi la recapture d'écran contourne les contrôles classiques

Les contrôles d'upload standard analysent le fichier reçu, pas le support depuis lequel il a été capturé — c'est exactement l'angle mort que la recapture exploite. Un contrôle qui vérifie uniquement le format, la résolution et la lisibilité des champs OCR ne fait aucune différence entre une photo prise sur un document en carte plastifiée et une photo prise sur un écran LCD.

Les métadonnées EXIF posent le même problème une fois la seconde capture effectuée. L'appareil qui a recapturé l'écran génère ses propres métadonnées cohérentes — date, modèle, géolocalisation — qui masquent l'historique du fichier original édité. L'analyse EXIF reste utile pour d'autres formes de fraude, mais elle perd une partie de son pouvoir discriminant face à une recapture propre.

C'est pourquoi la détection de la recapture d'écran ne repose pas sur l'analyse du contenu du document mais sur celle de son support de capture : la question posée n'est plus « ce document est-il authentique ? » mais « cette image provient-elle d'un objet physique ou d'un écran ? ».

PAD contre IAD : deux familles d'attaques à distinguer

La recapture d'écran est une attaque de présentation (PAD), pas une attaque par injection (IAD) — la distinction conditionne le choix des contre-mesures. Les référentiels de certification biométrique et documentaire, dont le schéma PVID de l'ANSSI, structurent leur exigence de résistance autour de cette séparation entre attaques physiques et attaques logicielles.

Une recapture d'écran est une attaque de présentation : un objet physique — l'écran allumé — est bel et bien placé devant la caméra du terminal. Une attaque par injection, elle, ne présente rien du tout : elle remplace le flux vidéo au niveau du pilote ou du logiciel, avant même qu'une caméra physique n'intervienne. Un système qui ne teste que la résistance aux injections peut rester intégralement vulnérable à une recapture d'écran soignée, et inversement — d'où l'exigence PVID de démontrer les deux résistances séparément (LSTI, certification PVID).

Le motif de moiré, signature forensique de la recapture d'écran

Le motif de moiré — une interférence visuelle produite par la superposition de la grille de pixels d'un écran et de la matrice du capteur photo — est le signal forensique le plus fiable pour identifier une recapture d'écran. Ce phénomène optique n'apparaît pas quand une caméra photographie un objet physique non pixellisé : il est spécifique au fait de recapturer un affichage numérique.

Une équipe de recherche a formalisé cette approche dans l'étude mID: Tracing Screen Photos via Moiré Patterns, présentée à USENIX Security 2021, qui démontre que les motifs de moiré contiennent une empreinte suffisamment distincte pour identifier non seulement qu'une image a été recapturée, mais dans certains cas le modèle d'écran utilisé (USENIX Security 2021). Les recherches plus récentes en 2026 sur la détection d'attaques de présentation documentaire exploitent le domaine spectral du motif de moiré pour renforcer la robustesse de la détection face à des écrans de résolutions et de tailles variées.

En complément du moiré, l'analyse forensique recherche trois signaux corrélés : des reflets et un éclairage incohérents avec un environnement de capture standard, une géométrie de bord irrégulière révélant le biseau ou le cadre de l'écran, et un contraste ou une saturation des couleurs anormalement uniformes sur l'ensemble de l'image (Mitek Systems, document liveness detection). Aucun de ces signaux pris isolément n'est décisif ; leur combinaison réduit fortement le taux de faux négatifs.

La norme ISO/IEC 30107-3 encadre les tests de résistance PAD

ISO/IEC 30107-3 est la norme internationale de référence pour tester et rapporter la résistance des systèmes biométriques et documentaires aux attaques de présentation, dont la recapture d'écran. Publiée par l'Organisation internationale de normalisation, elle définit un protocole de test reproductible plutôt qu'un algorithme de détection unique (ISO, norme 30107-3).

La norme introduit trois métriques qui remplacent les taux d'erreur classiques dans ce contexte :

• APCER (Attack Presentation Classification Error Rate) : proportion d'attaques — y compris les recaptures d'écran — classées à tort comme des présentations authentiques.
• BPCER (Bona fide Presentation Classification Error Rate) : proportion de présentations authentiques rejetées à tort comme des attaques, un coût direct en abandon et en support.
• IAPMR (Imposter Attack Presentation Match Rate) : taux auquel une attaque parvient jusqu'à la correspondance biométrique finale, mesurant l'impact de bout en bout de l'attaque sur le système.

Un fournisseur qui revendique une résistance à la recapture d'écran sans publier d'APCER/BPCER mesurés sur un jeu de tests incluant spécifiquement ce vecteur d'attaque n'apporte pas de preuve vérifiable. Comme pour la liveness faciale, la détection de vivacité applique les mêmes métriques ISO 30107-3 au visage plutôt qu'au document — les deux couches sont complémentaires dans un parcours KYC.

Le cadre français : PVID de l'ANSSI, LCB-FT et CNIL

Le schéma PVID de l'ANSSI exige explicitement des prestataires de vérification d'identité à distance qu'ils démontrent leur résistance aux deux familles d'attaques, PAD et IAD — la recapture d'écran étant un vecteur PAD nommé du référentiel. PVID (Prestataire de Vérification d'Identité à Distance) est l'un des cadres de qualification les plus exigeants d'Europe pour les acteurs qui vérifient une identité sans face-à-face physique (Treezor, KYC liveness certifié PVID).

Pour les entités assujetties françaises — banques, établissements de paiement, assureurs — la vigilance documentaire s'inscrit dans les obligations LCB-FT du Code monétaire et financier, transposées de la 6e directive anti-blanchiment. Ces textes n'imposent pas une technologie précise mais exigent des contrôles « adaptés au risque » capables de détecter des documents falsifiés lors de l'entrée en relation. TRACFIN reçoit les déclarations de soupçon qui découlent d'anomalies documentaires non résolues, et la CNIL encadre le traitement des données biométriques et personnelles collectées pendant la vérification.

Un dispositif conforme documente systématiquement le résultat de l'analyse de recapture — moiré détecté ou non, score associé — dans le dossier de risque client, avec le raisonnement décisionnel archivé pour répondre aux exigences de piste d'audit.

Signaux de détection : comparer les techniques forensiques

Aucune technique forensique isolée ne couvre l'ensemble des vecteurs de fraude documentaire ; la recapture d'écran nécessite spécifiquement une analyse d'image de bas niveau que l'inspection de contenu ne fournit pas.

Cette complémentarité justifie une checklist des signes de document généré par IA distincte de la détection de recapture : un document peut être entièrement authentique dans son contenu et néanmoins soumis via une recapture d'écran, ou inversement être un montage grossier soumis en direct sans recapture.

Intégrer la détection de recapture dans un pipeline KYC

La détection de recapture d'écran s'intègre en amont du pipeline documentaire, avant l'extraction OCR et l'analyse de contenu, car elle porte sur la nature de la capture et non sur les données extraites. Un flux robuste enchaîne trois filtres : d'abord la validation du support de capture (moiré, reflets, géométrie), puis l'analyse structurelle du document lui-même, enfin le criblage réglementaire des identités extraites.

CheckFile applique une analyse multi-couche (structurelle, métadonnées, cohérence inter-documents), complétée par une couche additionnelle de signaux de génération IA déployée selon configuration client, avec une latence compatible avec les workflows interactifs et flux KYC temps réel. La plateforme prend en charge plus de 3 200 types de documents dans 32 juridictions, avec un SLA de disponibilité cible de 99,94 %.

Ce type de contrôle s'applique aussi bien aux parcours KYC bancaires qu'aux vérifications de justificatifs dans le financement et le leasing, deux secteurs où un document recapturé sert à masquer un montage de revenus ou d'identité. Le détail de notre approche de la protection des données et de l'hébergement figure sur la page sécurité.

Le cadre européen : eIDAS 2.0 et ETSI TS 119 461

Au niveau européen, le portefeuille d'identité numérique (EUDI Wallet) prévu par eIDAS 2.0 impose une vérification d'identité résistante aux attaques de présentation, dont la recapture d'écran, via la norme technique ETSI TS 119 461. Cette norme opérationnalise les exigences de preuve d'identité à distance pour les prestataires de services de confiance qualifiés, en couvrant conjointement les résistances PAD et IAD (Entrust, panorama eIDAS 2). Le règlement d'exécution (UE) 2026/798 renforce ces exigences pour l'entrée en relation à distance. Pour les organismes opérant en France et ailleurs dans l'UE, aligner un contrôle unique sur PVID et ETSI TS 119 461 v2 évite de dupliquer les dispositifs par juridiction.

Ce que révèlent les manuels de conformité sur le terrain

Les responsables conformité qui découvrent ce vecteur d'attaque posent en général les mêmes questions : comment distinguer une recapture d'un simple reflet d'éclairage de bureau, et si la détection doit remonter une alerte bloquante ou un score de risque à examiner manuellement.

En pratique, la détection de recapture ne doit presque jamais bloquer automatiquement un dossier au premier signal : le moiré, les reflets et la géométrie de bord alimentent un score de risque intégré à la décision globale, à côté de l'ELA, des métadonnées et du criblage réglementaire. Selon le rapport 2024 de l'ACFE (Report to the Nations), la détection manuelle de la fraude documentaire prend en moyenne 87 jours et n'aboutit que dans 37 % des cas — un délai que seule l'automatisation des signaux forensiques réduit à l'échelle d'un volume d'onboarding significatif. L'enquête PwC France sur la criminalité économique 2025 rapporte que 69 % des entreprises françaises interrogées déclarent avoir été victimes de criminalité économique, un contexte de fraude déjà structurellement élevé.

Pour une vue d'ensemble des méthodes de contrôle documentaire, notre guide de vérification des documents couvre les fondamentaux au-delà de la seule détection de recapture.

Détecter la recapture d'écran avec CheckFile

Aucune solution n'atteint une détection à 100 %. CheckFile augmente la couverture en combinant analyse structurelle, métadonnées et signaux de génération IA en complément de vos contrôles existants. Consultez la page de détection de documents IA pour voir comment cette couche de détection s'intègre à votre processus de vérification.

Pour discuter d'un déploiement adapté à vos volumes et à votre secteur, consultez nos tarifs ou contactez notre équipe.

Questions fréquemment posées

Qu'est-ce qu'une attaque par recapture d'écran en KYC ?

C'est une technique de fraude documentaire où un document falsifié ou volé est affiché sur un écran puis photographié ou filmé avec l'appareil requis par le parcours de vérification, plutôt que présenté directement. Cette étape intermédiaire masque une partie des traces de manipulation visibles sur l'image éditée d'origine.

Comment détecter une recapture d'écran sur un document soumis en ligne ?

Le signal le plus fiable est le motif de moiré, une interférence visuelle produite par la superposition de la grille de pixels de l'écran et du capteur de la caméra qui recapture. Les analyses complémentaires portent sur les reflets, l'éclairage, la géométrie de bord (cadre ou biseau de l'écran visible) et la saturation des couleurs anormalement uniforme.

Quelle est la différence entre PAD et IAD ?

PAD (Presentation Attack Detection) couvre les attaques physiques placées devant la caméra — photo imprimée, recapture d'écran, masque 3D. IAD (Injection Attack Detection) couvre les attaques logicielles qui injectent un flux vidéo directement dans le pipeline sans passer par une caméra physique. Le schéma PVID de l'ANSSI exige une résistance démontrée aux deux familles séparément.

La norme ISO 30107-3 s'applique-t-elle à la vérification documentaire ou seulement à la biométrie faciale ?

ISO/IEC 30107-3 définit un protocole de test générique pour les attaques de présentation, applicable aussi bien à la biométrie faciale qu'à la capture de documents. Les métriques APCER, BPCER et IAPMR mesurent respectivement le taux d'attaques non détectées, le taux de faux rejets et le taux de réussite de l'attaque jusqu'à la décision finale, quel que soit l'objet capturé.

La recapture d'écran est-elle courante en France en 2026 ?

Les données publiques ne isolent pas encore un chiffre dédié à la recapture d'écran, mais elle s'inscrit dans une hausse générale de la fraude documentaire assistée par des outils numériques : les tentatives de fraude par documents synthétiques ont progressé de 281 % entre le premier trimestre 2024 et le premier trimestre 2025 en France. Les équipes conformité qui ne testent que la falsification de contenu, sans tester la nature du support de capture, restent exposées à ce vecteur spécifique.