KYC banque retail : prévenir les deepfakes et l'identité synthétique

Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil juridique, financier ou réglementaire. Les références réglementaires sont exactes à la date de publication. Consultez un professionnel qualifié pour des conseils adaptés à votre situation.

Pour situer ce risque dans l'offre CheckFile, voir notre approche détection IA et deepfake.

En janvier 2026, une banque régionale française a approuvé un crédit immobilier de 280 000 € en faveur d'un client qui n'avait jamais existé. Le dossier comprenait une carte d'identité deepfake, deux fiches de paie générées par un modèle de langage et un justificatif de domicile synthétique. Chaque document était individuellement convaincant. La fraude n'a été détectée que lors du premier impayé, six semaines plus tard.

Ce scénario n'est plus exceptionnel. Les attaques par deepfake dans les vérifications d'identité ont augmenté de plus de 700% en France depuis 2024, selon le rapport « The Battle Against AI-Driven Identity Fraud » de Signicat. Pour les banques de détail — établissements dont l'activité repose sur des volumes massifs d'ouvertures de compte à distance — la menace est structurelle, pas anecdotique.

L'Autorité de contrôle prudentiel et de résolution (ACPR) a renforcé ses attentes en matière de vérification d'identité à distance. Le cadre réglementaire de la Directive (UE) 2024/1640 (AMLD6) durcit simultanément les obligations de diligence raisonnable. Les banques qui maintiennent des processus KYC de première génération s'exposent à un risque opérationnel et réglementaire croissant.

Pourquoi l'onboarding bancaire retail est une cible prioritaire

L'onboarding bancaire retail concentre plusieurs facteurs qui en font une cible de choix pour les fraudeurs. Les enjeux financiers sont élevés : un compte courant ouvre l'accès au crédit revolving, au découvert autorisé, aux virements de masse. Les volumes sont massifs — des dizaines de milliers de nouvelles entrées en relation par mois pour une banque de taille moyenne. Et la pression commerciale pousse à réduire les délais de traitement, au détriment parfois de la rigueur des contrôles.

Un fraudeur qui crée un compte avec une identité synthétique obtient un actif réutilisable. Il peut construire un historique de crédit fictif sur six à dix-huit mois, en effectuant de petits remboursements ponctuels, avant de déclencher une fraude de grande ampleur : crédit personnel maxé, découvert non remboursé, escroqueries liées aux coordonnées bancaires.

Le canal numérique amplifie le risque. Une vérification en agence implique un contact humain, des documents physiques, une interaction dont les fraudeurs peinent à maîtriser tous les signaux. Une vérification 100% distancielle — photo de la pièce d'identité, selfie de contrôle de vivacité — peut être entièrement simulée avec des outils accessibles pour moins de 100 €.

Les deepfakes de selfie dans les parcours KYC

Trois vecteurs d'attaque documentés

Injection de caméra virtuelle. Le fraudeur remplace le flux vidéo de sa caméra physique par une vidéo générée ou pré-enregistrée injectée via un pilote logiciel. La vidéo reproduit les micro-mouvements requis par les contrôles de vivacité (clignements, rotations de tête, sourires). Les outils de contournement sont commercialisés sur des marchés parallèles et ne nécessitent aucune compétence technique particulière.

Deepfake en temps réel. Des modèles de réseau antagoniste génératif (GAN) superposent le visage d'une identité volée sur le visage réel du fraudeur, en direct, lors d'une session de selfie vidéo. En 2026, la qualité atteinte dépasse les capacités de détection des systèmes biométriques de première génération entraînés avant 2024.

Selfie synthétique statique. Pour les vérifications par simple photo (fréquentes dans les parcours mobiles), le fraudeur génère une image de synthèse cohérente avec le document d'identité fourni. Deux fichiers IA — la pièce d'identité et le selfie — sont créés ensemble pour maximiser la concordance visuelle.

La limite des contrôles visuels et des systèmes OCR de base

L'Association of Certified Fraud Examiners (ACFE) établit dans son rapport 2024 que le taux de détection manuelle de la fraude tous types confondus ne dépasse pas 37%. Pour les contenus générés par IA — où les artefacts visuels classiques n'existent plus — ce taux chute encore davantage. Un document deepfake ne comporte pas de flou de retouche, pas de police incohérente, pas de fond pixelisé : il est né numérique, cohérent par construction.

L'identité synthétique : une menace invisible pour la banque de détail

Définition et mécanique de l'identité synthétique

Une identité synthétique combine des données réelles fragmentaires avec des informations entièrement inventées, créant un profil impossible à relier à une personne physique existante. Contrairement à l'usurpation d'identité classique — où une victime réelle signale rapidement l'anomalie — la fraude à l'identité synthétique ne génère aucun signalement de tiers lésé. Elle est souvent détectée plusieurs mois après l'ouverture du compte, lors d'un impayé ou d'une vérification de conformité.

Le schéma le plus répandu : un numéro fiscal ou de sécurité sociale réel, issu d'une fuite de données, associé à un nom, une date de naissance et une adresse inventés. L'identité est ensuite utilisée avec parcimonie pendant plusieurs semaines ou mois, avant d'être exploitée massivement.

L'accélération observée en 2026

Selon le rapport de l'Entrust Cybersecurity Institute 2025, les documents d'identité générés par IA ont augmenté de 281% entre 2024 et 2025. Les falsifications numériques représentent désormais 57,46% de l'ensemble des fraudes documentaires détectées — dépassant pour la première fois les faux physiques. TRACFIN, l'unité de renseignement financier française, a noté une hausse significative des signalements liés à la fraude documentaire dans le secteur bancaire ces deux dernières années.

Méthodes de détection : comparatif des approches

La validation croisée multi-documents constitue la défense la plus robuste contre les identités synthétiques. Un fraudeur peut générer un faux passeport convaincant. Générer un passeport, une fiche de paie, un avis d'imposition et un relevé bancaire parfaitement cohérents entre eux — noms, adresses, montants, employeurs, numéros de TVA — sur plusieurs dizaines de points de données est exponentiellement plus difficile.

Le cadre réglementaire français : obligations ACPR et AMLD6

Ce que l'ACPR impose aux établissements bancaires

L'ACPR exerce la supervision prudentielle et réglementaire des établissements de crédit français. Ses lignes directrices sur la LCB-FT (lutte contre le blanchiment des capitaux et le financement du terrorisme) imposent aux banques de mettre en œuvre des mesures d'identification et de vérification « appropriées et proportionnées au risque » de leurs clients, incluant la vérification de l'identité au moyen de documents officiels.

Pour les entrées en relation entièrement à distance — catégorie à risque élevé dans la classification standard de l'ACPR — les lignes directrices encouragent explicitement l'utilisation de technologies de vérification biométrique et de détection des documents falsifiés. Les établissements qui maintiennent des contrôles exclusivement manuels pour ce canal doivent documenter des mesures compensatoires de risque équivalent.

AMLD6 et le renforcement des obligations de diligence raisonnable

La Directive (UE) 2024/1640 renforce les obligations de Customer Due Diligence (CDD). L'article 20 impose la vérification de l'identité avant l'établissement de la relation d'affaires. L'article 26 exige que les mesures soient « proportionnées au risque » — une notion qui, pour un canal numérique exposé aux deepfakes, implique des contrôles technologiques actifs.

La date butoir de transposition nationale est fixée au 10 juillet 2027. Les banques de détail françaises ont intérêt à anticiper dès maintenant en mettant à niveau leurs dispositifs, plutôt que de subir une mise en conformité contrainte dans les derniers mois précédant la date limite.

Obligations de déclaration à TRACFIN

Dès qu'un établissement dispose d'indices plausibles suggérant l'utilisation d'une identité synthétique ou de documents deepfake, il est tenu de déposer une déclaration de soupçon à TRACFIN dans les meilleurs délais. Les incohérences documentaires détectées par les systèmes automatisés constituent la base documentaire de cette déclaration. L'établissement est soumis à l'obligation de secret (il ne doit pas informer le client de la déclaration).

L'approche CheckFile : détection multicouche pour le KYC retail

CheckFile applique une approche de détection multicouche spécialement adaptée aux contraintes de l'onboarding bancaire retail, où les délais sont courts et les volumes élevés.

Analyse forensique documentaire. Détection des anomalies dans la structure interne des fichiers — hiérarchie des objets PDF, patterns d'intégration des polices, signatures de compression d'image — qui distinguent les documents générés par IA des documents authentiques, même lorsque les métadonnées de surface ont été falsifiées.

Validation croisée inter-documents. Vérification automatique de la cohérence entre tous les documents soumis : concordance des identités, cohérence financière, vérification temporelle, cohérence des entités référencées. Plusieurs dizaines de points de contrôle simultanés.

Vérification contre les registres officiels. Recoupement des données extraites avec les registres officiels (SIREN/SIRET, IBAN, numéros de TVA, registres des entreprises) pour valider l'existence réelle des entités et des comptes référencés.

La plateforme CheckFile prend en charge plus de 3 200 types de documents pour la vérification KYC dans le secteur bancaire, couvrant 32 juridictions. Pour les équipes conformité, la solution banque-KYC concentre la revue humaine sur les dossiers réellement suspects, en traitant automatiquement les cas nominaux.

Pour une vue d'ensemble des processus de vérification bancaire, consultez notre guide de l'onboarding bancaire KYC. Pour les spécificités de la vérification biométrique, voir notre article sur la détection de vivacité et la prévention des usurpations d'identité.

Explorez nos options tarifaires ou contactez notre équipe pour un audit de votre dispositif KYC actuel.

Pour une perspective sectorielle complète, consultez notre guide des industries de la vérification.

Questions fréquemment posées

Quelle différence entre usurpation d'identité et identité synthétique dans le contexte bancaire ?

L'usurpation d'identité réutilise les données complètes d'une personne réelle existante, qui subira directement le préjudice et le signalera rapidement. L'identité synthétique combine des fragments de données réelles avec des informations fictives, créant un profil sans victime directe identifiable. Cette absence de signalement externe allonge considérablement les délais de détection et accroît l'exposition des établissements bancaires.

Les systèmes de détection de vivacité standard suffisent-ils à bloquer les deepfakes en 2026 ?

Non. Les systèmes de première génération basés sur des instructions de mouvement simples (clignements, rotations) sont contournables par injection de caméra virtuelle ou deepfake temps réel. Les systèmes avancés intégrant l'analyse comportementale, la détection des artefacts de génération IA et la vérification cryptographique offrent une résistance nettement supérieure. Leur efficacité est encore accrue lorsqu'ils sont combinés à la validation forensique des documents soumis.

L'AMLD6 impose-t-elle l'utilisation de technologies biométriques spécifiques ?

L'AMLD6 n'impose pas de technologie précise, mais exige des mesures « proportionnées au risque ». Pour un canal d'entrée en relation 100% à distance — profil de risque élevé — l'ACPR considère que les mesures compensatoires doivent être de niveau équivalent à une vérification en face-à-face. En pratique, cela oriente vers des solutions biométriques actives et la validation documentaire automatisée.

Combien de temps la validation KYC multicouche ajoute-t-elle au parcours client ?

CheckFile est conçu pour s'intégrer dans des workflows d'onboarding temps réel. L'analyse forensique et la validation croisée s'exécutent en flux continu, compatibles avec les parcours clients interactifs. La grande majorité des dossiers est traitée automatiquement ; seuls les cas suspects sont renvoyés vers la revue humaine, ce qui réduit globalement le délai de traitement pour l'ensemble du volume.

Comment documenter les anomalies pour une déclaration TRACFIN ?

La documentation TRACFIN doit préciser les indicateurs de soupçon : incohérences documentaires détectées (dates contradictoires, adresses incompatibles entre pièces, anomalies forensiques), comportement atypique lors de la vérification biométrique, et résultat des vérifications contre les registres officiels. Les systèmes automatisés comme CheckFile génèrent un rapport d'analyse structuré qui facilite la rédaction de la déclaration par les équipes conformité.