On passe des années à raffiner des matrices d’accès pour des identités dont la légitimité initiale n’a jamais été vérifiée sérieusement. C’est poser une serrure de coffre-fort sur une porte que quelqu’un nous a demandé d’installer. Deux dossiers de 2026 ont rendu ce paradoxe impossible à ignorer.
Quand l’attaquant ne compromet aucun compte — il postule
Dans le dossier des travailleurs informatiques nord-coréens, il n’y a pas d’authentification vaincue. Personne ne casse l’authentification multifacteur. L’attaquant postule, il est embauché, et on lui remet les accès.
Les indices étaient pourtant là, en amont du système d’identité. Les chercheurs ont relevé deux passeports émis dans la même ville à un jour d’écart, deux candidats ayant versé par mégarde la photo du verso de la même carte d’identité, et des factures d’électricité portant les mêmes fautes de frappe, visiblement tirées d’un gabarit trouvé en ligne.
Aucun outil de GIA n’aurait attrapé ça, parce que le problème ne se situe pas dans le système d’identité. Il se situe avant — au moment où l’on décide qui mérite une identité. C’est le contrôle d’accès qui reste debout pendant que tout ce qui l’entoure s’effondre.
Une précision que les chercheurs tiennent à faire, et qui aggrave le tableau : ces documents sont probablement frauduleux, mais ils contiennent sans doute de vraies informations appartenant à des personnes dont l’identité a été volée.
On ne révoque pas une date de naissance
L’autre dossier est arithmétique. Le FBI enquêterait sur la vente, sur le web clandestin, de numérisations de plus de 153 millions de permis de conduire — nord-américains en majorité. Le chiffre vient des exploitants du service eux-mêmes, et il faut le prendre pour ce qu’il est : une revendication, pas un décompte vérifié. L’ordre de grandeur suffit au raisonnement.
Prenez une seconde pour mesurer ce que ça implique pour la GIA. On ne révoque pas une date de naissance. On ne fait pas tourner un numéro de permis, ni un visage.
Toute une industrie de la vérification d’identité repose sur des attributs qui, une fois exposés, le restent à vie. Un mot de passe compromis, on le change. Un jeton volé, on le révoque. Un permis de conduire numérisé et diffusé, il circule pour toujours — et il continue d’être accepté comme « preuve » à l’ouverture d’un compte ou à la récupération d’un accès.
L’attestation vaut mieux que la photocopie
Le mouvement réglementaire va dans la bonne direction. Cinq régulateurs financiers américains ont précisé en septembre 2026 que les banques peuvent accepter les permis de conduire mobiles pour vérifier l’identité de leurs clients. La différence est de nature, pas de degré : ces justificatifs sont signés numériquement par leur émetteur, liés cryptographiquement à un appareil, et protégés par un facteur d’activation — un code ou une donnée biométrique.
Une attestation vérifiable vaut infiniment mieux qu’une photo de document. Mais la précision des régulateurs n’impose rien : elle n’exige ni n’interdit le recours à ces justificatifs numériques. La numérisation statique reste donc acceptée en parallèle, et l’angle mort demeure.
Un signal, plus une preuve
Ma conclusion est inconfortable, mais je l’assume : la vérification documentaire n’est plus une preuve d’identité. C’est, au mieux, un signal parmi d’autres. Les organisations qui traitent encore une numérisation de permis comme un élément de confiance à l’ouverture d’un compte ou à la récupération d’un accès s’exposent à une catégorie de risque qu’aucune rotation de mot de passe ne viendra corriger.
Concrètement, pour les équipes GIA et d’accueil client :
- Traiter le document comme un signal, pondéré avec d’autres, jamais comme une preuve suffisante à lui seul.
- Privilégier les attestations vérifiables — identité mobile signée cryptographiquement — sur la photo de document statique.
- Renforcer les moments de bascule : ouverture de compte, ré-enrôlement, récupération d’accès. C’est là, et plus à la connexion, que l’attaquant se présente désormais.
On a industrialisé l’authentification et laissé le reste du cycle de vie en mode artisanal. C’est d’ailleurs la même confusion que celle qui fait prendre un jeton authentique pour un jeton légitime : vérifier que quelque chose est valide n’a jamais voulu dire vérifier qu’il est fondé.
Le maillon faible n’est plus la serrure. C’est la question qu’on pose — ou qu’on ne pose pas — avant de remettre la clé.
Vos processus d’accueil et de récupération d’accès reposent-ils encore sur des documents qu’on ne peut pas révoquer ? Un diagnostic de maturité GIA situe ce risque dans votre cycle de vie des identités. Évaluer ma maturité GIA →
Maîtrisez la GIA — une initiative de Securisa inc.
