Archives de catégorie : Biométrie

New York veut traquer la fraude au métro avec l’IA

La MTA teste des portiques dotés de caméras et d’IA pour décrire les fraudeurs présumés. Dans une ville déjà saturée de biométrie, l’initiative ranime un débat explosif sur la surveillance.

L’Autorité des transports métropolitains de New York (MTA) expérimente des portiques de métro équipés de caméras et d’intelligence artificielle pour collecter des données sur les usagers soupçonnés de ne pas payer leur titre. Selon Cubic, fabricant des portillons, les caméras enregistrent cinq secondes lorsqu’une fraude est détectée, puis l’IA produit une description physique transmise à la MTA. La démarche s’inscrit dans un appel lancé en décembre, visant des solutions de vision par ordinateur pour repérer des comportements inhabituels ou dangereux. Des défenseurs des libertés, dont STOP, alertent sur l’extension d’un écosystème de surveillance biométrique à New York.

Des portiques qui regardent, et des corps transformés en données

Dans le métro new-yorkais, la lutte contre la fraude prend un tournant technologique. La MTA teste des portiques équipés de caméras alimentées par l’intelligence artificielle, avec un objectif clair : documenter les personnes soupçonnées de passer sans payer. L’argument est opérationnel, limiter les pertes, fluidifier les contrôles, décourager les resquilleurs. Mais la méthode, elle, touche à une frontière plus délicate : convertir un comportement, franchir un portillon, en signal exploitable.

Selon des responsables de Cubic, fabricant des portillons, le dispositif embarque des caméras qui se déclenchent pendant cinq secondes lorsqu’un usager est suspecté de ne pas régler son titre de transport. Sur cette courte séquence, l’IA génère une description physique de la personne, puis transmet cette description à la MTA. Le point central n’est pas seulement l’enregistrement. C’est l’automatisation du tri : une machine décide qu’un événement mérite capture, produit un profil descriptif, et l’envoie à une autorité publique.

En décembre, la MTA a renforcé ce cap en lançant un appel aux fournisseurs, à la recherche de produits capables « d’exploiter des technologies avancées de vision par ordinateur et d’intelligence artificielle (IA) » pour détecter des « comportements inhabituels ou dangereux ». Le cadrage élargit d’emblée l’usage potentiel. On ne parle plus uniquement de fraude tarifaire, mais d’une catégorie souple, “inhabituel”, qui peut vite devenir un filet large si les paramètres ne sont pas strictement bornés.

Pour les New-Yorkais, l’essai de la MTA s’inscrit dans un paysage déjà dense. Les agences publiques et les acteurs privés multiplient les capteurs, et la normalisation se fait souvent par petites touches. Un portillon qui filme cinq secondes aujourd’hui, une généralisation demain, puis une extension des finalités après-demain. C’est précisément ce glissement progressif que redoutent les défenseurs de la vie privée, parce qu’il change la ville sans vote explicite, au rythme des mises à jour et des contrats.

Commerces, police, et l’ombre d’un État de surveillance

Le débat new-yorkais ne se limite pas aux transports. Début janvier, l’enseigne Wegmans a commencé à afficher des panneaux informant les clients qu’elle avait déployé des caméras intégrant la reconnaissance faciale dans certains magasins. Le groupe affirme que « le système collecte des données de reconnaissance faciale et ne les utilise que pour identifier les personnes qui ont déjà été signalées pour mauvaise conduite ». Wegmans ajoute ne collecter ni scans rétiniens ni empreintes vocales, mais l’entreprise ne précise pas la durée de conservation des données, un détail qui, en matière de biométrie, fait toute la différence entre un contrôle ponctuel et un fichier durable.

La loi de la ville de New York impose aux magasins d’informer leurs clients lorsqu’ils utilisent la reconnaissance faciale. Michelle Dahl, directrice générale du Surveillance Technology Oversight Project (STOP), cite d’autres enseignes recourant à ces outils : T-Mobile, Madison Square Garden, Walmart, Home Depot, Fairway et Macy’s. Dans ce décor, la MTA apparaît moins comme une exception que comme un nouveau maillon, public, d’un réseau de surveillance hybride où l’espace commercial et l’espace urbain finissent par se ressembler.

Dahl avertit que la surveillance biométrique, par les commerçants comme par la MTA, a fortement augmenté récemment, tout en passant sous le radar d’une partie des habitants. « Les New-Yorkais, dans leur ensemble, s’enfoncent sans s’en rendre compte dans cet État de surveillance, et il est temps pour nous de nous réveiller et d’agir », dit-elle. La phrase agit comme un rappel politique : la technique avance vite, mais l’attention citoyenne, elle, est intermittente.

Une autre inquiétude pèse sur ces systèmes : la précision inégale selon les populations. La reconnaissance faciale est décrite comme moins fiable pour identifier les minorités, et en particulier les personnes noires. Appliquée à la fraude dans le métro, cette limite ouvre un risque concret : que des caméras signalent les mauvaises personnes et que ces signalements, par ricochet, alimentent des interventions policières. Même lorsque l’outil ne “nomme” pas, une description physique automatisée peut devenir un vecteur de ciblage.

Le texte rappelle enfin que le NYPD utilise depuis longtemps des technologies biométriques, dont la reconnaissance faciale, pour profiler et suivre des habitants. En novembre, STOP et Amnesty International ont publié des documents montrant l’ampleur de ce programme après une procédure judiciaire de cinq ans. Selon ces organisations, les documents indiquent qu’en avril 2020, la police de New York avait dépensé plus de 5 million $ (4,6 millions d’euros) en technologie de reconnaissance faciale et qu’elle dépensait au moins 100 000 $ (92 000 euros) supplémentaires chaque année.

Dans ce contexte, les portiques intelligents de la MTA ne sont pas qu’un test technique. Ils deviennent un point de bascule : la fraude comme justification, la biométrie comme outil, et la ville comme terrain d’expérimentation, où l’IA transforme les passants en profils actionnables.

La Corée du Sud impose la reconnaissance faciale pour les SIM

Après deux fuites massives en 2025, Séoul change de doctrine. Les opérateurs devront vérifier l’identité des acheteurs de cartes SIM par scan du visage, pour freiner le fléau des numéros frauduleux.

Le gouvernement sud-coréen lance un programme obligeant les opérateurs télécoms à vérifier l’identité des acheteurs de cartes SIM par reconnaissance faciale. La procédure s’appuiera sur l’application PASS, utilisée par SK Telecom, LG Uplus et Korea Telecom, qui stocke des données numériques des abonnés. Lors de l’activation d’un nouveau numéro, le visage du client sera comparé aux données biométriques disponibles dans PASS. L’objectif est de compliquer l’achat de lignes au nom de tiers, pratique alimentant des escroqueries comme le voice phishing. La mesure intervient après deux grandes fuites en 2025, touchant environ 52 millions de personnes.

Quand une carte SIM devient une arme de fraude

En Corée du Sud, la vente d’une carte SIM ne relève plus d’un simple acte commercial. Le gouvernement annonce une nouvelle étape : obliger les opérateurs à vérifier l’identité des acheteurs en scannant leur visage. La logique est assumée par le ministère des Sciences et des Télécommunications : trop de numéros sont enregistrés sur la base de données volées, puis utilisés dans des arnaques, notamment le voice phishing, cette fraude par appel où l’usurpation d’identité fait le reste.

Jusqu’ici, les vendeurs demandaient des documents. Désormais, ce ne sera « plus suffisant ». Le dispositif vise précisément la faille opérationnelle décrite par les autorités : des criminels parviennent à enregistrer en masse des SIM en utilisant les informations personnelles d’autrui. Une fois la ligne activée, elle devient un outil jetable, dissocié de la vraie identité du fraudeur, mais redoutablement efficace pour appeler, piéger, extorquer ou détourner des comptes.

Le programme s’appuie sur PASS, une application utilisée par les trois principaux opérateurs du pays, SK Telecom, LG Uplus et Korea Telecom. PASS centralise des données numériques des utilisateurs. Dans la nouvelle procédure, l’activation d’un numéro sera liée à ce canal : le visage de l’acheteur, capturé lors de la souscription, sera comparé aux données biométriques stockées dans PASS. L’objectif est clair : réduire l’écart entre l’identité affichée sur un contrat et la personne réelle qui repart avec une ligne active.

Pour le cyber et le renseignement, l’intérêt n’est pas seulement la biométrie. C’est l’idée d’un verrou ajouté au point le plus banal, l’achat d’une SIM, parce que ce geste alimente ensuite une chaîne entière d’abus. Les autorités parient qu’en liant l’activation à une vérification faciale, les fraudeurs auront plus de mal à « consommer » des identités volées, même s’ils disposent de documents ou de données complètes. C’est une réponse de type contrôle d’accès, appliquée non pas à un réseau, mais à l’attribution d’un numéro, c’est-à-dire à la capacité d’entrer en contact avec une victime.

Deux fuites en 2025, une pression politique immédiate

Ce durcissement se comprend à la lumière d’un contexte que le gouvernement décrit comme devenu explosif. En 2025, deux fuites majeures auraient touché plus de la moitié de la population, environ 52 millions de personnes. L’ampleur, citée par les autorités, joue ici le rôle de déclencheur : quand les bases d’identité se diffusent, la fraude à la SIM devient mécaniquement plus simple, parce qu’elle repose sur des pièces « valables » en apparence.

Un premier épisode concerne Coupang. Selon les éléments rapportés, l’enseigne de commerce en ligne aurait exposé plus de 30 millions d’enregistrements. Environ un mois après, le directeur général a perdu son poste. Le message implicite est brutal : l’incident n’est pas traité comme une simple panne de sécurité, mais comme un événement de gouvernance.

L’autre cas touche SK Telecom, déjà cité comme un pilier de l’écosystème PASS. Plus tôt dans l’année, l’opérateur a subi une attaque et des acteurs ont volé des informations concernant 23 millions d’abonnés. La réaction réglementaire a été lourde : une amende de 100 million $ (92,0 millions d’euros) et l’obligation de compenser les victimes. Les autorités justifient cette sanction par des manquements graves en sécurité, dont la divulgation d’identifiants d’infrastructure “en clair” et l’existence d’un serveur accessible depuis Internet.

SK Telecom a aussi été contraint d’indemniser l’ensemble des personnes affectées : 100 000 wons, annoncés comme environ 67 $ (61,6 €), par utilisateur, dont la moitié en crédits sur le compte et l’autre en points utilisables en magasin. Un dernier chiffre nuance la cible réelle de la réforme : près de 92 % des numéros frauduleux détectés en 2024 auraient été enregistrés via des opérateurs virtuels. Dit autrement, le front n’est pas uniquement chez les trois géants, mais dans les circuits de vente et d’activation où l’identité est la plus difficile à verrouiller.

Dans une approche de cyber-renseignement, la reconnaissance faciale n’est qu’un outil : la vraie bataille vise la chaîne d’enrôlement des identités, là où la fraude transforme une fuite de données en capacité d’action.

 

News & alertes actualités cyber

Enquêtes, cyberveille, fuites, actu sécurité : recevez nos informations cyber là où vous êtes.

S’abonner à la NewsLetter ZATAZ

Chaque samedi matin, le meilleur moyen de ne rater aucune info cyber.

YouTube
Whatsapp
GNews
Autres

Protection numérique : Google renforce la sécurité des jeunes

Google amorce une révolution dans la protection des mineurs en ligne : l’intelligence artificielle détecte l’âge pour bloquer contenus sensibles et pubs ciblées, sans intervention des éditeurs.

Google déploie une nouvelle technologie d’estimation d’âge par intelligence artificielle pour protéger les mineurs aux États-Unis. Grâce à un système d’apprentissage automatique, l’âge des utilisateurs connectés est évalué afin d’appliquer automatiquement des restrictions. Les publicités personnalisées sont désactivées, les catégories sensibles interdites, et plusieurs fonctionnalités limitées. Ce changement concerne les plateformes publicitaires Google (AdSense, AdMob, Ad Manager) sans aucune action requise des éditeurs. Ce dispositif répond à des exigences réglementaires croissantes tout en respectant la vie privée. L’initiative pourrait être étendue à d’autres pays, alors que les législateurs mondiaux s’attaquent à la question de la protection des jeunes en ligne. Un tournant stratégique majeur dans le paysage numérique.

Une IA pour protéger les jeunes : l’approche inédite de Google

Depuis juillet 2025, Google expérimente un modèle d’intelligence artificielle inédit pour estimer l’âge des utilisateurs connectés aux États-Unis. L’objectif ? Identifier automatiquement les personnes de moins de 18 ans afin d’activer des protections renforcées, sans collecte intrusive ni vérification manuelle préalable. Ce système s’applique en priorité à ses services publicitaires (AdSense, AdMob, Ad Manager), ainsi qu’à des plateformes comme YouTube, Google Maps et Google Play. Une technique qui n’est pas nouvelle, des sites comme TikTok vous propose aussi de vérifier votre âge à grand coup de biométrie !

Le modèle s’appuie sur les données comportementales associées au compte Google : types de recherches, historique de navigation, vidéos visionnées ou interactions avec des contenus spécifiques. En détectant qu’un utilisateur a probablement moins de 18 ans, Google désactive plusieurs fonctions : Suppression des annonces personnalisées ; Blocage des catégories publicitaires sensibles : alcool, tabac, jeux d’argent, perte de poids, etc. ; Désactivation de Timeline dans Google Maps ; Limitation des recommandations sur YouTube ; Activation automatique des rappels de pause et de coucher.

Ces mesures s’inscrivent dans une logique proactive, sans nécessité pour l’utilisateur ou l’éditeur de modifier ses paramètres. Lorsqu’un compte est classé comme « mineur probable« , le système applique instantanément des restrictions conformes aux standards en vigueur en matière de sécurité numérique des mineurs.

Aucun changement requis chez les éditeurs : Google centralise la régulation

Pour les éditeurs de contenus utilisant les services publicitaires Google, cette évolution ne requiert aucune configuration manuelle. Le déploiement de cette fonctionnalité se fait entièrement côté serveur, sur la base des données associées au compte utilisateur connecté. Le système détecte localement si un compte doit être traité comme appartenant à un mineur, et modifie en conséquence les flux publicitaires.

Les éditeurs doivent cependant être conscients des impacts potentiels : une baisse possible des revenus peut survenir dans les segments où les annonces personnalisées généraient historiquement de meilleures performances. Les créations publicitaires contenant certains mots-clés ou images peuvent aussi être bloquées si elles correspondent à des catégories jugées sensibles. En clair, les mineurs ne verront plus certains types de campagnes, et la monétisation de ces impressions pourrait être affectée.

Google précise que cette technologie s’applique exclusivement lorsque l’utilisateur est connecté à son compte Google. Si l’utilisateur navigue anonymement ou en mode invité, ces protections ne s’activent pas automatiquement.

Pour les internautes mal catégorisés — par exemple, un adulte considéré comme mineur — une procédure permet de vérifier son âge : pièce d’identité, carte bancaire (pour 0,50 $ soit environ 0,46 €), ou selfie biométrique traité localement. Aucune donnée n’est conservée après vérification.

Ce mouvement stratégique répond à une pression réglementaire croissante dans plusieurs pays. En Europe, le Digital Services Act impose des garde-fous stricts sur la collecte de données des mineurs et le ciblage algorithmique. Le Code britannique pour la conception adaptée à l’âge, en vigueur depuis 2021, oblige les entreprises numériques à minimiser les risques pour les moins de 18 ans. L’Irlande et la France suivent des lignes similaires.

Aux États-Unis, des États comme la Louisiane, l’Arkansas ou l’Utah imposent déjà des vérifications d’âge obligatoires pour accéder à certains réseaux sociaux. Le Kids Online Safety Act (KOSA), en discussion au Sénat, pourrait imposer ces standards à l’échelle fédérale. En réponse, les grandes plateformes cherchent à automatiser la détection d’âge sans collecter de documents sensibles en amont.

Google opte pour un compromis innovant : un modèle probabiliste, non intrusif, capable d’identifier des signaux d’âge sans traitement biométrique systématique. Cette méthode « privacy-friendly » s’inscrit dans une stratégie plus large visant à réconcilier régulation, rentabilité et protection de la vie privée. Le système est testé auprès d’un petit échantillon d’utilisateurs avant extension progressive aux États-Unis, puis, sans doute, au reste du monde.

À moyen terme, cette politique pourrait être déclinée dans tous les produits Google, y compris Gmail, Discover et Chrome, et redessiner les contours de la publicité en ligne à l’ère des régulations générationnelles.

Biométrie, IA, vie privée : faut-il s’inquiéter pour notre vie numérique ?

La biométrie remplace les mots de passe, l’intelligence artificielle analyse nos visages, nos voix, nos gestes… La technologie avance, mais nos libertés numériques reculent-elles en silence ?

Alors que Microsoft annonce la fin des mots de passe pour ses nouveaux comptes, misant sur l’authentification biométrique pour renforcer la sécurité des utilisateurs, Meta multiplie les usages de l’intelligence artificielle dans ses lunettes connectées Ray-Ban, récoltant toujours plus de données personnelles. À travers ces décisions stratégiques, deux géants du numérique dessinent les contours d’une nouvelle ère où la frontière entre confort technologique et atteinte à la vie privée devient de plus en plus floue. Loin d’être anodines, ces évolutions posent une question essentielle : qui contrôle réellement notre identité numérique ?

La fin des mots de passe : promesse de sécurité ou piège biométrique ?

C’est une petite révolution dans le monde de la cybersécurité : Microsoft ne proposera plus par défaut de mot de passe lors de la création de nouveaux comptes. À la place, les utilisateurs seront invités à utiliser une authentification sans mot de passe, basée notamment sur la biométrie, empreinte digitale, reconnaissance faciale ou encore dispositifs de sécurité physique comme les clés FIDO2.

L’argument de Microsoft est simple : les mots de passe sont vulnérables. Victimes d’attaques par hameçonnage, de fuites de données ou de piratage par force brute, ils sont devenus le maillon faible de la cybersécurité moderne. En optant pour des méthodes biométriques, l’entreprise entend renforcer la sécurité tout en simplifiant l’expérience utilisateur. Plus besoin de se souvenir d’un énième mot de passe : notre corps devient notre clé.

Mais cette évolution, qui semble à première vue bienvenue, soulève des inquiétudes majeures. Car si une empreinte digitale ou un visage ne peuvent être « oubliés », ils ne peuvent pas non plus être changés. En cas de fuite ou de piratage, contrairement à un mot de passe, une donnée biométrique est irrécupérable. Le vol d’une identité biométrique est définitif.

En outre, le recours accru à la biométrie pourrait aussi entraîner une généralisation de la surveillance. Si notre visage devient notre identifiant numérique, il devient aussi une cible de choix pour toutes les technologies de reconnaissance faciale déployées dans l’espace public ou par des entreprises privées. Or, les cadres juridiques encadrant ces technologies restent flous, variables selon les pays et souvent dépassés par la rapidité des innovations.

Meta et ses lunettes connectées : l’IA au cœur de l’intimité

Dans un tout autre registre mais avec des conséquences similaires, Meta a récemment mis à jour la politique de confidentialité de ses lunettes connectées Ray-Ban. Désormais, lorsque les fonctions d’intelligence artificielle sont activées, les photos et vidéos capturées sont analysées en continu. Pire encore, les enregistrements vocaux sont systématiquement stockés… et les utilisateurs ne peuvent pas s’y opposer autrement qu’en supprimant manuellement chaque fichier depuis l’application mobile dédiée.

Les données ainsi collectées peuvent être conservées jusqu’à un an, et potentiellement utilisées pour entraîner les modèles d’intelligence artificielle de l’entreprise. L’objectif affiché : améliorer les performances des lunettes, permettre une meilleure reconnaissance des objets, des lieux, des personnes. Mais en arrière-plan, se profile une collecte massive de données d’une ampleur inédite.

Meta précise que les messages vocaux et contenus captés par ses appareils peuvent être utilisés pour entraîner ses modèles d’IA, sans que l’utilisateur n’en soit clairement informé à chaque interaction.

Ce n’est pas une première. Le géant californien a déjà annoncé qu’il entraînait ses modèles Llama sur les publications publiques des utilisateurs américains de ses réseaux sociaux. Une pratique rendue possible par les conditions d’utilisation des plateformes, souvent acceptées sans lecture préalable. Avec les lunettes Ray-Ban, l’étape suivante est franchie : l’IA s’invite dans la vie réelle, au plus près du quotidien.

Une nouvelle ère de l’identité numérique : confiance ou dépendance ?

Dans ce paysage en pleine transformation, d’autres acteurs cherchent à renforcer la confiance dans l’environnement numérique. C’est notamment le cas de la société World, qui vient d’annoncer un partenariat stratégique avec Tinder et Visa. Cette collaboration vise à intégrer une technologie de vérification d’identité innovante dans des services à large échelle. Résultat : des plateformes plus sûres, où la vérification de l’identité devient à la fois plus rapide, plus fiable, et plus discrète.

Concrètement, pour la première fois, la possibilité de confirmer de façon fluide son identité grâce à une technologie unique sera intégrée simultanément dans plusieurs services numériques de masse. Que ce soit pour s’inscrire sur une application de rencontres ou valider une transaction, l’utilisateur pourra prouver qu’il est bien lui-même en quelques secondes, sans recourir à des processus complexes ni fournir de documents papier. Cette tendance s’inscrit dans un nouveau cycle de confiance numérique, où l’identité devient un vecteur central de sécurité, mais aussi d’accessibilité.

Cependant, même dans ce contexte prometteur, la vigilance reste de mise. Car plus la vérification d’identité devient fluide, plus le risque d’intrusion dans la vie privée s’accroît si les garde-fous ne sont pas suffisamment solides. Ce n’est pas seulement la sécurité qui est en jeu, mais aussi la manière dont nos données les plus sensibles sont collectées, stockées, et utilisées.

Entre promesse d’innovation et opacité des usages

Microsoft et Meta avancent tous deux les mêmes justifications : amélioration de la sécurité, simplicité d’utilisation, perfectionnement de l’expérience utilisateur grâce à l’IA. Et de fait, il est indéniable que l’intelligence artificielle couplée à la biométrie permet des avancées spectaculaires. Qu’il s’agisse de protéger un compte contre une tentative de piratage ou de rendre une paire de lunettes capable d’identifier ce qui nous entoure en temps réel, la technologie accomplit des prouesses.

Mais ces prouesses ont un coût. Et ce coût, c’est celui de notre consentement, souvent implicite, rarement éclairé. Car dans la plupart des cas, les utilisateurs n’ont pas le choix. Pour créer un compte Microsoft, l’authentification biométrique devient la norme. Pour utiliser les lunettes Meta, il faut accepter des conditions de collecte de données particulièrement intrusives. Le « consentement » devient une case à cocher, plutôt qu’un acte réellement volontaire.

En outre, ces entreprises s’exonèrent en grande partie de toute transparence. Les informations collectées, les usages exacts qui en sont faits, les durées de conservation ou les modalités de suppression sont rarement claires. Et lorsque les utilisateurs souhaitent s’y opposer, ils se heurtent à des processus fastidieux, techniques, voire impossibles à mettre en œuvre. Supprimer manuellement chaque enregistrement vocal depuis une application n’est pas à la portée de tous.

Vers un encadrement nécessaire de l’identité numérique

Ces évolutions ne sont pas isolées. Elles s’inscrivent dans une dynamique plus large où l’identité numérique devient un enjeu majeur du XXIe siècle. À mesure que nos vies se numérisent, les traces que nous laissons – biométriques, vocales, visuelles – deviennent des matières premières convoitées par les géants du numérique. Or, dans la plupart des pays, les législations peinent à suivre.

L’Union européenne, avec le Règlement général sur la protection des données (RGPD), fait figure de pionnière en la matière. Elle impose des obligations de transparence, de sécurité et de consentement explicite. Mais même ce cadre est mis à l’épreuve par des technologies toujours plus invasives. Le débat autour de la régulation de l’intelligence artificielle, récemment relancé avec l’AI Act, montre bien que l’équilibre entre innovation et protection des libertés reste fragile.

En parallèle, les voix se multiplient pour appeler à une plus grande souveraineté numérique. Certains experts suggèrent la mise en place d’identifiants numériques gérés par des autorités indépendantes, ou de normes ouvertes permettant aux utilisateurs de mieux contrôler leurs données. D’autres appellent à interdire certaines pratiques, comme la reconnaissance faciale dans l’espace public ou la collecte non consentie d’enregistrements vocaux.

La vigilance comme seule défense… pour l’instant

En attendant une meilleure régulation, les utilisateurs n’ont d’autre choix que de redoubler de vigilance. Lire les conditions d’utilisation, comprendre les implications des technologies adoptées, vérifier les paramètres de confidentialité, limiter les usages de l’IA embarquée… autant de gestes essentiels, mais insuffisants face à la puissance des plateformes.

Car dans cette nouvelle ère numérique, ce n’est plus seulement notre navigation sur Internet qui est tracée. Ce sont nos voix, nos visages, nos gestes, nos environnements – bref, notre vie entière – qui sont capturés, analysés, exploités. Sans cadre clair, sans limites précises, cette collecte permanente pourrait devenir la norme.

Et si demain, notre propre corps devenait le dernier mot de passe à voler ?

BrutePrint : une faille expose les smartphones Android à des attaques par force brute des empreintes digitales

Des chercheurs de l’Université du Zhejiang et de Tencent Labs ont découvert un nouveau vecteur d’attaque baptisé BrutePrint. Il exploite la faiblesse des mécanismes de sécurité des empreintes digitales sur les smartphones Android.

Cette vulnérabilité permet à un attaquant de mener des tentatives d’authentification par force brute afin de prendre le contrôle d’un appareil mobile. En exploitant les vulnérabilités Cancel-After-Match-Fail (CAMF) et Match-After-Lock (MAL), les chercheurs ont pu contourner les limites de tentatives d’authentification infructueuses imposées par les smartphones Android modernes.

Les détails techniques de BrutePrint ont été publiés sur la plateforme Arxiv par les auteurs de l’étude. Ils ont identifié des lacunes dans la sécurité des données biométriques au niveau de l’interface périphérique série (Serial Peripheral Interface, SPI) des capteurs d’empreintes digitales. Cette vulnérabilité permet une attaque de l’homme du milieu et l’accès aux images d’empreintes digitales. Les chercheurs ont testé leur vecteur sur dix modèles de smartphones populaires et ont pu mener un nombre illimité de tentatives d’authentification sur Android OS et HarmonyOS (Huawei). Dans le cas d’iOS, ils ont réussi à éliminer seulement dix tentatives supplémentaires.

Il est important de souligner que l’exécution de BrutePrint nécessite un accès physique à l’appareil ciblé. De plus, l’attaquant doit avoir accès à une base de données d’empreintes digitales, ce qui peut être obtenu pour un coût modeste d’environ 15 $.

Les résultats des tests ont révélé que tous les smartphones expérimentés étaient vulnérables à au moins l’un des bugs décrits. Les appareils Android permettaient un nombre illimité de tentatives de sélection d’empreintes digitales, tandis que les appareils Apple étaient légèrement plus fiables dans leur limitation des tentatives.

Cette découverte met en évidence la nécessité de renforcer la sécurité des données biométriques et des mécanismes d’authentification sur les smartphones Android. Les fabricants et les développeurs doivent prendre des mesures pour corriger ces vulnérabilités et améliorer la protection des empreintes digitales, qui sont de plus en plus utilisées comme moyen d’authentification. Les utilisateurs doivent également être conscients de ces risques potentiels et prendre des mesures pour protéger leurs données en utilisant des méthodes d’authentification supplémentaires, comme les codes PIN ou les mots de passe, en plus des empreintes digitales. (Arxviv)

GO.CAM, un outil pour améliorer votre cybersécurité

Un étonnant outil dédié au contrôle d’accès permet d’améliorer la sécurité en vérifiant l’âge des personnes !

Un site Interdit aux mineurs, comme les marques d’alcool, sont dans l’obligation de réclamer l’âge de leur visiteur afin de valider l’accès aux pages du site. C’est du déclaratif, autant dire qu’il suffit de modifier l’âge dans l’onglet dédié pour accéder aux contenus interdits. L’application Go Cam promet permettre un contrôle beaucoup plus « poussé » grâce à une intelligence artificielle qui doit être capable de définir l’âge du visiteur. Le système est simple. Vous vous placer devant votre webcam et cette dernière va permettre à Go Cam de définir votre âge « approximativement » et vous permettre d’accéder, ou non, au site bloqué par la restriction. « Si l’âge détecté est correcte, le visiteur pourra continuer à naviguer. Si, au contraire, l’âge détecté est trop proche de l’âge légal (18 ans en France, 21 dans certains états US), alors un deuxième moyen de vérification sera demandé. » indique les créateurs.

Ce second moyen sera de prendre une photo d’une pièce d’identité (Carte Nationale d’Identité, passeport ou permis de conduire) avec sa webcam ou l’appareil photo du téléphone.

Go CAM indique que la photo et la date de naissance, et seulement ces deux infos, seront exploitées. Rien n’est transmis, ni conservé ! Les données sont effacées. C’est la société Française GSI Developpement qui travaille sur cet axe cyber. A noter que la société la société X love cam vient d’intégrer cette solution pour garantir la majorité de ses utilisateurs.

Bref, si vous souhaitez tester Go.cam, la Solution Anonyme et Gratuite pour la Verification d’Age, on vous laisse découvrir l’idée.

Authentification biométrique : notre identité en ligne de mire des attaquants

Alors que la CNIL a publié, le 28 mars 2019, « un règlement type qui précise les obligations des organismes souhaitant se doter de dispositifs biométriques à des fins de contrôle d’accès aux locaux, aux applications et aux outils de travail », à destination des employeurs, les organisations doivent poursuivre leur transformation digitale tout en gardant le cap sur la protection des données sensibles, dont les données biométriques font partie.

Pour David Higgins, Director of Customer Development EMEA, chez CyberArk, l’engouement pour l’authentification biométrique et son rôle dans la cybersécurité ne cesse de croître, et divise de plus en plus. Perçue par certains experts comme l’avenir de la sécurité numérique, la biométrie suscite cependant des craintes quant à la confidentialité. « Autrefois réservés aux films de science-fiction, les lecteurs biométriques d’empreintes digitales, de reconnaissance faciale, ou encore les scanneurs rétiniens, ont prouvé leur efficacité ces dernières années pour authentifier les consommateurs et permettre l’usage de leurs terminaux. Tant et si bien que de nombreuses entreprises ont souhaité explorer l’authentification biométrique comme un moyen de protéger leurs données sensibles. Or, il faut d’abord en comprendre les enjeux. »

Pour être utiles à des fins d’identification et de contrôle d’accès, les marqueurs biométriques doivent être totalement individuels, permanents et enregistrables. Les exemples de données biométriques incluent des caractéristiques propres à chaque individu comme la structure faciale d’une personne, l’iris de l’œil, les empreintes digitales, le timbre de la voix, ou encore la géométrie d’une main. Ces caractéristiques uniques sont collectées et stockées dans une base de données, offrant un moyen sécurisé aux utilisateurs pour se connecter à plusieurs périphériques, ou systèmes, sans avoir à utiliser et à mémoriser de nombreux mots de passe.

Or, l’authentification biométrique préoccupe beaucoup du point de vue de la sécurité et de la protection de la vie privée, notamment parce que leur caractère permanent tend à vulnérabiliser les systèmes. En effet, partant du principe qu’il n’est pas possible de modifier son visage, la structure des veines de ses mains ou ses empreintes digitales, comme on modifie un mot de passe traditionnel, si une personne vole, utilise ou duplique l’identité biométrique d’un individu, ce dernier ne peut rien y faire – ses comptes et appareils resteront vulnérables ad vitam aeternam. Par ailleurs, le fait que l’authentification biométrique soit permanente pourrait facilement conduire certaines personnes et/ou organisations à devenir trop confiantes dans la technologie et à abandonner d’autres bonnes pratiques de sécurité, telles que les stratégies de mot de passe fort ou l’authentification multifactorielle (MFA). Cette relâche de la sécurité n’a pas échappé aux pirates qui ont ainsi lancé une vague d’attaques contre ces nouveaux marqueurs biométriques allant des micropuces aux services génétiques, en passant par les bases de données biométriques.

Les technologies d’authentification biométrique ne sont pas encore totalement infaillibles. Bien que l’avenir des mots de passe traditionnels ne semble pas prometteur, il reste encore beaucoup à faire en cybersécurité, et au niveau de la réglementation de la confidentialité, pour permettre aux organisations d’adopter cette approche d’authentification facilement et en toute confiance.

Bref, comme sur Internet, notre vie privée est malmenée. Sur le web, le VPN devient un outil INDISPENSABLE. Voici d’ailleurs une possibilité avec un classement des meilleurs VPN. Prudence, cependant, aux VPN gratuits. Certains peuvent être plus dangereux qu’autre chose comme expliqué ici.

DeepMasterPrints : Des chercheurs réussissent à hacker des systémes biométriques

DeepMasterPrints : Des chercheurs de la New York University et de l’Université du Michigan ont trouvé le moyen de piéger des systèmes biométriques à partir de 6 000 empreintes digitales existantes.

DeepMasterPrints, le doigt dans l’œil de la biométrie. Des chercheurs (New York University et Université du Michigan) trouvent le moyen de piéger des systèmes biométriques. Comment ? à partir de 6 000 empreintes digitales existantes. Les étudiants ont créé à partir de ces 6 000 vraies empreintes, des empreintes digitales artificielles. Elles ont pu tromper les systèmes de sécurité proposés dans les ordiphones (smartphones). Une attaque baptisée « DeepMasterPrints ».

L’étude explique que les empreintes digitales inventées pour l’occasion font illusion une fois sur cinq. Leur « passe-partout » est capable d’usurper plusieurs personnes à la fois, alors que la biométrie est sensée être unique pour chaque individu. La société Counterpoint Research explique que 50% des smartphones vendus 2017 étaient équipés d’un systéme biométrique. 7 téléphones sur 10 seront « biométrie » d’ici la fin d’année 2018. Soit plus d’un milliard de téléphones portables intelligents.

La société expliquait l’année dernière que la fiabilité du capteur d’empreintes digitales était un problème majeur. « la plupart des capteurs d’empreintes digitales capacitifs sont faillibles.« . Cependant, avec les derniers capteurs d’empreintes digitales, avec une détection directe des doigts ou utilisant la technologie de détection par empreinte digitale à ultrasons pour créer une image 3D des empreintes digitales sont potentiellement plus efficace.

DeepMasterPrints

Pour fonctionner, les DeepMasterPrints tirent parti de deux propriétés des systèmes d’authentification par empreintes digitales. La première est que, pour des raisons ergonomiques, la plupart des lecteurs d’empreintes digitales ne lisent pas l’ensemble du doigt en même temps, mais plutôt la numérisation de la partie du doigt qui touche le scanner.

La seconde est que certaines caractéristiques des empreintes digitales sont plus courantes que d’autres. Cela signifie qu’une fausse empreinte contenant de nombreuses caractéristiques très communes est plus susceptible de correspondre à d’autres empreintes digitales que le pur hasard ne le laisserait penser.

La biométrie dans le transport aérien : vers une nouvelle expérience passager

L’arrivée de la biométrie est en train de transformer radicalement l’« expérience passager » dans les aéroports. Cette nouvelle technologie, alliée aux nouvelles solutions en libre-service, devient le moyen de répondre aux défis sécuritaires actuels, à la recherche de la qualité de service et au phénomène de croissance soutenue du nombre de voyageurs aériens.

Ces deux dernières décennies, de profonds bouleversements politiques et économiques ont changé les pratiques du voyage aérien. Planifiés de longue date, les accords de Schengen (1995), puis l’élargissement de l’Europe (mai 2004) pour une meilleure fluidité au sein de l’Union, doivent aujourd’hui prendre en compte un contexte sécuritaire de plus en plus exigeant. Les attentats de New York de 2001 par exemple, ont été le prélude à une longue série de malveillances qui ont nécessité des contrôles passagers renforcés. Mais les directives initiées par un certain nombre de pays sur les données de voyages (Advance Passenger Information ou API, et d’un autre côté les données des dossiers passagers ou en anglais PNR) ne seront efficaces que si l’on sait identifier les personnes suspectes dans les aéroports.

Sur un autre plan, le transport aérien s’impose comme un acteur clé de l’économie. Déplacements professionnels et tourisme constituent une source de richesse et de création d’emplois. Aussi les acteurs du secteur aérien (aéroports, compagnies aériennes, autorités nationales et internationales, industriels de la sécurité) se trouvent-ils confrontés à plusieurs exigences : assurer la fluidité de voyageurs « fiables », limiter le temps d’attente et les retards des passagers, renforcer les contrôles de façon à parer à d’éventuelles menaces et maîtriser les coûts.

Pourquoi la biométrie est-elle intimement liée à l’identité des personnes ?
Les statistiques sont sans appel : il y aura près de 4 milliards de passagers aériens en 2017 et plus du double dans les vingt années à venir .

A l’image des banquiers à qui la réglementation demande de mieux connaître ses clients (KYC – Know Your Customer), les prestataires aéroportuaires découvrent aujourd’hui le formidable potentiel de la biométrie, qui dépasse largement les applications strictement sécuritaires. Laissons de côté les préoccupations – très légitimes – de fraude à l’identité et de terrorisme, et intéressons-nous au voyageur, un sujet central dans ce monde des objets connectés, sujet en vogue aujourd’hui.

IATA, l’association internationale des compagnies aériennes, soucieuse de rendre au voyage ses lettres de noblesse – confort, agrément et plus – se fait le porte-parole du client, le passager dont elle revendique une expérience positive. L’association est à l’origine de ce concept novateur d’« identité unique » permettant de s’authentifier, non plus pour un voyage particulier, mais, une fois pour toute, pour l’ensemble des déplacements. La biométrie devient dans ce cas de figure, le garant de l’identité grâce à une carte pouvant être utilisé dans tous les aéroports.
Les Australiens par exemple, ont même récemment dépassé la proposition IATA en dématérialisant les passeports pour les stocker dans le cloud de façon à faciliter les voyages avec leurs voisins de Nouvelle Zélande.

Le voyage de demain : le libre-service de bout en bout grâce à la biométrie
Face à un trafic aérien toujours plus dense, les aéroports et compagnies aériennes ont déjà très largement opté au cours des 15 dernières années pour le déploiement de dispositifs automatiques avec comme objectif le désengorgement des flux des passagers – très problématiques durant les heures de pointe – en simplifiant l’enregistrement.

Ces dispositifs, notamment les bornes d’enregistrement automatiques ou dépose bagages automatisés, ont révolutionné le processus d’enregistrement, permettant aux voyageurs pressés de procéder eux-mêmes à leur enregistrement et réduisant par la même occasion le temps d’attente aux traditionnels guichets de 30% .
Des études montrent que le taux de satisfaction des passagers est d’ailleurs autant plus élevé que l’utilisation de la technologie est accessible et permet d’améliorer le parcours au sein de l’aéroport.

L’identification biométrique consiste à se présenter, comme dans le monde réel, physiquement ou à partir d’un document portant une mention d’état civil. Le destinataire peut stocker cette information par une prise de vue ou la stocker dans une base de données, si la législation le permet. En comparaison à l’authentification, qui demande à une personne de prouver qu’elle est bien celle qu’elle prétend (avec le code PIN par exemple, pour retirer de l’argent), la biométrie constitue un moyen imparable pour confirmer la ressemblance entre le postulant et une référence stockée en local ou à distance.

Le stockage local, désigné en anglais par l’acronyme de MOC, Match On Card – consiste à détenir son empreinte biométrique dans un document (une carte ou un badge par exemple) présenté et lu à la manière de la technologie sans contact (NFC) utilisée pour les paiements par carte de crédit. Grâce à ce type d’identification, chacun porte en lui son habilitation ; les temps de réponse sont réduits au minimum, vu que le postulant est confronté à sa propre biométrie. Il s’agit de la procédure mise en œuvre par les sas biométriques de contrôle de frontières, les célèbres eGates PARAFE, le voyageur est authentifié par rapport à son passeport. En cas de perte ou de vol du précieux document – badge, passeport, carte – l’impétrant ne pourra plus s’authentifier.

Le parcours biométrique : qu’en attendre ?
Toutes ces initiatives vont aujourd’hui dans le sens d’une automatisation des procédures de contrôle. En effet, le voyageur actuel, passe beaucoup de temps à surfer sur le web pour vérifier un cours de bourse, consulter ses mails ou encore la météo. Réserver son voyage, s’enregistrer, et embarquer, tout en souriant à l’application biométrique de son téléphone, intervient comme une suite logique aux nouvelles habitudes de vie initiées par les nouvelles technologies.

Avec 1000 millions de passeports électroniques aujourd’hui en service dans le monde, soit 1 milliard de portraits normalisés accessibles par les systèmes de reconnaissance faciale, les eGates, citées plus haut, constituent la solution biométrique la plus prometteuse et déjà mise en place dans un nombre grandissant d’aéroports. Les récentes études ont confirmé des pourcentages de l’ordre de 80% de gain de temps sur le parcours grâce à des procédures automatisées .

A terme, ces innovations permettront d’augmenter l’efficacité, limiter le temps d’attente des voyageurs et permettre au personnel des aéroports et des compagnies aériennes de se concentrer sur d’autres tâches comme le bon fonctionnement du service et de la sécurité ou encore à venir en aide aux passagers novices. (Par Nora Blomefield, Responsable Marketing chez Gemalto pour les solutions de biométrie pour l’authentification des passagers et l’automatisation des services dans les aéroports)

Source : IATA (The International Air Transport Association)
2 Source : http://www.airportimprovement.com/article/automated-self-serve-bag-drop-saves-travelers-time-increases-airline-efficiency-halifax-int-l
3 Source : The Airport IT Trends Survey – 2016 report from SITA

SoundProof, la biométrie par le bruit

Une entreprise Suisse propose SoundProof, une nouvelle forme de contrôle biométrique. Le bruit ambiant permet de valider une connexion !

La biométrie, c’est permettre l’accès à un espace, un ordinateur, un système en utilisant une partie de son corps : iris, empreinte digitale, veines, visage, … Une entreprise Suisse basée à Zurich, Futurae, annonce avoir rajouté une couche de sécurisation à la biométrie. Baptisé SoundProof, la méthode de sécurité utilise les micros de votre ordinateur, console, smartphone, tablette, montre connectée pour enregistrer le bruit vous entourant et comparer avec les sons contenues dans sa base de données. SoundProof compare et valide ou non l’accès. Une double authentification par le bruit. A note que si le silence est complet, le matériel contrôlé va émettre son propre son, différents à chaque connexion, qui sera reconnu par SoundProof. (LT)