La société française ShareID annonce avoir obtenu une certification de conformité de niveau élevé pour la résistance de son service d’enrôlement aux attaques de présentation et d’injection. Ces deux techniques figurent parmi les principales menaces contre la vérification d’identité à distance, notamment avec la diffusion des outils de deepfake.
La certification a été délivrée le 19 août 2026 par CLR Cert pour le ShareID Onboarding Service. Elle couvre trois référentiels : ISO/IEC 30107-3, ISO/IEC 19989-3 et CEN/TS 18099.
PAD et IAD : deux familles d’attaques différentes
Une attaque de présentation, ou PAD, cherche à tromper le capteur avec un élément placé devant la caméra : photographie, vidéo sur écran, masque ou reproduction en silicone. Le système voit bien un flux provenant de la caméra, mais celui-ci ne correspond pas à une personne réellement présente.
L’attaque par injection, dite IAD, contourne le capteur. L’assaillant tente d’introduire directement dans l’application un flux préenregistré, synthétique ou modifié. Les deepfakes renforcent ce risque en permettant de fabriquer des visages animés et des séquences cohérentes en temps réel.
- PAD : manipulation physique présentée devant le capteur ;
- IAD : substitution numérique du flux avant son analyse ;
- deepfake : contenu synthétique pouvant alimenter une attaque d’injection ;
- liveness : contrôles visant à confirmer la présence d’une personne réelle.
Une évaluation indépendante au niveau élevé
Selon l’annonce, CLR Labs a conduit l’évaluation. Cet organisme est présenté comme accrédité par le COFRAC et reconnu comme centre d’évaluation par l’ANSSI dans le cadre du dispositif PVID. Il a également participé à l’élaboration de la spécification européenne CEN/TS 18099 consacrée à la détection des attaques par injection.
L’intérêt d’une évaluation tierce est de dépasser la simple déclaration d’un fournisseur. Les scénarios, niveaux d’effort et résultats sont examinés selon des critères définis. Une certification ne garantit pas l’absence absolue de fraude, mais elle apporte un niveau de preuve plus solide sur la résistance testée.
Pourquoi les attaques par injection deviennent prioritaires
Les contrôles biométriques ont longtemps été pensés principalement contre les photos imprimées, écrans et masques. Or, les parcours d’identité sont désormais intégrés à des applications mobiles, des navigateurs et des API. Un attaquant peut chercher à manipuler la chaîne logicielle avant même que l’image n’atteigne le moteur biométrique.
La généralisation de la vidéo synthétique oblige donc les prestataires à surveiller simultanément la présence réelle, l’intégrité du flux, l’environnement d’exécution et la cohérence entre le document d’identité et la biométrie capturée.
Un enjeu de conformité pour les services numériques
ShareID présente cette certification comme une base exploitable par les organisations visant la conformité ETSI TS 119 461. La solution est aussi conçue pour les évolutions européennes liées à eIDAS 2.0 et au portefeuille d’identité numérique européen.
Les banques, assurances, télécommunications, services publics et plateformes réglementées doivent pouvoir démontrer que leurs parcours d’entrée en relation résistent à des fraudes réalistes. Le choix d’une solution certifiée peut contribuer à cette démonstration, mais ne remplace ni l’analyse de risque ni les contrôles complémentaires.
- vérifier précisément le périmètre couvert par le certificat ;
- contrôler la version du service effectivement déployée ;
- combiner biométrie, validation documentaire et signaux de fraude ;
- prévoir une revue humaine pour les cas à risque ;
- surveiller les taux de faux rejet et de fausse acceptation ;
- réévaluer régulièrement la résistance face aux nouvelles générations de deepfakes.
La certification n’est qu’une couche de défense
Même un moteur biométrique robuste peut être fragilisé par une mauvaise intégration, un terminal compromis, une récupération de compte insuffisamment protégée ou une fraude documentaire en amont. La sécurité doit couvrir toute la chaîne d’identité, de l’enrôlement à l’authentification forte.
L’annonce de ShareID confirme néanmoins une tendance structurante : la lutte contre les deepfakes quitte progressivement le terrain des promesses marketing pour entrer dans celui des standards, des laboratoires d’évaluation et des preuves de conformité indépendantes.
