Une nouvelle recherche menée par les journalistes en cybersécurité de 404 Media a découvert un nouvel outil nommé OnlyFakes qui génère de manière fiable de fausses pièces d’identité capables de contourner les contrôles des fournisseurs KYC avec une relative facilité.
Les faux documents peuvent être générés avec ou sans arrière-plan, ce qui suggère qu’il s’agit d’une photo qui vient d’être prise par un utilisateur soumis à un processus de vérification d’identité. Il semblerait que plusieurs centaines de faux documents puissent être produits simultanément à l’aide de lots Excel.
OnlyFakes prétend être contre les activités illégales
Selon le site Internet, ses services ne peuvent être utilisés que comme accessoires dans des films, etc., « interdisant expressément » l’utilisation de la plateforme afin de passer les contrôles KYC. Peu de temps après la publication de l’article dénonçant le site, le fondateur du site – qui se fait appeler John Wick – a « rappelé » cette stipulation à sa communauté.
Cependant, les commentaires publiés sur les groupes de télégrammes associés suggèrent que le propriétaire de la plateforme est bien conscient de son utilisation.
John Wick a également déclaré sur Telegram qu’il était prêt à acheter des scans de véritables pièces d’identité des utilisateurs pour 100 $ chacun afin d’améliorer la plate-forme, en donnant la priorité aux pièces d’identité américaines et européennes.
Le recours à des tiers soumettant leurs propres documents à des fins de KYC dure malheureusement depuis des années, embauchant des personnes dans les pays en développement pour seulement 10 dollars pour aider les fraudeurs à accéder aux plateformes de cryptographie.
Remarquablement robuste
Le nouvel outil, cependant, peut donner accès de manière fiable à une série de faux documents provenant de pays à faible risque. Les utilisateurs peuvent télécharger leurs propres photos ou choisir parmi une galerie fournie par le site. Des arrière-plans de stock sont également fournis. OnlyFakes supprime également les données EXIF – qui incluent l’heure, le lieu et l’appareil utilisé pour créer l’image – des photos originales et les remplace pour éviter toute détection.
Selon les utilisateurs du service, des plateformes comme Airbnb, Revolut, Wise et Payoneer ont toutes été convaincues de l’authenticité du document. Les échanges cryptographiques Huobi, Coinbase, Binance, Kraken et OKX auraient également été violés à l’aide de ces faux documents.
Voici le processus par lequel j’ai réussi à contourner la vérification d’identité sur OKX, un échange de crypto-monnaie que j’ai remarqué est utilisé par des criminels
– Demande le passeport
– J’ai pris une photo de mon faux passeport britannique que j’avais fait plus tôt (je n’en avais pas besoin en main)https://t.co/hCjHWbKJPf pic.twitter.com/69PvbincUP–Joseph Cox (@josephfcox) 5 février 2024
OKX, qui a récemment été la cible d’une escroquerie de boucherie de porcs qui aurait pu coûter près de 40 millions de dollars aux utilisateurs, emploie Jumio à des fins KYC.
Lorsqu’il a été contacté par M. Cox, Stuart Wells, CTO de Jumio, a déclaré que sa plateforme utilise une gamme d’outils pour fournir un excellent KYC.
« Notre processus avancé de vérification d’identité utilise des outils d’analyse de documents mobiles ou par webcam qui permettent aux équipes de sécurité de vérifier par recoupement avec des sources fiables et d’atténuer le nombre de faux profils et d’activités malveillantes. En fin de compte, ces mesures supplémentaires de vérification de l’identité protègent mieux les utilisateurs en dissuadant les tentatives de fraude dès la phase d’intégration de l’utilisateur.
Interrogé sur la récente violation, Wells a déclaré qu’il ne pouvait pas commenter les procédures d’OKX.
L’affirmation de l’IA peut être fausse
Selon la plateforme OnlyFakes, l’IA est utilisée pour produire les images. Cependant, cette affirmation est contestée par les experts en cybersécurité, car l’IA a actuellement tendance à gâcher le texte qui devrait être absolument net et sans ambiguïté sur les documents.
Les images produites sont également remarquablement claires de tout signe d’« hallucinations », des artefacts qui apparaissent lorsqu’une IA ne sait pas comment restituer un objet inconnu.
Binance Free 100 $ (Exclusif) : utilisez ce lien pour vous inscrire et recevoir 100 $ gratuits et 10 % de réduction sur les frais sur Binance Futures le premier mois (termes).
Voir l’article original en anglais
