Le vol massif de plus de 153 millions de permis de conduire américains et canadiens au début du mois devrait mettre en évidence une chose : l'endroit le plus sûr pour obtenir une copie de votre permis de conduire n'est nulle part.
Les pièces d'identité divulguées, qui semblent provenir d'un fournisseur de vérification d'identité, se sont retrouvées sur un service d'identité du dark web baptisé Nexus, aux côtés de millions d'autres documents d'identité et de voyage volés.
Le danger a été souligné cette semaine après que la fintech Revolut a révélé qu'elle avait été trompée par un pirate informatique en lui faisant remettre des tonnes de données sensibles sur ses clients, notamment des copies de passeports et des selfies de vérification. Le pirate informatique diffuse désormais au goutte-à-goutte les documents d'identification de 680 clients sur le Web pour tenter d'obtenir une rançon de 10 000 Bitcoins.
L'ironie est difficile à ignorer : les processus de connaissance de votre client (KYC) sont conçus pour rendre les systèmes financiers plus sûrs en établissant qui sont les clients et en s'assurant qu'ils ne commettent pas d'actes néfastes.
Mais la manière dont le KYC est généralement mis en œuvre oblige les entreprises à stocker de grandes quantités d’informations sensibles, ce qui crée de précieux pots de miel pour les criminels.
Et le problème devient de plus en plus difficile à ignorer. Au cours du seul premier semestre 2026, les violations de données aux États-Unis ont touché au moins 343 millions de personnes, selon le Privacy Rights Clearinghouse. Plus frustrant encore, il est déjà possible de vérifier l'identité d'un individu sans stocker ses documents d'identité en utilisant des preuves de connaissance nulle :
Efrat Fenigson, animateur du podcast You're The Voice, écrit et parle abondamment de la confidentialité et du KYC. Elle raconte à Magazine :
« Lorsque les régulateurs continuent d'imposer un modèle qui garantit ce résultat – alors que la technologie permettant de vérifier sans stocker existe déjà – cela déclenche un signal d'alarme. Cela implique qu'il y a un manque de pensée rationnelle et une réelle volonté de résoudre les problèmes. «
Alors, combien de fuites supplémentaires faudra-t-il avant que cette volonté commence à se plier ?
KYC a été conçu pour collecter votre identité, pas seulement pour la vérifier
Aujourd'hui, les systèmes KYC ont largement évolué autour de l'hypothèse selon laquelle les institutions devraient voir les passeports ou les permis de conduire des clients, enregistrer les informations pertinentes, puis stocker les preuves du contrôle.
343 millions de personnes ont déjà été touchées par des violations de données aux États-Unis en 2026. Source: Centre d'échange d'informations sur les droits à la vie privée.
Mais cette approche présente un problème évident : elle a créé un vaste écosystème de fournisseurs d'identité, de bases de données, de fournisseurs et de systèmes de conformité qui stockent tous des trésors distincts de vos données KYC individuelles. Chaque copie supplémentaire de vos données crée un autre point de défaillance potentiel – et les pirates informatiques sont de plus en plus créatifs pour trouver des moyens d'y accéder.
Dans l’affaire Revolut, le pirate informatique a envoyé des e-mails demandant les données KYC à partir d’une adresse légitime des forces de l’ordre italiennes. Lyudmyla Kozlovska, présidente d'Open Dialogue, a déclaré sur X que les lois de l'UE signifiaient que Revolut n'avait d'autre choix que de s'y conformer.
« La loi anti-blanchiment de l'UE n'impose aucune obligation de vérification à la banque et ne prévoit aucun mécanisme significatif pour vérifier qui est réellement à l'origine d'une demande authentifiée de l'État. Le refus de répondre entraîne des amendes de plusieurs millions. Dans la pratique, la vérification est impossible. »
En rapport: 200 000 fausses « victimes » de l'IA déployées pour attirer les fraudeurs en ligne
Susie Violet Ward, directrice et co-fondatrice de Bitcoin Policy UK, prévient que le véritable problème réside dans le stockage inutile des données d'identification :
« Nous devons arrêter de considérer la vérification d’identité et la divulgation de votre identité comme si c’était la même chose. »
Si une entreprise a seulement besoin de savoir qu'une personne a plus de 18 ans, elle affirme qu'elle ne devrait pas automatiquement avoir besoin de détails supplémentaires tels que votre nom complet, votre adresse, votre date de naissance exacte et une copie permanente des pièces d'identité pertinentes :
« L'ironie est que KYC est conçu pour rendre les systèmes plus sûrs, mais la façon dont nous le mettons actuellement en œuvre peut créer un problème de sécurité totalement différent. Vous pouvez réinitialiser un mot de passe après une violation, mais vous ne pouvez pas réinitialiser votre identité de la même manière. «
La technologie permettant d’arrêter la thésaurisation des pièces d’identité existe déjà
Pour les partisans de la cryptographie, la solution évidente consiste à utiliser des preuves de connaissances nulles. C'est une preuve mathématique qui démontre que quelque chose est vrai sans en révéler les détails. Par exemple, vous pouvez utiliser une application téléphonique pour générer une preuve confirmant que votre permis de conduire indique que vous avez plus de 18 ans, sans envoyer votre date de naissance ni une photo du permis lui-même.
Zooko Wilcox, fondateur de Zcash, fournit une explication utile de la technologie ZK dans cette vidéo.
Une explication utile de la technologie ZK. Source : Crypto Fireside
Evin McMullen, directeur général et co-fondateur de Billions Network, qui développe des solutions d'identité numérique et ZK préservant la confidentialité, a déclaré à Magazine :
« La technologie fonctionne et est en production aujourd'hui, dans des milliers d'applications et d'institutions réglementées. Ce qui la freine, c'est que l'ensemble de la pile de conformité a été construite autour de la collecte et du stockage de copies de documents. »
McMullen affirme que l’obstacle n’a « jamais été la technologie », mais les règles, les incitations et l’infrastructure construites autour d’elle :
« Il s’agit d’un problème de gouvernance et de normes qui revêt un costume technologique. »
Si la technologie fonctionne, qu’est-ce qui l’arrête ?
L'Union européenne intègre déjà la technologie ZK dans la conception de ses systèmes de vérification de l'identité numérique et de l'âge, en développant une vérification de l'âge préservant la confidentialité qui permet aux utilisateurs de prouver leur âge sans révéler leur identité complète ou leur date de naissance exacte.
En rapport: Les craintes d’une épidémie de piratage DeFi basée sur l’IA sont exagérées pour le moment – mais pas pour longtemps
Son portefeuille d'identité numérique prend également en charge la « divulgation sélective », de sorte que les utilisateurs ne révèlent que les informations nécessaires à une transaction particulière.
Alors pourquoi cela n’est-il pas déployé plus largement pour le KYC financier ?
Selon McMullen, « la réglementation et la compréhension » sont les plus grands obstacles à l’adoption :
« Le blocage le plus courant est que les équipes de conformité confondent « nous avons vu la pièce d'identité » avec « nous devons conserver la pièce d'identité », de sorte qu'elles collectent trop d'informations pour des raisons de sécurité.
Elle affirme que l’interopérabilité est un autre problème, car les preuves cryptographiques ne sont utiles que « si la partie qui s’en sert peut les vérifier sans rappeler celui qui les a émises ». Cela nécessite de mettre en place des normes communes, ce qui est plus facile à dire qu’à faire.
ZK ne résout pas le KYC comme par magie
Il existe une autre mise en garde importante : le remplacement d'un document d'identité par une preuve sans connaissance n'élimine pas automatiquement tous les problèmes de confidentialité ou de sécurité.
Fenigson souligne que ce à quoi un titre ZK reste lié est tout aussi important :
« Les incitations visent le contrôle, pas la confidentialité. Les preuves sans connaissance permettent à quelqu'un de prouver un fait, comme avoir plus de 18 ans ou ne pas figurer sur une liste de sanctions. […] Ce qui manque, c'est à quoi cette preuve est liée. À l'heure actuelle, il est généralement lié à un compte dans la base de données de quelqu'un d'autre.
Le portefeuille d'identité numérique de l'UE prend en charge la divulgation sélective. Source : Commission européenne
Il s’agit donc de savoir qui contrôle en fin de compte les informations d’identification. Si une personne génère une preuve préservant la confidentialité mais que cette preuve est liée à un compte dans la base de données de quelqu'un d'autre, elle dépend toujours d'un intermédiaire centralisé.
Les règles ne sont pas aussi claires qu’on pourrait le penser
Dans de nombreux cas, les règles n’exigent pas réellement le stockage des données d’identification – il s’agit plutôt d’une convention, car c’est ainsi que cela a toujours été fait.
Les orientations du Groupe d'action financière (GAFI) examinent explicitement la manière dont les systèmes d'identification numérique peuvent être utilisés pour effectuer un contrôle préalable des clients, plutôt que d'exiger des institutions qu'elles s'appuient sur des documents d'identité physique.
Les recommandations du GAFI fonctionnent également comme un cadre basé sur les risques, laissant à chaque pays le soin de mettre en œuvre les normes par le biais de ses propres systèmes juridiques et réglementaires.
« Dans de nombreux régimes, la règle est que vous devez vérifier l'identité et conserver les enregistrements de cette vérification, et non que vous devez conserver l'image brute du document pour toujours », explique McMullen.
Cela signifie qu’une attestation cryptographiquement vérifiable avec un enregistrement montrant que le contrôle pertinent a été effectué pourrait suffire pour se conformer sans créer une autre copie permanente de la pièce d’identité.
Mais comme les directives sont « ambiguës », McMullen affirme que les institutions conservent tout par défaut parce que leurs équipes de conformité savent que les auditeurs et les examinateurs les accepteront.
En d’autres termes, même si les règles autorisent techniquement une approche différente, personne n’est prêt à être le premier à prendre le risque, comme l’explique Ward :
« Il y a un instinct dans la réglementation selon lequel plus d'informations signifie plus de contrôle et donc plus de sécurité. »
Il est difficile de voir cela changer à moins que les règles ne soient modifiées pour autoriser explicitement les preuves de connaissance nulle. Et même si aucun système n'est parfait, au moins la technologie ZK évite d'avoir à collecter et à conserver autant d'informations sensibles. Comme le dit McMullen :
« Vous ne pouvez pas perdre ce que vous n'avez jamais détenu. »
Revue: 10 des plus grands mystères cryptographiques non résolus
Cointelegraph publie du journalisme de longue durée, des analyses et des reportages narratifs produits par l'équipe éditoriale interne de Cointelegraph possédant une expertise en la matière. Tous les articles sont édités et révisés par les éditeurs de Cointelegraph conformément à nos normes éditoriales. Certains articles contiennent des liens d’affiliation, à partir desquels Cointelegraph peut percevoir une commission. Ces relations n'influencent pas les produits que nous examinons ou nos conclusions éditoriales. Le contenu publié ici ne constitue pas un conseil financier, juridique ou d’investissement. Les lecteurs doivent effectuer leurs propres recherches et consulter des professionnels qualifiés, le cas échéant. Cointelegraph conserve une totale indépendance éditoriale.
Voir l’article original en anglais
