Les vols d'identité liés aux utilisateurs de Revolut relancent le débat sur le KYC. Les preuves sans connaissance permettraient de vérifier l’identité sans stocker de documents, mais la réglementation et l’inertie ralentissent leur adoption.
Faites de nous votre source préférée sur
gsoitsoitgjeet
De récents cas d'usurpation d'identité liés aux utilisateurs de Revolut ont une fois de plus mis en lumière un problème structurel du système financier : la manière dont les entreprises et les banques collectent et stockent les documents personnels pour se conformer aux processus de connaissance du client (KYC). Chaque fois que quelqu'un ouvre un compte et télécharge son passeport ou sa licence, ces données sont stockées sur des serveurs qui deviennent une cible attrayante pour les attaquants.
Le débat n’est pas mineur. Une technologie de vérification sans connaissance permettrait aux entreprises de vérifier qui est une personne sans conserver ses documents d’identité. La question que beaucoup se posent est de savoir pourquoi vérification d'identité plus sûr n’est pas encore devenu une pratique courante.
Pourquoi le KYC traditionnel est un risque
Le dispositif actuel oblige les plateformes réglementées à collecter des informations sensibles : nom complet, adresse, date de naissance et copies des documents officiels. Toutes ces informations sont stockées, souvent pendant des années, pour satisfaire aux exigences réglementaires et anti-blanchiment d'argent.
Le problème est que chaque base de données contenant des documents numérisés est une cible. Les fuites massives sont devenues monnaie courante. Aux États-Unis, le FBI a enquêté sur la divulgation de millions de permis de conduire, et des rapports indépendants sur les violations de données montrent que les chiffres augmentent d'année en année, selon le rapport de mi-année du Privacy Rights Clearinghouse sur les fuites.
Lorsque ces données tombent entre de mauvaises mains, les dégâts sont difficiles à réparer : une carte bancaire est annulée et remplacée en quelques minutes, mais une pièce d'identité divulguée accompagne la victime pendant des années et permet des fraudes en chaîne.
Comment fonctionne la vérification d'identité sans connaissance
Une preuve à connaissance nulle est une méthode cryptographique qui permet de prouver qu'une affirmation est vraie sans révéler les informations qui la soutiennent. Appliqué au KYC, cela signifie qu'une personne peut prouver qu'elle est majeure, qu'elle réside dans un certain pays ou qu'elle a réussi une vérification officielle, sans livrer ni stocker le document lui-même.
La plateforme reçoit une confirmation valide – un oui ou un non garanti cryptographiquement – au lieu d’une copie du passeport. Ainsi, même si un attaquant compromettait les serveurs, il ne trouverait pas de documents à voler, car ils n'y étaient jamais. C'est le même principe qui sous-tend une grande partie de l'innovation en matière de confidentialité dans le secteur, depuis les protocoles de réseau axés sur la confidentialité comme Zcash jusqu'aux solutions d'identité décentralisées.
La militante Lyudmyla Kozlovska a partagé son expérience de ce type de risque dans un message sur X, un exemple de la façon dont l'exposition des données personnelles affecte particulièrement les profils vulnérables.
Les freins : régulation, coûts et inertie
Si la technologie existe, qu’est-ce qui l’arrête ? Une grande partie de la réponse réside dans le cadre réglementaire. Les règles anti-blanchiment d’argent ont été conçues en pensant à la conservation des documents et non aux preuves cryptographiques, et de nombreux contrôleurs espèrent encore pouvoir auditer les fichiers d’identité de manière traditionnelle.
Les organisations internationales ont commencé à bouger. Le Groupe d'action financière (GAFI) envisage déjà l'utilisation de l'identité numérique dans ses lignes directrices, tandis que l'Union européenne va de l'avant avec son portefeuille d'identité numérique, qui comprend des mécanismes de vérification de l'âge avec une exposition minimale des données.
Aux obstacles réglementaires s’ajoutent les coûts d’intégration et l’inertie institutionnelle. Changer l’architecture de vérification d’identité implique de repenser les processus que les institutions financières exécutent de la même manière depuis des décennies. Pour beaucoup, il est plus confortable de prendre le risque d’une faille que de reconstruire leurs systèmes.
L’intérêt des banques pour l’infrastructure cryptographique pourrait toutefois accélérer le changement. Les institutions qui explorent aujourd’hui les services de garde institutionnels de cryptographie examinent également de près les outils de confidentialité offerts par la cryptographie avancée.
Ce que cela signifie pour les utilisateurs et les entreprises
Pour l'utilisateur moyen, la différence est tangible : moins de documents circulent, moins de chances que son identité finisse en vente sur des forums clandestins. Pour les entreprises, l’adoption de la vérification sans connaissance pourrait réduire leur exposition juridique et leur réputation à une violation.
Le secteur de la cryptographie, habitué à expérimenter la cryptographie frontière, apparaît comme un terrain naturel pour tester ces modèles avant le secteur bancaire traditionnel. L’adoption dépendra de la capacité des régulateurs, des fournisseurs de technologie et des plateformes à trouver un point de rencontre entre la conformité réglementaire et la protection des données.
Parallèlement, chaque nouveau cas d’usurpation d’identité renforce l’argument de ceux qui affirment que le stockage de montagnes de documents personnels est un modèle dépassé. La technologie permettant d’arrêter cela est désormais disponible ; La volonté – et les règles – pour l’utiliser à grande échelle font défaut.
Voir l’article original en espagnol
