Les points clés à retenir sur la nouvelle fonctionnalité de selfie vidéo de Google

• La fonctionnalité de connexion par vidéo « selfie » de Google aide les utilisateurs à récupérer leurs comptes.
• Vous devez savoir comment vos données biométriques sont stockées et utilisées.
• Google affirme que les données biométriques téléchargées ne sont jamais partagées.

Google lance une nouvelle méthode pour récupérer votre compte, et tout ce dont vous avez besoin, c'est de votre visage.

Les utilisateurs peuvent mettre en ligne une vidéo de selfie pour retrouver l'accès à leur compte s'ils en ont été bloqués ou s'ils ne disposent pas de leur appareil habituel, a annoncé jeudi l'entreprise.

Téléverser une vidéo de selfie pour remédier à une situation extrêmement stressante semble assez simple, et dans un article de blog, Google a promis que les selfies des utilisateurs sont « chiffrés au repos, ce qui signifie qu’ils sont stockés en toute sécurité même lorsqu’ils ne sont pas utilisés ».

Néanmoins, alors que nous fournissons de plus en plus de données biométriques permanentes aux entreprises technologiques, j’ai demandé à des experts en sécurité ce que les utilisateurs devaient savoir et prendre en compte avant de leur fournir des scans de leur visage.

Les experts s’accordent à dire que le téléchargement d’une vidéo en direct de son visage est généralement plus utile pour la vérification d’identité que des photos fixes, car le mouvement, la profondeur, les changements d’éclairage et les micro-expressions permettent de confirmer qu’il s’agit bien d’un être humain.

Cependant, certains experts craignent que les systèmes de vérification vidéo ne puissent être trompés par des deepfakes. Les pirates informatiques peuvent utiliser l’IA générative pour modifier des photos de visages et des documents officiels, leur donnant ainsi un aspect réaliste.

Les deepfakes constituent une réelle préoccupation, et les technologies utilisées pour les créer sont plus avancées que beaucoup ne le pensent. Ricardo Amper, fondateur et PDG d’Incode Technologies, une entreprise spécialisée dans la vérification d’identité et la prévention de la fraude, a déclaré que, bien qu’une vidéo soit plus utile qu’une photo pour la vérification, le mouvement à lui seul ne constitue pas une preuve de vie.

M. Amper a expliqué que les pirates peuvent créer des visages générés par l’IA capables de cligner des yeux, de tourner la tête et de répondre à des invites par des mouvements, et que la capacité humaine à distinguer une personne réelle d’un deepfake est en déclin.

« Les attaques les plus sophistiquées ne cherchent même pas à tromper la caméra », a-t-il déclaré. « Elles la contournent complètement, en injectant directement des vidéos synthétiques dans le flux de données via des caméras virtuelles et des appareils trafiqués ou émulés. »

Chris Boehm, directeur technique sur le terrain chez Zero Networks, un fournisseur de cybersécurité, a rappelé l’énorme escroquerie au deepfake qui a dépouillé le cabinet britannique de design et d’architecture Arup de 25 millions de dollars en 2024.

Un employé du service financier de l’entreprise a été piégé et amené à participer à une visioconférence avec des rendus deepfake de ses collègues, et a été convaincu d’effectuer plusieurs virements bancaires. Bien que l’employé se soit méfié des e-mails précédant la réunion, ses doutes ont été dissipés par le réalisme des deepfakes.

Votre compte Google n’a peut-être pas une valeur aussi élevée, mais il est possible que des malfaiteurs utilisent des technologies de pointe pour accéder à vos informations et à celles de milliers d’autres personnes.

« Les deepfakes ont dépassé le stade de la nouveauté », a déclaré M. Boehm. « Ils constituent désormais un outil de fraude ayant fait ses preuves. »

Les deepfakes constituant une menace si sérieuse pour les méthodes de vérification par vidéo, les experts s’accordent à dire que plusieurs outils de vérification sont nécessaires pour en atténuer l’impact. M. Amper a expliqué que ces outils de défense sophistiqués ne se contentent pas d’analyser les pixels d’une image pour déterminer son authenticité, mais qu’ils analysent également les détails les plus fins d’un appareil.

Google n’a pas précisé exactement comment ni quelles technologies il utilise pour faire la distinction entre les personnes réelles cherchant à récupérer leurs comptes et les acteurs malveillants utilisant des deepfakes, car cela poserait un problème de sécurité.

Toutefois, dans un article de blog, Google a indiqué qu’il recourait à ses pratiques de sécurité standard, associées à la détection des deepfakes, pour signaler les activités suspectes, notamment la localisation de l’appareil, l’heure de la tentative de connexion, les paramètres du navigateur et l’adresse IP.

« Les modèles les plus sophistiqués d’aujourd’hui peuvent déterminer à partir d’une seule image si un visage est réel, car ils ne se contentent pas d’analyser les pixels : ils analysent l’appareil lui-même — les données de l’accéléromètre et des capteurs, l’intégrité de la caméra, ainsi que des dizaines d’autres signaux qui confirment qu’il s’agit d’une véritable capture par la caméra selfie et non d’un élément injecté dans le flux », a déclaré M. Amper.

Chris Bevil, directeur de la cyber-résilience et de l’IA chez Commvault, une entreprise spécialisée dans la protection des données, partage ce point de vue. M. Bevil a déclaré que la vérification par vidéo constituait un excellent point de départ, mais qu’il existait d’autres méthodes de confirmation, au-delà de l’analyse des mouvements, pour vérifier l’authenticité, car les pirates peuvent injecter des vidéos synthétiques et tromper des systèmes de défense rudimentaires.

« Une vidéo fournit des signaux de présence et de comportement qu’une photo statique ne peut pas fournir », a-t-il déclaré. « La clé réside dans la combinaison de ces éléments avec la reconnaissance de l’appareil, la localisation, l’analyse comportementale et une vérification supplémentaire lorsque quelque chose ne correspond pas. »

Dans un article de blog, Google explique que l’entreprise utilise plusieurs méthodes de sécurité pour lutter contre les deepfakes et les tentatives d’usurpation d’identité, par exemple en comparant la vidéo de selfie que vous avez mise en ligne avec une autre photo et en vous demandant d’effectuer des mouvements en temps réel afin de vérifier l’authenticité de la vidéo.

Selon Tony Anscombe, évangéliste en chef de la sécurité chez ESET, un fournisseur de solutions de cybersécurité, il est impératif que les entreprises utilisent plusieurs méthodes d’authentification pour dissuader les pirates, dont les tactiques évoluent rapidement.

« La question est de savoir si une seule méthode d’authentification est utilisée pour vérifier l’identité, plutôt que plusieurs méthodes combinées qui réduiraient considérablement le risque global de fraude », a-t-il déclaré. « L’utilisation de plusieurs méthodes, voire leur sélection aléatoire, désavantagerait considérablement l’attaquant. »

Ces mêmes experts ont averti que les utilisateurs ne devaient pas communiquer leurs données biométriques à la légère au nom de la commodité numérique. Car contrairement à un mot de passe, votre visage, votre iris ou votre empreinte digitale ne peuvent pas être modifiés s’ils sont concernés par une fuite de données.

Pour garantir leur sécurité, les utilisateurs doivent savoir comment leurs données biométriques sont stockées, utilisées, protégées et supprimées. La politique de confidentialité de Google précise que si les utilisateurs choisissent de partager leurs données biométriques, Google peut les utiliser dans le cadre d’études de développement de produits.

L'article de blog de Google consacré aux vidéos de selfies précise que les vidéos de selfies des utilisateurs sont enregistrées et stockées en toute sécurité, qu’elles peuvent être supprimées à tout moment, et que les utilisateurs peuvent refuser de les partager avec Google à des « fins supplémentaires ».

Google a confirmé à ZDNET que les vidéos de selfies des utilisateurs sont stockées en toute sécurité sur le serveur, et que si les utilisateurs choisissent de partager leurs vidéos de selfies à des « fins supplémentaires » de Google, l’une de ces fins pourrait être l’amélioration des méthodes de vérification de l’entreprise.

Les experts que j’ai consulté s’accordent à dire que la biométrie intégrée à l’appareil, telle que la reconnaissance d’empreintes digitales ou faciale, constitue une option plus sûre pour un usage quotidien, puisque les données restent sur l’appareil plutôt que d’être transmises à des fins de vérification à distance.

Cependant, l’option de vidéo de selfie proposée par Google semble être un dernier recours, spécialement conçu pour les personnes qui se retrouvent bloquées hors de leur compte et qui sont loin de leurs appareils habituels.

Si vous êtes particulièrement réticent à l’idée de partager davantage de données biométriques avec Google de cette manière, l’option contacts de récupération de Google pourrait mieux vous convenir.

Google permet aux utilisateurs d’ajouter jusqu’à 10 personnes comme contacts de récupération ; il doit s’agir de personnes en qui vous avez confiance.

L’ajout de ces contacts peut vous aider à récupérer votre compte Google si vous en êtes bloqué. Une fois que vous aurez contacté un contact de récupération, vous recevrez un code unique, et votre contact recevra une notification indiquant que vous sollicitez son aide. Vous devrez le contacter dans les 15 minutes, sinon le code expirera. Une fois que votre contact aura saisi votre code, vous aurez à nouveau accès à votre compte.