Le danger de la biométrie, par l'exemple

Les méthodes d'authentification biométrique, largement exploitées dans le secteur financier, présentent un immense avantage en termes d'expérience utilisateur mais elles sont exposées à un risque critique d'obsolescence. Un journaliste de Vice en fait la démonstration pratique avec la reconnaissance vocale, populaire dans les centres d'appel.

Joseph Cox a donc contacté le service client de Lloyds Bank, une des nombreuses banques dans le monde qui recourent à ce type de technique avec une promesse de sécurité inviolable, afin de vérifier s'il pouvait réaliser des transactions courantes sur son compte par l'intermédiaire d'une plate-forme grand public, proposée par ElevenLabs, vantant sa capacité à répliquer sa voix grâce à l'intelligence artificielle. Bien évidemment, il a d'abord dû entraîner le logiciel à partir d'échantillons (naturels) originaux.

Le scénario de l'attaque simulée s'est déroulé sans heurts, hormis quelques ajustements successifs sur l'apprentissage, initialement un peu bâclé : le serveur interactif réclame d'énoncer le motif de l'appel puis, à titre de contrôle d'identité, la date de naissance du demandeur, avant de finaliser la vérification de la voix par une phrase (supposée) aléatoire (en l'occurrence « my voice is my password »). À chaque étape, une saisie du texte dans l'interface d'ElevenLabs génère l'extrait ad hoc et le tour est joué !

La preuve est ainsi faite de la fragilité du système, en dépit des assurances qui l'accompagnent. Il suffit de connaître une information privée, aisée à obtenir, et de capter quelques minutes de paroles de la cible visée, également facile à trouver à l'ère de YouTube et TikTok, pour accéder à son espace de banque à distance et exécuter toutes sortes de malversations. Les optimistes argueront que les algorithmes d'analyse évolueront pour reconnaître ce genre de falsification mais c'est une course sans fin.

Comme dans le cas similaire, révélé en 2015, avec l'empreinte digitale, le problème spécifique de la biométrie est l'impossibilité pour l'utilisateur de changer ses paramètres d'authentification s'il découvre (ou soupçonne) un abus : sa seule option consiste alors pour lui à verrouiller totalement le service compromis (et à s'en passer), en attendant, au mieux, que son fournisseur relève le niveau de protection, au prix probable de délais de mise en œuvre, de frictions accrues et d'incertitudes sur la viabilité des mises à jour.

Bien que certains analystes en suggèrent déjà le retrait, cet exemple ne signe pas la mort instantanée de tous les dispositifs de sécurité à base de reconnaissance vocale mais il met en exergue, d'une part, un danger préoccupant, à court terme, pour les individus particulièrement sensibles (par leur notoriété et leur attractivité potentielle pour des cybercriminels, tels que les influenceurs du web), et d'autre part, la menace permanente que représentent pour ces outils les prodigieux progrès de l'intelligence artificielle.

En tout état de cause, la conclusion à tirer, pour l'instant, est qu'il faut absolument combiner des solutions multiples, de manière à toujours être en mesure d'offrir un moyen de repli aux clients dans l'hypothèse où une faille majeure affecte l'une d'elles.

Image par jakubhoopoe (via Pixabay)