La vérité sur OnlyFake et la fraude liée à l'IA générative

A chaque fois qu'une partie du monde de la fraude creuse plus loin que le bruit des médias, les choses deviennent fascinantes. Par exemple, au début de l'année 2024, la découverte par les médias du site OnlyFake et de la réalité de la fraude documentaire moderne a affolé les équipes chargées de la gestion des risques et de la fraude, qui se sont empressées de "faire quelque chose" à ce sujet.

Mais la panique est généralement la mauvaise réaction face à une menace sensationnelle.

Avant de vous laisser entraîner par le battage médiatique et de vous précipiter pour déployer la première chose qui vous vient à l'esprit, il vaut la peine de prendre une grande respiration et d'examiner calmement ce qu'est vraiment OnlyFake, comment il fonctionne et ce qu'il signifie réellement pour l'avenir du KYC et de vos propres contrôles de la fraude.

Qu'est-ce que Only Fake ?

Mis au jour par une enquête de 404 Media, OnlyFake était un site web qui permettait à quiconque de générer rapidement et facilement des documents d'identité très convaincants de son choix. Les "clients" pouvaient choisir un large éventail de types de pièces d'identité, des passeports aux permis de conduire, et même en créer des centaines à la fois. Il promettait de simplifier considérablement la création de faux documents et de mettre fin à l'ère des modifications de documents par Photoshop, comme l'a déclaré son développeur sur Telegram.

Si vous avez du mal à trouver le site, sachez qu'il a changé de domaine après la récente couverture médiatique, distribuant sa nouvelle adresse via des canaux Telegram privés. Regardez la rediffusion de notre webinaire Beyond OnlyFake pour obtenir des conseils d'initiés sur la lutte contre les menaces de l'IA générative et la protection de votre organisation.

OnlyFake utilise-t-il l'IA générative pour créer des documents frauduleux ?

En partie. Il est intéressant de noter que, malgré les affirmations du développeur, il y a en réalité très peu de preuves de l'utilisation de l'IA dans la création des documents eux-mêmes (un fait facilement admis par l'enquête initiale de 404 Media). OnlyFake affirme utiliser des "réseaux neuronaux" pour créer ses fausses cartes d'identité, mais il n'y a pas de preuve que le service utilise des outils d'IA générative.

Les deux domaines dans lesquels l'IA générative semble être utilisée, si l'on en croit les déclarations marketing du développeur, sont la création à la carte de faux portraits et de fausses signatures (les parties les plus délicates du processus de falsification) bien que les fraudeurs en puissance puissent soumettre leurs propres photos et signatures. Les deux seraient apparemment ajoutés à un modèle de base de carte d'identité.

Pourquoi OnlyFake ne génère pas l'intégralité de la carte d'identité via l'IA ?

Malgré tout le battage médiatique et les promesses de l'IA générative, la réalité est que la technologie n'est pas encore en mesure de générer des documents complets à partir de rien. De par sa nature même, elle peine à assurer la cohérence des tentatives de génération. Cela peut parfois être un peu drôle lorsqu'il s'agit de modifier une image existante, mais c'est particulièrement difficile lorsqu'il s'agit de cartes d'identité, étant donné les différents dispositifs de sécurité (des hologrammes aux zones lisibles à la machine) intégrés dans les cartes d'identité. Le texte, en particulier, peut être très difficile à intégrer correctement dans les images par l'IA générative, même s'il s'agit d'un jeu d'enfant pour l'IA générative de le générer elle-même.

Étant donné les limites de la génération complète d'un document d'identité par l'IA, il n'est pas surprenant qu'OnlyFake ne se soit pas appuyé uniquement sur cette technologie. Néanmoins, comme pour tout ce qui touche à l'IA, la rapidité des progrès fera bientôt des lacunes une chose du passé, et la criminalité basée sur l'IA est pour ainsi dire déjà une réalité.

Comment OnlyFake a réellement créé des cartes d'identité frauduleuses

Si certaines parties de la carte d'identité, telles que les portraits et les signatures, ont pu être générées par IA afin de créer des cartes cohérentes et de haute qualité, OnlyFake s'est appuyé sur un ensemble de modèles pour chaque couche de l'image finale. Ces modèles étaient superposés, du haut vers le bas :

• Texte
• Portrait
• Signature
• Hologramme
• Zone de lecture automatique
• Modèle de document d'identité
• Arrière-plan de la carte

En fin de compte, Photoshop n'est pas mort, mais fonctionne en arrière-plan de manière automatisée, comme le révèle la FAQ du site, où la réponse à la question "Est-il possible de télécharger le fichier PSD fini ?

En réalité, OnlyFake n'était ni unique ni nouveau

Il existe aujourd'hui des centaines, voire des milliers de sites en ligne qui proposent des services similaires, et ils ne se limitent pas aux documents d'identité. Ces fermes de modèles ou usines à documents ne sont pas d'obscurs sites du dark web accessibles uniquement aux personnes techniquement hyper alphabétisées disposant d'une adresse TOR ; ils sont indexés et il suffit d'un terme de recherche pour les trouver.

Nous avons documenté un grand nombre de ces sites dans notre livre blanc sur la fraude en série, qui couvre l'étendue de la fraude documentaire automatisée et répétée à laquelle l'industrie financière est aujourd'hui confrontée, ainsi que de nombreuses variantes de documents frauduleux automatisés tels que ceux produits par OnlyFake.

Pourquoi OnlyFake est une escalade dans la fraude automatisée

OnlyFake a fait deux choses qui sont nettement différentes de ce que les autres fournisseurs de services de fraude sur le marché ont fait et qui ont vraiment fait monter les enchères dans l'escalade de la fraude automatisée par rapport à la détection automatisée de la fraude:

• La création de documents par lots
• La génération intégrée de portraits et de signatures

Ces deux capacités s'alimentent dangereusement l'une l'autre et permettent de résoudre de multiples problèmes criminels.

Tout d'abord, la possibilité de soumettre une feuille Excel de données pour générer des documents par lots change considérablement la donne. Outre les quantités, cela signifie que pour les identités purement fabriquées, d'autres outils d'IA générative peuvent être utilisés pour remplir au hasard tous les champs d'un document avec des adresses uniques, instantanément, sans effort ni coût.

Combinés à des portraits et des signatures générés, les criminels pourraient désormais exploiter les fuites de données d'informations personnelles identifiables qui pourraient ne pas inclure de documents d'identité réels afin de créer des identités synthétiques incroyablement convaincantes à une échelle sans précédent.

Ces approches annoncent une nouvelle ère d'usurpation d'identité et posent d'importants défis aux systèmes de connaissance du client, de vérification de l'identité et de vérification des documents qui, depuis des années, s'orientent vers la consultation de bases de données sur les données extraites des documents, au détriment de l'évaluation de l'authenticité des documents eux-mêmes.

Que pouvez-vous faire pour arrêter la fraude des documents d'identité OnlyFake ?

En matière de fraude ou de criminalité financière, il existe rarement une solution miracle, et c'est pourquoi vous devez toujours adopter une approche multicouche pour défendre votre château. Ce concept n'est pas nouveau et, en fait, nous nous inspirons de notre passé d'experts en cybersécurité de l'IA pour construire nos produits en utilisant une approche de "défense en profondeur", ce qui signifie essentiellement des couches imbriquées de détecteurs qui sont incroyablement difficiles à contourner.

Néanmoins, voici trois couches que vous devez absolument prendre en compte lorsque vous essayez de résoudre ce problème :

Disposer d'une première ligne de défense qui évalue les documents entrants

Il ne suffit plus de s'appuyer sur des vérifications de bases de données lorsque les données sont réelles mais que la personne et le document sont faux. Il est essentiel de vérifier l'authenticité du document. Recherchez des solutions de détection de la fraude documentaire qui prennent en compte le contexte complet de l'image et sont capables d'évaluer s'il y a des signes d'incohérence dans la qualité de l'image, si des éléments ont été insérés ou manipulés, etc.

Mettre en place un mécanisme de comparaison des documents entrants

Comme toute automatisation, la fraude automatisée de masse repose sur des économies d'échelle et la répétition. Face à des outils comme OnlyFake, qui peuvent générer des armées de fausses cartes d'identité, il est essentiel de vérifier les répétitions au niveau de l'arrière-plan, des caractéristiques de l'image, des conditions d'éclairage, de la géométrie de l'objectif, etc.

Examinez le comportement des personnes qui soumettent les documents

La manière dont vous recevez les documents est tout aussi importante que les documents que vous recevez. Chaque aspect du processus de soumission - des données d'empreintes digitales des appareils aux signaux comportementaux tels que la façon dont les clients se déplacent dans votre parcours utilisateur - peut être utilisé pour identifier des modèles répétés de comportement suspect dans les comptes et informer votre décision d'accepter ou de refuser un document.

Comment Resistant AI détecte les documents OnlyFake

Nous pratiquons ce que nous prêchons et utilisons de nombreuses techniques mentionnées ci-dessus. Chaque document est analysé de plus de 500 façons afin de détecter tout signe de falsification, d'exploitation ou de réutilisation. Resistant AI est capable de détecter les documents Onlyfake en :

• Détectant les éléments de l'image qui ont été générés par l'IA.
• Détectant les éléments répétitifs et les caractéristiques des identifiants générés en masse.
• Détectant les caractéristiques spécifiques des différents générateurs de documents et des fermes de modèles - y compris les signes révélateurs de la génération OnlyFake en particulier.

Chez Resistant AI, nous avons pour mission d'arrêter les criminels. C'est pourquoi nous avons créé la détection de la fraude documentaire basée sur l'IA la plus avancée au monde, et certains des plus grands services de vérification d'identité comptent sur nous pour assurer la sécurité de leurs clients.

Vous souhaitez savoir comment nous pouvons sécuriser le traitement de vos documents ? Contactez l'un de nos experts pour un entretien rapide.