Le gouvernement indien alerte sur une fraude aux deepfakes qui pourrait contourner les contrôles faciaux des e-visas et du KYC

L’Unité nationale d’analyse des menaces liées à la cybercriminalité (NCTAU) du ministère de l’Intérieur indien tire la sonnette d’alarme face à une nouvelle vague d’arnaques contournant l’authentification grâce à des deepfakes vidéo alimentés par l’IA et des identités synthétiques pour tromper la reconnaissance faciale.

Pourquoi c’est crucial pour la mobilité internationale – L’Inde repose largement sur des tests de « vivacité » vidéo pour son écosystème KYC numérique (utilisé pour l’ouverture de comptes bancaires en ligne, l’activation de cartes SIM et, de plus en plus, le portail e-Visa). Si des fraudeurs parviennent à imiter en temps réel le visage d’un voyageur, ils pourraient détourner des approbations d’e-visa, créer des identités fantômes ou modifier les registres d’arrivée et de départ dans les systèmes d’immigration. Cette alerte concerne donc directement les étrangers demandant un e-visa indien ainsi que les entreprises indiennes utilisant la vidéo KYC pour intégrer des expatriés à la paie et aux services bancaires.

Comment fonctionne l’arnaque – Selon la circulaire de 27 pages publiée le 28 juin, les criminels collectent d’abord des extraits vidéo du visage de leur cible, souvent via de faux entretiens d’embauche ou des appels de fraude sentimentale. Ils utilisent ensuite des outils d’IA accessibles pour créer un avatar réaliste capable de cligner des yeux, tourner la tête et répondre à des questions de sécurité avec une voix clonée. Ce deepfake est ensuite injecté dans un logiciel de détection de vivacité pour tromper le système et obtenir un accès ou des identifiants.



Recommandations gouvernementales – La NCTAU conseille aux entreprises traitant des vérifications d’identité sensibles (sous-traitants de visas, compagnies aériennes, agences de voyage) d’adopter des algorithmes de détection de deepfake, de surveiller les anomalies dans le clignement des yeux et la réfraction de la lumière, et d’exiger une authentification à double facteur (OTP ou signature numérique) pour les transactions à fort enjeu. Les citoyens sont invités à verrouiller leurs données biométriques Aadhaar, à rester vigilants face aux coupures soudaines de réseau mobile pouvant indiquer un échange frauduleux de SIM, et à signaler rapidement tout incident via la ligne d’assistance cyberfraude 1930.

Contexte réglementaire plus large – Cette alerte fait suite à une recrudescence des fraudes par identités synthétiques ciblant les secteurs du e-commerce et de la fintech en Inde, et coïncide avec le déploiement d’un nouveau système automatisé de reconnaissance faciale (AFRS) dans les principaux aéroports, prévu à l’échelle nationale d’ici décembre 2026. Les experts du secteur considèrent cet avertissement comme une mesure préventive pour préserver la confiance dans l’infrastructure publique numérique indienne (DPI), alors que le pays vise à traiter 15 millions d’e-visas par an d’ici 2028.

Prochaines étapes – Les facilitateurs de visas comme VFS Global et les compagnies aériennes utilisant l’embarquement biométrique devront prouver leur conformité à ces nouvelles directives sous peine d’audits. Les responsables mobilité doivent revoir les procédures KYC des employés, former le personnel à détecter les signaux d’ingénierie sociale, et conseiller les voyageurs à protéger leurs environnements d’appels vidéo où des données faciales pourraient être captées.