Basée sur la blockchain, une application empêche les usurpations d’identité

Ils avaient décroché le gros lot : 38 millions d’euros ! En décembre 2021, des escrocs avaient réussi à arnaquer le promoteur immobilier parisien Sefri-Cime. Huit hommes, soupçonnés d’être impliqués dans cette arnaque dite « au président », ont été interpellés entre juin 2022 et janvier dernier.

Mais pour l’instant, seuls 3,9 millions d’avoirs criminels, dont 700 000 euros en cryptomonnaies, ont été saisis. Leur technique était parfaitement rodée et minutieuse. Fin 2021, le comptable de ce promoteur immobilier avait reçu l’appel d’un escroc se faisant passer pour un avocat qui prétextait une opération confidentielle de rachat de sociétés avec l’accord du président de la société.

Le comptable avait ensuite reçu un email usurpant l’identité du PDG qui lui confirmait que l’opération avait été réalisée à sa demande.

Deepfake

Au total, plus de 40 virements aveint été effectués en quelques semaines pour un montant total de 38 millions d’euros. Le précédent record était « détenu » par Pathé qui avait été victime en mars 2018 de cette même arnaque pour environ 19 millions d’euros.

Appelées aussi « escroquerie aux faux ordres de virement » ou encore « faux ordre de virement international ou FOVI », ces actions malveillantes se multiplient ces dernières années et deviennent de plus en plus sophistiquées en s’appuyant notamment sur l’intelligence artificielle pour imiter la voix du chef d’entreprise ou modifier son apparence.

L’État mène des campagnes de prévention afin de sensibiliser les chefs d’entreprise aux bonnes pratiques. Mais les méthodes traditionnelles ne permettent pas de limiter fortement les risques d’être escroqué.

Partant de ce constat, la start-up française Inkan.link propose d’élaborer « un faisceau de preuves » comprenant des données prévalidées en associant toutes les parties prenantes (chef d’entreprise, comptable, directeur financier…).

Dans un premier temps, chaque personne prend des photos avec l’application développée par Inkan.link (Sealfie) et ajoute un petit message personnel. En complément de ces données personnelles, la start-up recueille des informations techniques sur le réseau informatique et les appareils connectés de l’entreprise.

Certifier des transactions

Toutes ces informations sont chiffrées de « bout en bout » et sécurisées en privé par défaut. Puis les condensats* sont notariés et reliés sur une blockchain publique. « Notre objectif est de protéger le comptable qui peut faire des virements sereinement et sans déranger les personnes concernées. Celles-ci reçoivent juste une notification sur leur téléphone et doivent faire un selfie avec notre application pour valider l’ordre interne », précise Nicolas Thomas, un spécialiste en cybersécurité et télécoms qui a créé Inkan.link en 2021.

Par contre, si le chef d’entreprise ou le directeur financier n’utilise pas le smartphone qui a été préenregistré ou si la reconnaissance biométrique n’est pas reconnue, leur validation sera bloquée.

Facturée 100 euros par mois et par utilisateur, cette solution mémorise aussi des traces infalsifiables afin de pouvoir confirmer que le donneur d’ordre était bien la bonne personne et qu’il était au courant.

En utilisant Sealfie, les entreprises pourront certifier toutes sortes de transactions (virements, authentification de photos de locations saisonnières, suivi de formations par des salariés…), qu’elles soient physiques ou numériques, et prévenir la falsification (par exemple, le carnet de suivi d’une montre de luxe et le vol d’identité).

Cet été, cette start-up a reçu, avec le Laboratoire Informatique, Image et Interaction (L3i) de l’Université de La Rochelle, experts de la fraude documentaire, une bourse Deeptech Emergence de Bpifrance, un organisme officiel qui finance et accompagne les entreprises en crédit, en garantie, en aide à l’innovation et en fonds propres.

Cette bourse de 90 000 euros va leur permettre de lever les verrous de l’attractivité des blockchains ouvertes pour les entreprises, en augmentant la confiance et l’efficacité dans les interactions numériques.

« L’implication des entreprises permet de créer un écosystème vertueux, il est en effet nécessaire de protéger les données personnelles et les certificats établis par les entreprises. La confiance vient du nombre de certificats indépendants », précise Nicolas Thomas.

* Condensat ou « hash », terme anglophone qui désigne le hachage. Ce sont des algorithmes mathématiques qui permettent d’établir, au moyen d’algorithme comme le SHA ou le MD5, des correspondances dans un ensemble de données pour les identifier précisément.