Les données KYC restent une cible pour les hackers, estime Coin Center
Coin Center avertit que le KYC obligatoire centralise encore davantage de données d’identité sensibles. Le débat touche aussi la vérification zero-knowledge, la DeFi et des exigences de conformité plus strictes en Europe.
À retenir
- Coin Center avertit que l’identification KYC obligatoire centralise des données sensibles et constitue ainsi une cible attractive pour les hackers.
- Une possible fuite de données chez IDScan.net illustre, selon l’organisation, à quel point le contrôle d’identité est vulnérable ; le FBI enquête sur l’affaire.
- Coin Center plaide pour une vérification respectueuse de la vie privée qui ne prouve que les informations nécessaires, sans stocker les données complètes d’identité.
Une nouvelle possible fuite de données autour d’IDScan.net montre, selon Coin Center, à quel point le contrôle d’identité obligatoire est vulnérable. Sur un service du dark web, plus de 153 millions de données de permis de conduire américaines et canadiennes seraient proposées à la vente, tandis que le FBI mène une enquête sur la violation présumée. Le cœur du problème, selon l’organisation, est que les processus KYC collectent souvent précisément les données sensibles que recherchent les criminels.
Pourquoi le KYC est si vulnérable
Laz Pieper de Coin Center affirme que les entreprises et les régulateurs veulent lutter contre la fraude grâce au contrôle d’identité, mais créent en même temps un risque important. Lorsque les noms, adresses et justificatifs d’identité sont stockés de manière centralisée, cela devient une cible attractive pour les hackers. Cela vaut non seulement pour les banques, mais aussi pour des acteurs comme les hôtels, les loueurs de voitures, les casinos et les détaillants qui utilisent la technologie d’IDScan.
Le texte renvoie aussi à d’anciens incidents majeurs, comme le hack d’Equifax en 2017, qui a touché près de 148 millions d’Américains. Pieper souligne également que les codes temporaires envoyés par SMS ou e-mail sont souvent faciles à détourner et que les contrôles biométriques sont mis sous pression par les avancées rapides de l’IA. L’image qui se dégage est que de nombreux contrôles actuels collectent bien des données, mais n’offrent pas toujours une protection suffisante.
Une vérification respectueuse de la vie privée
Coin Center plaide donc pour des systèmes dans lesquels une personne ne prouve que ce qui est nécessaire, au lieu de remettre une copie complète d’une pièce d’identité. Il peut s’agir de prouver son âge, l’accès à un compte ou une autorisation, sans que les données sous-jacentes arrivent directement chez une entreprise. Ce type de vérification respectueuse de la vie privée est encore en développement, mais s’inscrit dans des expérimentations plus larges du secteur, comme la vérification de l’âge par preuves à divulgation nulle de connaissance ("zero knowledge proofs") et d’autres formes d’identité décentralisée.
Pour les lecteurs européens de la crypto, cela est pertinent car le contrôle d’identité s’étend aussi de plus en plus en dehors des États-Unis, notamment vers la vérification de l’âge et des exigences de conformité plus strictes. Dans le même temps, l’intérêt grandit pour des solutions qui combinent mieux vie privée et vérification, y compris dans la DeFi et les paiements transfrontaliers. Cela rend le débat sur la minimisation des données important non seulement sur le plan juridique, mais aussi sur le plan pratique pour les acteurs de la crypto et de la fintech.
Au sein même du secteur, la minimisation des données reste aussi un thème récurrent. Lors d’une précédente fuite de données chez un courtier crypto, il est par exemple apparu à quelle vitesse des données d’identité, des informations de contact et des données de wallet peuvent tomber entre de mauvaises mains.
Une pression accrue sur les règles
Pieper avertit en outre que les législateurs à Washington et au niveau des États ne devraient pas imposer d’obligations de vérification supplémentaires là où elles ne sont pas nécessaires. Selon lui, de telles règles augmentent la quantité de données sensibles stockées, sans résoudre réellement la fraude. Sa conclusion est simple : si un service n’a pas besoin d’une identification complète, alors ces données ne devraient pas non plus être collectées.
