J’en avais parlé (très rapidement) l’autre jour, dans mon billet L’écosystème du bruit et la fabrique de l’autorité, j’ai vraiment beaucoup aimé le livre de Naomi Klein Doppelganger, qui commence en expliquant comment, pendant la pandémie de 2020-2021, elle a été confondue à de nombreuses reprises avec Naomi Wolf, au point de se voir reprocher les propos que l’autre Naomi avait tenus. Elle se pose beaucoup de questions passionnantes sur l’identité. Dans We are not Alone! (At least, Most of us aren’t), écrit avec Baptiste Coulmont, on se posait la question de l’existence d’un homonyme (prénom et nom), mais dans Doppelganger, c’est une confusion seulement à cause du prénom. J’ai dévoré le livre, qui part d’une intuition sociologique que Naomi Klein met en récit. Elle constate que plus la vie quotidienne se numérise, plus l’identité devient une interface, reposant sur des traces, des procédures d’authentification, et sur l’idée qu’un accès vaut preuve. Elle décrit très concrètement l’angoisse de découvrir, après un piratage, qu’une personne qui “semble être vous” inonde vos proches de messages, et elle insiste sur la fragilité de cette construction, qu’un compte compromis ou un deepfake peut faire tomber en un instant.
La pandémie comme accélérateur
En 2018 ou 2019, j’avais voulu commencer un billet de blog sur la disparition de l’argent liquide, de mémoire parce qu’on m’avait refusé un payement en pièces dans un café. Mais force est de constater que dans la plupart des pays avancés, le cash commençait déjà à reculer comme moyen de paiement au quotidien, sous l’effet combiné du paiement sans contact, de la montée du commerce en ligne et plus largement de la dématérialisation des échanges. La Banque de France (dans la note La filière fiduciaire à l’heure de la crise de la Covid-19 publiée en 2021) raconte bien ce mouvement, rappelant que l’usage des espèces pour payer se replie depuis presque une décennie, tandis que les paiements scripturaux gagnent du terrain et que le commerce en ligne progresse. Elle documente aussi un indicateur simple, le ratio paiements par carte sur retraits aux distributeurs, qui augmente sur une longue période et s’envole en 2020 quand les retraits chutent. La pandémie a joué le rôle d’un choc. D’abord, bien sûr, un choc d’opportunités en lien avec les confinements. Moins de trajets, moins d’achats en magasin, des commerces fermés, donc mécaniquement moins d’occasions de payer en cash. Mais aussi, aussi un choc de représentations. La crainte de contamination via les surfaces a poussé une partie des consommateurs à éviter les billets et les pièces, et beaucoup de commerçants ont encouragé les paiements sans contact. Les banques et réseaux de cartes ont aussi relevé des plafonds de paiement sans contact dans plusieurs pays. Du point de vue macro, le BIS résume l’épisode dans Covid-19 accelerated the digitalisation of payments, le décrivant comme une accélération sans précédent de la digitalisation des paiements, avec une hausse marquée des paiements digitaux, des virements initiés en ligne, et une progression forte de la part du sans contact dans les transactions par carte. Le premier effet mesurable, c’est la baisse des retraits. Dans les statistiques du BIS, le nombre de retraits diminue nettement en 2020, et baisse davantage que leur valeur, ce qui suggère des retraits moins fréquents mais plus gros. En France, la Banque de France décrit un épisode que j’avais oublié, avec une ruée initiale vers les distributeurs au moment de l’annonce du confinement, puis, dans les premières semaines, une chute brutale des retraits aux DAB. Le Royaume-Uni montre une dynamique similaire, dans la note Knocked down during lockdown: the return of cash de la Bank of England, avec une chute nette de la part du cash dans les paiements en 2020, suivie d’une reprise partielle quand les restrictions se lèvent.
Mais, au moment même où le cash recule dans les transactions, il se renforce comme réserve. Le BIS le formule clairement, notant que le cash en circulation atteint un plus haut sur une décennie, en particulier via une demande accrue de grosses coupures, signe d’un usage croissant comme réserve de valeur plutôt que comme instrument de paiement. La Banque de France parle aussi explicitement d’un “paradoxe des espèces”, puisqu’elles n’ont jamais été aussi peu utilisées pour payer, et en même temps, elles n’ont jamais été autant demandées, parce qu’elles servent aussi à thésauriser, notamment en période d’incertitude. Le Canada observe la même logique dans Cash and COVID-19. Les équipes d’économistes de la Banque du Canada y montre que les billets en circulation augmentent fortement au début de la pandémie, avec un rôle important des grosses dénominations, ce qui renvoie à des motifs de précaution et de réserve. Clairement, quand la société doute, elle veut des plans B, et elle s’y prépare. Même au Royaume-Uni, où l’usage transactionnel du cash déclinait fortement avant 2020, la Bank of England insiste sur deux idées simultanées. D’un côté, des bascules durables vers les paiements digitaux, et de l’autre, le fait que le cash reste vital pour une partie de la population et qu’il demeure une option de secours en cas d’incident ou de défaillance technologique. La pandémie n’a donc pas “tué le cash”. Elle a surtout accéléré l’apprentissage du cashless, et renforcé le rôle de l’écosystème numérique comme couche de continuité. Le papier de Raphael Auer, Giulio Cornelli, Jon Frost, The Pandemic Cash and Retail Payment Behaviour, fondé sur une base de données internationale à haute fréquence, résume bien ce double mouvement. Les paiements à distance de type card-not-present et les téléchargements d’applications de paiement augmentent pendant les périodes de confinement strict, tandis que le cash en circulation monte lui aussi, ce qui colle à l’idée d’une digitalisation des transactions et d’une thésaurisation parallèle. Les travaux de Tomasz Piotr Wisniewski, Michal Polasik, Radoslaw Kotkowski et Andrea Moro (Switching from Cash to Cashless Payments during the COVID-19 Pandemic and Beyond) sur 22 pays européens ajoutent un mécanisme micro. La peur de la contamination via le cash et la formation de nouvelles habitudes durant les restrictions sont associées à une bascule vers le cashless, et même à l’intention de continuer après la pandémie.
La pandémie n’a pas fait que déplacer le paiement des pièces et des billets vers la carte ou l’application, elle a accéléré une transformation plus générale où l’accès remplace l’objet. Où payer devient simplement un acte d’authentification, où retrouver un document devient une connexion, et où prouver devient un mot de passe, ou une empreinte biométrique. Les banques centrales, à leur manière, disent déjà la même chose quand elles insistent sur la résilience et les solutions de repli. Dans une économie où la continuité dépend de plus en plus de systèmes numériques, l’enjeu n’est plus seulement la fraude ou la vie privée, c’est aussi l’accès. Et si l’accès vaut preuve, alors tout ce qui fragilise l’accès, dont les fuites de données personnelles et l’usurpation d’identité, cesse d’être un accident individuel pour devenir un risque collectif. Et si l’accès est devenu la condition de l’existence administrative et économique, la question pertinente n’est plus seulement celle des pannes ou des cyberattaques spectaculaires, mais celle, beaucoup plus banale, de la matière première qui rend ces attaques possibles. Cette matière, ce sont les données personnelles, celles qui permettent d’authentifier, de réinitialiser, de convaincre un service client, de passer un contrôle KYC (Know Your Customer), bref de franchir les étapes intermédiaires qui transforment un individu en “utilisateur légitime”. Tant que ces données restent dispersées, le risque ressemble à un accident local, mais quand elles se concentrent, se recoupent et circulent, elles deviennent une infrastructure parallèle, exploitable à grande échelle. Et assez rapidement, on quitte le contexte général de la digitalisation pour entrer dans la mécanique concrète des fuites et de l’usurpation.
Exemples concrets et scénarios plausibles
On utilise le terme “vol d’identité“, mais force est de constater que “voler”, ça ne veut pas dire grand chose. C’est pas le vol des bijoux de la Castafiore. Dans un vol d’identité, on ne vous vole rien de matériel, on ne vous prend pas un objet. Quelqu’un prend simplement de quoi ouvrir des portes. Et dans un monde où l’accès vaut preuve, ces portes peuvent être nombreuses. En France, l’épisode FICOBA cette semaine permet de mieux comprendre. Bercy a communiqué sur des accès illégitimes identifiés par la DGFiP au fichier national des comptes bancaires (dans un communiqué de presse). Le Monde rapporte, sur la base d’informations DGFiP et AFP (dans les données de 1,2 million de comptes bancaires ont été consultées illégalement depuis la fin de janvier) que 1,2 million de comptes auraient été consultés et rappelle un point central, ce fichier ne donne pas les soldes et ne permet pas d’opérer des mouvements, mais il associe des identités à des établissements et à des comptes. Dit autrement, ce n’est pas un braquage, c’est clairement une amélioration de la qualité des arnaques, et une baisse massive du coût du ciblage. On retrouve la même logique avec France Travail, mais avec une autre mécanique. La CNIL a sanctionné l’opérateur d’une amende de 5 millions d’euros pour manquements à la sécurité. (dans un communiqué). La délibération publiée sur Légifrance indique une notification de violation en mars 2024, complétée ensuite, ce qui illustre aussi la temporalité longue de ces affaires. Et la presse spécialisée a insisté sur l’ampleur, en évoquant 36,8 millions de personnes concernées et des données très sensibles, dont le numéro de sécurité sociale. (comme France Travail : 36,8 millions de victimes de la fuite de données, la Cnil fustige un système d’information profondément défaillant). Ici, la fuite n’est pas seulement un risque de fraude financière, c’est une fuite de “preuves sociales” qui rendent possibles des démarches, des ouvertures de services, des contournements. On retrouve encore un cran au-dessus avec Viamedis et Almerys. La CNIL a parlé de plus de 33 millions de personnes concernées et rappelle explicitement que les données issues d’une fuite peuvent être combinées avec d’autres fuites antérieures. À mon avis, c’est clairement une étape importante qui est franchie, puisqu’on nous dit que le risque n’est pas simplement additif, il devient, en quelque sorte, combinatoire. Un dernier exemple ? La fuite de IDMerit cette semaine me semble utile parce qu’elle met en scène un acteur rarement visible du grand public. Next Ink explique qu’un prestataire KYC aurait laissé accessible une base MongoDB d’environ 1 To / 1 TB. Un processus KYC, ça peut inclure une image d’une pièce d’identité, et parfois un selfie ou une courte vidéo, une vérification d’adresse (un pdf d’une facture), des contrôles automatiques (bases de documents, cohérence, détection de fraude) et parfois une évaluation de risque et des contrôles “renforcés” selon les cas. Bien sûr, beaucoup d’entreprises ne font pas ça en interne, elles passent par des prestataires KYC (comme IDMerit). Autrement dit, on parle d’une fuite dans une entreprise qui sert de porte d’entrée à plein d’autres services, qui a potentiellement exposé des données qui servent ensuite à prouver qui vous êtes… Oui, on est dans l’économie de l’identité “en tant que service”, et quand ce type de prestataire est commun à beaucoup d’entreprises, on voit assez vite qu’une faille locale peut vite devenir un problème systémique.
À côté de ces histoires de compagnies, qui semble un peu lointaines, il faut peut être raconter des histoires individuelles, pour bien comprendre les conséquences, et le coût réel, de ces vols. Au Canada, Global News raconte le cas d’un homme en Colombie-Britannique qui découvre qu’une ligne de crédit a été ouverte à son nom, alors qu’il n’est même pas client de la banque mentionnée, avec des mois d’efforts pour réparer son dossier. En France, Le Parisien raconte le cas d’un homme attendant depuis des années d’être remboursé d’un crédit à la consommation de 60 000 euros contracté par un fraudeur. En gardant en tête que le dommage, ce n’est pas seulement l’argent, c’est aussi le cauchemar kafkaïen pour simplement redevenir “soi” dans les fichiers administratifs. En gros, il existe quelques grandes familles de type de vol (ou plutôt de conséquences d’un vol d’identité)
- Le crédit à votre place. Ce n’est pas une transaction frauduleuse sur un compte existant. C’est la création d’une nouvelle relation de dette, plus lente à détecter et plus lourde à annuler, surtout quand le dossier de crédit est affecté. C’est l’exemple raconté par Global News, typique en Amérique du Nord où la dette est centrale dans les finances privées (ne pas être endetté est louche)
- La prise de contrôle d’accès. Quand documents, comptes et démarches sont derrière une authentification, une usurpation peut devenir un blocage, changement d’email, de numéro, de moyens de récupération.
- L’industrialisation de l’ingénierie sociale. Une fuite comme FICOBA ou une fuite KYC améliore la crédibilité de faux interlocuteurs, faux conseillers, faux agents, parce qu’ils savent déjà des choses vraies. C’est ce qu’expliquait le Ministère des Finances
- La combinaison de fuites. C’est malheureusement le scénario le plus “banal” et souvent le plus dangereux, car il transforme plusieurs petits fragments en un dossier d’identité exploitable, comme l’explique la CNIL. Et on ne sait pas où et quand notre identité sera utilisée.
Quelles protections?
On voit qu’il y a un risque. Mais est-il déjà couvert ? Même si la réglementation dépend des pays, il y a des protections, mais elles ne protègent pas toutes la même chose. Elles protègent mieux le paiement que le crédit par exemple. Elles protègent mieux la transaction que la réparation administrative. Elles protègent mieux ponctuellement que de potentielles conséquence sur une longue durée. Côté Union Européenne, PSD2 formalise un garde-fou très lisible pour les paiements. La responsabilité du payeur en cas de paiement non autorisé est limitée à 50 euros sauf fraude ou négligence grave, et le principe est celui du remboursement. Cela ne règle pas tout, notamment parce que la notion de négligence grave reste discutée, et parce que l’usurpation pour ouvrir un crédit n’est pas exactement le même objet qu’une transaction non autorisée. Du côté du Canada, l’Agence de la consommation en matière financière du Canada rappelle aussi un plafond de responsabilité de 50 dollars pour des transactions de carte de crédit non autorisées, sauf négligence grave. Et quand une fraude apparaît dans un dossier de crédit, il est de la responsabilité de la personne volée de contacter Equifax et TransUnion, et de demander une alerte de fraude. Sur les fuites elles-mêmes, l’Europe a une contrainte de transparence plus structurée. L’article 33 du RGPD impose, quand il y a risque pour les droits et libertés, une notification à l’autorité de contrôle dans un délai au plus tard de 72 heures après prise de connaissance. Au Canada, PIPEDA impose de notifier et de signaler quand il existe un “risque réel de préjudice grave”, et la loi cite explicitement le vol d’identité et les effets négatifs sur le dossier de crédit parmi les préjudices possibles.
La grande nouveauté de ces deux dernières années, en Europe, est la bascule vers une logique de résilience opérationnelle, avec DORA qui est entré en application le 17 janvier 2025. Les services financiers reposent sur des systèmes numériques et des prestataires tiers. Il faut donc réguler la continuité, la gestion d’incidents, les tests, la supervision des fournisseurs critiques. Reuters rapporte d’ailleurs que des régulateurs européens ont désigné des prestataires technologiques comme “critiques” au titre de cette approche. Un autre article de Reuters mentionne que des banques centrales reviennent à l’idée d’un mode hors ligne pour certaines fonctions de paiement, précisément pour limiter la dépendance au réseau. Il mentionnent des projets d’offline card payments dans les pays nordiques et en Estonie comme solution de continuité en cas de coupure Internet. La Banque Centrale Européenne, dans ses communications sur le digital euro, met aussi en avant une fonctionnalité hors ligne, avec l’idée explicite de pouvoir payer même en cas d’indisponibilité temporaire d’Internet. Bref,tout cela protège mieux qu’avant, clairement, sauf peut être en ce qui concerne la question de savoir qui doit supporter le coût de la réparation, du temps, des refus de crédit, des démarches, et de la preuve que l’on est bien soi.
Le risque systémique collectif
Le risque systémique ne vient pas seulement d’une banque piratée ou attaquée. Il vient d’une économie où les mêmes types de données et de dispositifs d’accès sont utilisés partout, ce qui crée des chocs corrélés. Le premier canal, c’est la corrélation des tentatives de fraude. Une grande fuite alimente une vague d’arnaques meilleures et plus nombreuses, au même moment, sur les mêmes segments. Même si les pertes unitaires sont remboursées, le système absorbe un coût opérationnel massif, enquêtes, contrôles, refus de dossiers, frictions. Le FMI insistait sur le fait que les cyber-risques deviennent une préoccupation macrofinancière, précisément parce qu’ils peuvent produire des pertes extrêmes et des perturbations à grande échelle. Le deuxième canal, c’est la concentration technologique. Quand beaucoup d’acteurs financiers dépendent des mêmes prestataires, un incident chez un fournisseur peut devenir un choc commun. C’est exactement le type de dépendance que DORA cherche à encadrer et que la désignation de prestataires critiques rend plus visible, comme le note Reuters. Le troisième canal, c’est la continuité des paiements et la confiance. La confiance est un actif collectif. Si les gens anticipent des interruptions ou des usurpations récurrentes, ils changent de comportement, ils gardent du cash, ils multiplient les redondances, ils évitent certains canaux. Les discussions sur paiements hors ligne, carte hors ligne, ou digital euro hors ligne, sont aussi des discussions sur la confiance. (c’est l’autre article de Reuters). Enfin, le quatrième canal, l’exclusion par la perte d’accès. Dans un monde très numérisé, perdre ses accès, même temporairement, peut être une forme de vulnérabilité sociale, surtout si le cash et le papier ne jouent plus le rôle de recours.
Mais comme toujours avec le risque cyber, on ne voit que la partie émergée de l’iceberg. ENISA, l’Agence de l’Union européenne pour la cybersécurité, dans un rapport sur le secteur financier (Threat Landscape: Finance Sector) dit analyser des centaines d’incidents “publiquement rapportés”. Cette précision est importante, le grand public ne voit qu’une partie (on espère que les régulateurs en voient davantage). À leur décharge, IBM soulignait de son côté que certaines catégories de violations prennent très longtemps à être identifiées et contenues, avec des durées qui se comptent en centaines de jours. Entre incitations à minimiser, délais de détection, et asymétrie d’information, l’observation statistique est mécaniquement biaisée. Après, le but de mon billet n’est pas de prédire un effondrement bancaire mécanique causé par des faillites personnelles. Le sujet est de montrer que la donnée personnelle est devenue une infrastructure. Et que, comme toute infrastructure, elle appelle des redondances, des règles de responsabilité, et une politique de continuité. J’aime à croire qu’une économie très digitalisée peut être très efficace. Elle devient aussi une économie où la sécurité et la résilience cessent d’être des préoccupations individuelles, et deviennent des biens collectifs. Et si ça n’est pas pensé collectivement, d’autres s’en chargeront pour nous.
OpenEdition suggests that you cite this post as follows:
Arthur Charpentier (February 21, 2026). L’usurpation d’identité comme risque systémique. Freakonometrics. Retrieved March 5, 2026 from https://doi.org/10.58079/15qss