OnlyFake: l'AI qui a fait des milliers de fausses identités et défie les contrôles KYC

L'affaire OnlyFake marque une étape inquiétante à l'intersection entre l'intelligence artificielle et les crimes financiers. Un développeur ukrainien, identifié dans l'acte d'accusation comme Yurii Nazarenko et connu sur le réseau par plusieurs alias, a plaidé coupable pour avoir géré une plateforme basée sur l'abonnement qui a généré des images de faux documents d'identité avec une apparence très réaliste. Selon le Bureau du Procureur fédéral du district sud de New York, le service a produit et commercialisé plus de 10 000 photographies numériques de passeports, de cartes de conduite et de cartes de sécurité sociale aux États-Unis, ainsi que des documents provenant de nombreuses autres juridictions ( voir l'accusation).

OnlyFake n'était pas une simple collection de modèles : il a utilisé des modèles IA pour générer des images qui pourraient intégrer des données personnalisées ou aléatoires, et a offert des options pour simuler un scan ou une photo sur une table. Le site fonctionnait avec cryptomonedas et vendait à la fois des commandes individuelles et des forfaits de gros, atteignant à offrir beaucoup jusqu'à mille documents. Le ministère de la Justice et les agents du FBI ont documenté les achats sous couverture en 2024, dans lesquels ils ont obtenu des cartes de New York, des passeports américains et une fausse carte de sécurité sociale, ce qui a permis d'ouvrir l'enquête qui a conduit à des poursuites et des aveux ( Communication du MJ).

L'accusation soutient que l'objectif principal de ceux qui ont acquis ces documents était de contourner les contrôles d'identification utilisés par les banques et les plateformes de cryptomoneda pour respecter les obligations de « répondre à votre client » (KYC) et prévenir le blanchiment d'argent. Ces exigences font partie intégrante du cadre réglementaire destiné à détecter le financement illégal, le blanchiment d'argent et d'autres infractions économiques, et leur violation ouvre la voie à des opérations financières anonymes ou frauduleuses ( informations sur AML et KYC en FinCEN).

Du point de vue technique et opérationnel, OnlyFake a rassemblé plusieurs éléments qui l'ont rendu particulièrement dangereux: l'automatisation à l'échelle par l'IA pour produire des images crédibles, le paiement avec cryptomoneda pour augmenter l'anonymat et les outils pour supprimer les pistes, comme la suppression des courriels et la diversification des portefeuilles pour frustrer le suivi des fonds. Une précédente enquête journalistique a contribué à exposer le service publiquement, et la plateforme a fini par faire l'objet de l'opération de police qui a conduit à l'extradition de la personne responsable de Roumanie en septembre 2025 ( 404 reportages).

L'affaire soulève une question évidente : quelle différence fait-elle à un document falsifié produit par l'IV à partir d'un faux traditionnel ? La réponse n'est pas seulement esthétique. Les modèles IA peuvent synthétiser des textures, des typographies et des hologrammes simulés - ou combiner des fragments réels et générés - et adapter les fonctionnalités pour passer des vérifications automatisées de base. En outre, la capacité de produire de grands volumes réduit le coût par unité et facilite la commercialisation aux acteurs ayant des intentions criminelles. Avec ces avantages, les faussaires peuvent essayer de se moquer des systèmes de vérification qui dépendent encore dans une large mesure des comparaisons visuelles, sans surveillance humaine robuste.

Les autorités ont réagi en combinant des outils de recherche traditionnels (achats sous couverture, coopération internationale et extradition) avec le suivi des flux de cryptomonéda et la collaboration interinstitutions. En matière pénale, Nazarenko a accepté le retour de 1,2 million de dollars et est passible d'une peine pouvant atteindre 15 ans de prison; la date de la peine a été fixée au milieu de 2026, selon le dossier judiciaire ( Source du MJ).

Mais les poursuites pénales à elles seules ne résoudront pas le problème de fond. Les institutions financières, les échangeurs de cryptomonéda et les fournisseurs de services qui ont besoin de KYC devraient accélérer l'adoption de contrôles plus résistants. Les solutions vont de l'amélioration des systèmes biométriques et des contrôles des moyens de subsistance - qui vérifient que le document est réellement vivant et présent - à l'intégration de vérifications basées sur des sources officielles et des documents fédéraux qui ne peuvent être facilement reproduits avec des images. Il est également crucial que les fournisseurs automatiques de vérification adoptent des modèles de détection de synthèse et de manipulation qui évoluent au rythme des techniques de génération.

L'épisode OnlyFake met également en évidence un défi réglementaire : la technologie d'imagerie et sa disponibilité publique rendent les mauvais usages de plus en plus accessibles. Les concepteurs d'outils d'IA, les marchés et les plateformes de paiement partagent la responsabilité de détecter et de réduire les abus, mais une réponse efficace exige une coordination entre le secteur privé et les organismes de réglementation, ainsi que des cadres juridiques qui tiennent compte de l'ampleur et de la rapidité de l'innovation technologique.

Pour le citoyen ordinaire, l'affaire doit rappeler que les faux documents générés numériquement ne sont pas un problème à distance : ils facilitent la fraude, peuvent permettre des crimes graves et érodent la confiance dans les systèmes que nous utilisons quotidiennement pour identifier les gens. Les institutions doivent renforcer leurs procédures et les utilisateurs doivent être conscients que l'identité numérique nécessite plus de garanties qu'une simple photographie.

L'histoire de OnlyFake est un avertissement pratique sur la course entre générateurs et détecteurs. À mesure que l'IV réduit les obstacles à des compétences convaincantes, les défenses doivent devenir tout aussi techniques et collaboratives. L'affaire contre Nazarenko montre que la loi peut atteindre les opérateurs, mais elle montre également que la prévention et l'adaptation technologique sont essentielles pour qu'aucun nouveau OnlyFake ne émerge à l'avenir.