Google a introduit une nouvelle méthode d’authentification qui permet aux utilisateurs d’envoyer une vidéo selfie sur ses serveurs, puis d’utiliser une nouvelle vidéo selfie pour se connecter ou récupérer l’accès à leur compte. Le système compare les deux enregistrements à l’aide d’algorithmes de reconnaissance faciale, offrant une alternative aux mots de passe, aux clés de sécurité ou aux codes de secours. Mais cette fonctionnalité arrive à un moment où la technologie nécessaire pour la contourner progresse au moins aussi vite que les défenses censées l’arrêter.
La préoccupation centrale concerne les deepfakes. Les systèmes d’intelligence artificielle capables de transposer le visage d’une personne sur le corps d’une autre en temps réel sont désormais largement accessibles, et des chercheurs ont démontré des attaques contre des systèmes d’authentification vidéo similaires utilisant exactement cette technique. Un attaquant qui obtient une photo d’une cible — via les réseaux sociaux, une fuite de données ou un compte compromis — peut potentiellement générer une vidéo synthétique qui réussit un test de vivacité, en exécutant les mouvements de tête et les rotations exigés par le système d’authentification pour vérifier la présence physique de l’utilisateur.
Google a indiqué avoir mis en place des protections et que ses systèmes sont conçus pour détecter et rejeter les médias synthétiques. L’entreprise surveille également d’autres signaux suspects de connexion en parallèle du contrôle par vidéo selfie. Mais le rythme d’amélioration des modèles de génération vidéo rend difficile le maintien de défenses statiques. Une méthode de détection qui fonctionne aujourd’hui pourrait ne pas survivre à la prochaine génération de synthèse vidéo par diffusion.
Les questions de vie privée viennent aggraver les problèmes de sécurité. Google précise dans sa documentation d’aide que les vidéos selfie téléchargées peuvent être utilisées pour entraîner ses modèles de reconnaissance faciale et d’estimation de l’âge si l’utilisateur y consent. L’intersection entre la collecte de données biométriques et la vague de lois gouvernementales imposant la vérification de l’âge, actuellement débattues dans de nombreuses juridictions, crée un cadre réglementaire incertain quant à l’utilisation, au partage ou à la communication forcée de ces données.
Pour les utilisateurs, la question pratique est de savoir si le confort de la récupération par vidéo selfie l’emporte sur les risques liés à l’extension de l’exposition des données biométriques. Les clés d’accès, qui reposent sur des clés cryptologiques liées à l’appareil plutôt que sur des enregistrements biométriques, offrent une alternative plus mature qui évite le téléchargement de données faciales sur un serveur. Les clés de sécurité physiques offrent une protection analogue contre le détournement de compte, sans la surface d’attaque des deepfakes.
L’orientation générale de Google vers une authentification assistée par l’appareil constitue une tendance positive — réduire la dépendance aux mots de passe réutilisés est l’une des améliorations de sécurité les plus efficaces qui soient. Mais l’approche par vidéo selfie, en particulier, introduit une catégorie de risque biométrique que les méthodes d’authentification existantes ont déjà résolue. La voie la plus prudente pour la plupart des utilisateurs consiste à attendre une vérification indépendante que le système peut résister aux attaques par deepfake qui le cibleront inévitablement.
Sources : Google wants your face to be your backup password. I’d wait. (PCWorld, 27 juillet 2026) ; Google video selfie account recovery (The Register, 27 juillet 2026)
Traduit par Lydie