Fraude en série en Belgique : détecter les faux documents réutilisés

Cet article est fourni à titre informatif et ne constitue pas un avis juridique ou réglementaire. Pour toute décision relative à vos obligations LBC/FT ou à votre dispositif de lutte contre la fraude, consultez un conseiller spécialisé ou les lignes directrices publiées par la FSMA et la BNB.

Un gestionnaire de crédit approuve un dossier avec une fiche de paie cohérente. Trois semaines plus tard, un confrère d'un autre organisme approuve un dossier différent — autre nom, autre montant — mais la même fiche de paie, à quelques pixels près. Chaque document, pris isolément, passe tous les contrôles habituels. Le signal de fraude n'existe qu'au moment où l'on compare les deux dossiers entre eux : c'est exactement le problème que le document fingerprinting est conçu pour résoudre.

Qu'est-ce que le document fingerprinting

Le document fingerprinting génère une empreinte numérique unique pour chaque document soumis, puis la compare à celles des documents déjà traités, afin de détecter la réutilisation d'un même modèle ou d'un même faux dans des dossiers en apparence sans lien. Contrairement à l'analyse typographique, au niveau d'erreur JPEG ou à l'analyse des métadonnées — qui jugent l'authenticité intrinsèque d'un document seul — le fingerprinting pose une autre question : ce document a-t-il déjà servi ailleurs, sous une autre identité ?

Selon le rapport 2024 de l'ACFE (Report to the Nations), seulement 37 % des cas de fraude documentaire sont détectés par des contrôles manuels, avec un délai moyen de détection de 87 jours (ACFE 2024 Report to the Nations), délai en partie dû au traitement en silo : un gestionnaire qui instruit un seul dossier à la fois n'a aucun moyen de remarquer qu'il a déjà vu ce même relevé bancaire sous un autre nom.

Pourquoi les réseaux de fraude réutilisent le même modèle de faux

Les réseaux organisés réutilisent un même modèle de faux parce que l'IA générative a rendu sa production rapide et peu coûteuse, ce qui rend rentable son réemploi sur de nombreuses identités plutôt que la fabrication d'un faux unique par dossier. Une fois qu'un gabarit — fiche de paie fictive, extrait de compte, eID falsifiée — franchit les contrôles une première fois, il devient un actif réutilisé en changeant seulement le nom, la photo ou le montant, structure et police restant identiques.

La CTIF-CFI, la cellule de renseignement financier belge, a reçu 91 487 déclarations et communications suspectes en 2024, contre environ 79 211 en 2023, soit une hausse d'environ 15 % en un an (CTIF-CFI, Rapport d'activités 2024) — une progression qui traduit en partie l'industrialisation de la fraude documentaire, un modèle de faux validé par un réseau circulant ensuite sur des forums fermés ou étant revendu.

En quoi cela diffère de la criminalistique document par document

Le document fingerprinting se distingue de la criminalistique document par document parce qu'il ne cherche pas à savoir si un document isolé est authentique, mais si ce document — ou un document structurellement identique — a déjà été soumis ailleurs. Un faux de très bonne qualité peut passer tous les contrôles d'authenticité intrinsèque et rester pourtant détectable dès qu'il réapparaît sous une identité différente.

Ces approches sont complémentaires : un dispositif robuste les combine, car un fraudeur qui contourne l'une peut être intercepté par une autre.

Les secteurs belges les plus exposés à la réutilisation de faux documents

Le crédit à la consommation, la location immobilière, les sinistres d'assurance, les marketplaces collaboratives et l'ouverture de compte bancaire concentrent l'essentiel des cas en Belgique, car ces secteurs traitent un volume élevé de dossiers instruits indépendamment, souvent par des agences ou courtiers distincts qui ne partagent pas leurs données.

Pour les acteurs du financement et du leasing, la réutilisation d'une même fiche de paie sur plusieurs dossiers de crédit reste l'un des schémas les plus documentés, aux côtés des fausses fiches de paie générées par IA. Pour les entités soumises à la vigilance LBC/FT, cela rejoint l'obligation de vérifier l'identité via des sources fiables, détaillée dans notre article sur la détection des documents falsifiés et la conformité LBC/FT belge. La comparaison inter-dossiers n'a de valeur que si elle couvre un référentiel documentaire large : la plateforme CheckFile s'appuie sur plus de 3 200 types de documents reconnus dans 32 juridictions, dont la carte d'identité électronique belge et les principaux titres de séjour délivrés en Belgique.

Les techniques concrètes de détection de doublons documentaires

Quatre techniques permettent d'opérationnaliser le fingerprinting à l'échelle d'un portefeuille : le hachage perceptuel d'image, le regroupement par métadonnées, l'analyse de graphe entre dossiers et les contrôles de vélocité.

Hachage perceptuel d'image (pHash)

Le hachage perceptuel (pHash) génère une empreinte numérique compacte à partir du contenu visuel d'une image, de sorte que deux images visuellement proches — même recadrées ou compressées différemment — produisent des empreintes presque identiques. Un document falsifié dont seuls le nom, la photo ou un montant ont été modifiés conserve une empreinte pHash à très forte similarité avec l'original, ce qui permet de le relier à un document déjà vu, même si le fraudeur a changé la résolution ou le format du fichier.

Regroupement par métadonnées

Le regroupement par métadonnées compare les propriétés invisibles des fichiers — logiciel d'édition, horodatage de création, appareil source — entre des documents censés provenir de dossiers sans aucun lien. Deux fiches de paie d'employeurs différents, éditées avec le même logiciel à trois minutes d'intervalle, constituent un signal de fabrication en série impossible à ignorer.

Analyse de graphe et de liens entre dossiers

L'analyse de graphe relie les dossiers au-delà du seul document : un même téléphone, une même adresse IP, un même compte de destination ou une même adresse postale sur plusieurs dossiers instruits séparément dessine la cartographie d'un réseau organisé plutôt qu'une série de fraudeurs isolés. Combinée au fingerprinting, elle révèle des clusters qu'aucune vérification dossier par dossier ne peut détecter.

Contrôles de vélocité sur la réutilisation

Les contrôles de vélocité mesurent la fréquence à laquelle un même document, ou un document quasi identique, réapparaît dans le flux entrant sur une fenêtre de temps donnée. Un pic de similarité concentré sur quelques jours et un même type de dossier constitue un indicateur précoce de campagne de fraude en série, souvent avant que les premiers dossiers n'aient causé de perte constatée.

Comment les équipes conformité et fraude doivent opérationnaliser le fingerprinting

Opérationnaliser le document fingerprinting suppose de constituer un historique documentaire centralisé, d'y appliquer les quatre techniques ci-dessus en continu, et de router automatiquement vers une revue humaine tout dossier présentant une similarité forte avec un document déjà enregistré. Cette couverture est élevée grâce à une analyse multi-couche combinant structure, métadonnées et cohérence inter-documents, condition nécessaire pour relier des dossiers instruits par des gestionnaires ou des agences différentes.

Cet historique soulève une exigence de protection des données : la conservation d'empreintes de documents identifiants relève du RGPD et doit respecter les principes de minimisation encadrés par l'Autorité de protection des données (APD/GBA). L'article 44 de la loi belge du 18 septembre 2017 impose de conserver les preuves des mesures de vigilance pendant dix ans à compter de la fin de la relation d'affaires (texte consolidé sur le portail belge de la législation), ce qui rend cet historique documentaire compatible avec le cadre légal existant plutôt que concurrent de celui-ci.

Trois principes structurent une mise en œuvre efficace :

• Centraliser l'historique documentaire entre canaux (agences, courtiers, plateforme digitale), sans quoi la comparaison inter-dossiers perd toute portée ;
• Calibrer les seuils de similarité : un formulaire administratif standard partagé légitimement entre milliers de clients ne doit pas déclencher les mêmes alertes qu'une fiche de paie individualisée ;
• Documenter chaque correspondance détectée, avec horodatage et méthode, pour appuyer une déclaration à la CTIF-CFI en cas de fraude organisée confirmée.

L'ENISA Threat Landscape 2024 souligne que l'essor des outils de génération de contenu synthétique abaisse le coût de production de faux documents à grande échelle, ce qui renforce la nécessité de détecter la réutilisation d'un même gabarit, pas seulement l'authenticité d'un document isolé.

Le fingerprinting comme complément, pas comme détection totale

Le document fingerprinting referme un angle mort spécifique — la fraude en série entre dossiers — mais ne remplace ni l'analyse forensique document par document ni la vérification d'identité en temps réel. Il s'ajoute à un dispositif multi-signaux : structure, métadonnées, typographie, et désormais comparaison inter-dossiers. La solution CheckFile de détection de deepfakes et de contenus générés par IA s'inscrit dans cette logique de signaux complémentaires plutôt que de détection exhaustive, en particulier face à des faux entièrement synthétisés sans trace de retouche classique.

Pour structurer un dispositif documentaire complet, notre guide de vérification des documents détaille l'articulation entre ces couches de contrôle. Les équipes bancaires trouveront des ressources sur la page vérification documentaire banque et KYC, et les repères de sécurité de la plateforme permettent d'évaluer la mise en œuvre à l'échelle d'un portefeuille.

Questions fréquemment posées

Le document fingerprinting remplace-t-il l'analyse forensique classique

Non. Le fingerprinting détecte la réutilisation d'un document entre plusieurs dossiers, tandis que l'analyse forensique (typographie, ELA, métadonnées) évalue l'authenticité intrinsèque d'un document isolé. Les deux répondent à des questions différentes et fonctionnent ensemble.

Quels documents belges sont les plus souvent réutilisés par les réseaux de fraude

Les fiches de paie, extraits de compte, justificatifs de domicile et, dans une moindre mesure, les cartes d'identité électroniques (eID) falsifiées reviennent le plus fréquemment, notamment dans les dossiers de crédit à la consommation et de location immobilière.

La conservation d'empreintes documentaires pose-t-elle un problème RGPD en Belgique

Elle constitue un traitement de données personnelles encadré par le RGPD et supervisé en Belgique par l'Autorité de protection des données (APD/GBA), avec des principes de minimisation et de durée de conservation proportionnée, en cohérence avec la législation LBC/FT.

Faut-il déclarer à la CTIF-CFI une fraude documentaire détectée par fingerprinting

Oui, pour les entités assujetties à la loi belge relative à la prévention du blanchiment de capitaux. Dès qu'une correspondance confirmée révèle une opération suspecte, une déclaration à la CTIF-CFI s'impose, quelle que soit la méthode de détection.

---

Sources et ressources complémentaires : FSMA — BNB / Banque Nationale de Belgique — CTIF-CFI — Autorité de protection des données (APD/GBA) — ACFE Report to the Nations 2024 — ENISA Threat Landscape 2024

Retour à l'accueil CheckFile.