L’identité en Équateur après les fuites

Toute vérification d’identité à distance en Équateur — ouvrir un compte, activer une ligne, verser un gain de pari, conclure une vente — se heurte désormais à un adversaire qui détient déjà les données qu’elle demande. Ce livre blanc expose ce qui a fuité, pourquoi la vérification par photo a cessé de prouver quoi que ce soit, ce que la puce OACI 9303 (ICAO 9303) prouve à la place, ce qu’en dit la loi sur la protection des données et comment une marketplace de voitures d’occasion met cette conception en pratique des deux côtés d’une vente.

• Les données d’identité des Équatoriens sont déjà publiques. La fuite Novaestrat de 2019 a exposé environ vingt millions d’enregistrements, dont dix-sept millions d’Équatoriens et 6,7 millions d’enfants [1]. En mai 2026, 14,8 millions de fiches d’identité et plus de dix millions d’images de pièces d’identité en haute résolution sont apparues sur des forums clandestins, avec des signatures et des données d’empreintes digitales [2].
• Demander ces données ne vérifie donc personne. Un numéro d’identité, une photo du document et un selfie sont trois choses qu’un attaquant peut obtenir ou fabriquer. La fraude à l’identité en Équateur a augmenté de 26 % sur un an [5], et le parquet général (Fiscalía) a enregistré 4 784 plaintes pour usurpation d’identité entre janvier et octobre 2025 [4].
• L’attaquant progresse plus vite que la défense qui le surveille. Les attaques par injection vidéo contre la vérification faciale sur iOS ont augmenté de 1 151 % au second semestre 2025, et les attaques par caméra virtuelle native de 2 665 % [6]. Scruter une image toujours plus attentivement perd du terrain à chaque génération de modèles.
• Une preuve ne se dégrade pas. La puce de la cédula à puce équatorienne (la carte d’identité nationale) et des passeports électroniques OACI porte la signature de l’État émetteur. La valider — la Passive Authentication — n’est pas le jugement d’une image, et la falsifier exige la clé privée de l’État, pas un meilleur modèle génératif. Comparer le visage en direct au portrait contenu dans cette puce signée prouve que la personne est bien le titulaire du document.

La loi règle le reste. Depuis mai 2023, la LOPDP sanctionne les infractions mineures de 0,1 % à 0,7 % et les infractions graves de 0,7 % à 1 % du chiffre d’affaires de l’année précédente [8], ce qui transforme une archive de copies de pièces d’identité en passif permanent. La meilleure façon de gérer des données sensibles est de ne pas les détenir : recevoir des faits, pas des fichiers.