World, soutenu par Sam Altman, a lancé son service de vérification d'identité biométrique pour les clients entreprises de Zoom dans le monde entier, permettant aux participants aux réunions d'afficher un badge confirmant qu'ils sont de vraies personnes.
Résumé
- World a lancé la vérification d'identité biométrique pour les clients entreprises de Zoom dans le monde entier, permettant aux participants d'afficher des badges confirmant leur identité.
- Le système compare les scans d'iris collectés via l'appareil Orb de World avec des selfies en direct et des flux vidéo avant d'émettre un Human Badge.
- Bain Capital, Pantera Capital et d'autres sociétés financières ont rejoint l'initiative d'identité pour les entreprises de World à la suite d'un pilote antérieur avec VanEck Funds.
- Le déploiement fait suite à des incidents d'usurpation d'identité par deepfake, notamment des attaques dans lesquelles des pirates présumés nord-coréens ont utilisé de fausses réunions Zoom pour cibler des entreprises de cryptomonnaies.
Selon un rapport de Fortune du 18 octobre, l'intégration World ID pour Zoom est désormais disponible via le Zoom Marketplace après une bêta limitée qui a débuté en avril avec VanEck Funds.
Le système utilise les informations biométriques collectées via l'appareil Orb de scan d'iris de World, un selfie en direct et le flux vidéo du participant pour confirmer que la personne assistant à une réunion correspond à l'individu vérifié.
Une fois l'authentification terminée, un Human Badge apparaît sur la vignette vidéo du participant, permettant aux autres personnes de la réunion de voir son statut de vérification.
World a déclaré que le service est destiné aux conversations professionnelles sensibles où les entreprises doivent vérifier que les participants n'utilisent pas d'identités générées par IA ou de flux vidéo manipulés.
« World ID for Zoom est conçu pour protéger les conversations sensibles et à enjeux élevés en prouvant qu'un humain réel et unique est présent », a déclaré l'entreprise dans un communiqué cité par Fortune.
Le lancement fait partie d'une nouvelle offre de vérification d'identité pour les institutions financières, avec Bain Capital, Pantera Capital et d'autres entreprises participant à l'expansion de ce projet pour les entreprises.
World ID for Zoom utilise trois vérifications pour authentifier les participants
Dans le cadre du processus de vérification, les employés doivent d'abord s'enregistrer auprès de World ID à l'aide de l'appareil Orb de l'entreprise, qui capture des images de leurs yeux et de leur visage pour établir qu'ils sont des individus uniques.
La documentation de configuration entreprise de World explique que l'authentification implique une comparaison cryptographique à trois voies entre la vérification Orb, un selfie en direct et l'image capturée pendant la réunion Zoom.
Les trois vérifications doivent correspondre avant que le participant ne reçoive un Human Badge.
Les employés peuvent effectuer leur vérification Orb initiale dans des lieux pris en charge ou via des appareils installés sur leur lieu de travail. Une fois vérifiés, ils connectent leur compte World ID à leur compte Zoom entreprise.
Pendant une réunion, l'application invite le participant à confirmer son identité via l'application mobile World ID. Une correspondance réussie active le badge, qui reste visible pour les autres participants.
La documentation technique de World indique que la comparaison biométrique a lieu sur le téléphone du participant. Selon l'entreprise, les informations biométriques ne sont pas partagées directement avec Zoom, qui reçoit plutôt des informations liées à la vérification.
L'entreprise maintient que son système utilise une technologie cryptographique pour confirmer l'identité d'une personne sans que ses informations biométriques sous-jacentes doivent être divulguées aux autres participants à la réunion.
Les administrateurs d'entreprise peuvent décider de la fréquence à laquelle les employés doivent renouveler leur vérification. La période d'authentification par défaut est de 24 heures, bien que les organisations puissent choisir des intervalles de 7, 15 ou 30 jours.
Un participant dont la vérification a expiré doit effectuer un autre contrôle par selfie en direct avant que le badge ne redevienne actif.
Le guide de support entreprise confirme que l'intégration fonctionne actuellement avec l'application de bureau de Zoom sur Windows et macOS et nécessite un compte entreprise.
Les utilisateurs ont besoin de l'application mobile World ID et d'une identité vérifiée par un Orb pour mener à bien le processus. Chaque World ID ne peut être lié qu'à un seul compte Zoom à la fois.
Les participants à la réunion peuvent voir le badge sans installer eux-mêmes l'application World, bien que l'accès au certificat d'authentification complet nécessite l'intégration.
Des entreprises financières rejoignent le déploiement de la vérification d'identité de World
World a introduit un package dédié à la vérification d'identité pour les entreprises financières, en parallèle de l'intégration avec Zoom.
L'offre combine son application d'identité existante, sa technologie de vérification vidéo et des outils permettant de connecter des agents IA à des utilisateurs humains vérifiés.
Selon The Block, l'entreprise a cité Bain Capital, VanEck Funds, OpenExchange et Outtake parmi ses partenaires de conception pour l'offre destinée aux services financiers. Cependant, l'annonce n'a pas identifié de banque ayant déjà déployé le package complet.
Les entreprises financières participant au déploiement peuvent installer des dispositifs Orb dans leurs bureaux, permettant aux employés de réaliser leur enregistrement biométrique sans se rendre dans des lieux de vérification publics.
Le système propose différents niveaux de vérification selon les exigences d'une organisation.
World propose des contrôles d'identité basés sur des documents, une vérification de présence en direct et son niveau de vérification le plus élevé, la Preuve d'Humanité, qui utilise le processus d'enregistrement Orb.
Le directeur produit de World, Tiago Sada, a déclaré à Fortune que la technologie de l'entreprise repose sur des logiciels open source et des méthodes cryptographiques destinées à protéger les informations personnelles.
L'entreprise a maintenu que son système de vérification d'identité ne nécessite pas de base de données centralisée contenant les enregistrements biométriques lisibles des utilisateurs.
L'offensive de World auprès des entreprises fait suite à une vente de jetons WLD de 52,5 millions de dollars annoncée en juillet, dont crypto.news avait précédemment rapporté qu'elle visait à soutenir l'expansion de son réseau d'identité.
Pantera Capital a dirigé le financement, tandis que Bain Capital Crypto, Eightco Holdings, Selini Capital et Susquehanna Crypto y ont participé.
La fondation a indiqué que les jetons achetés resteraient verrouillés pendant un an et que le financement soutiendrait les services de vérification d'identité pour les entreprises, les consommateurs et les agents IA.
À l'époque, World Foundation avait rapporté que plus de 39 millions de personnes avaient rejoint son réseau, dont plus de 18 millions avaient complété la vérification Orb.
L'organisation a déclaré que son protocole d'identité avait traité plus de 475 millions de preuves de vérification depuis son lancement, tandis que les intégrations de World ID incluaient Zoom, DocuSign, Okta, Vercel et Tinder.
World avait précédemment étendu son cadre AgentKit, permettant aux agents IA d'utiliser des identifiants liés à des utilisateurs humains vérifiés lors d'interactions avec des applications compatibles.
Le cadre a été conçu pour aider les services en ligne à distinguer l'activité automatisée autorisée par de vrais utilisateurs de l'activité générée par des bots non identifiés.
Des attaques Zoom par deepfake ont ciblé des entreprises de cryptomonnaies
Le déploiement commercial fait suite à plusieurs incidents au cours desquels des attaquants ont utilisé des appels vidéo manipulés pour usurper l'identité de dirigeants d'entreprise et de professionnels de l'industrie des cryptomonnaies.
En 2024, un employé de l'entreprise d'ingénierie britannique Arup a transféré environ 25 millions de dollars après que des escrocs ont utilisé la technologie deepfake pour usurper l'identité de hauts responsables de l'entreprise lors d'une vidéoconférence.
L'employé aurait cru que les personnes apparaissant dans la réunion étaient de véritables collègues et a ensuite autorisé des transferts vers des comptes contrôlés par les attaquants.
Des tactiques similaires ont été documentées dans des attaques contre des entreprises de cryptomonnaies.
La campagne impliquait que les attaquants organisent des réunions avec des victimes potentielles avant d'introduire de faux problèmes techniques nécessitant que les utilisateurs téléchargent de prétendues mises à jour logicielles.
Les chercheurs en sécurité ont lié les fichiers malveillants à des outils capables de voler des informations sensibles et de compromettre des portefeuilles de cryptomonnaies.
Une enquête distincte publiée en juillet a révélé que le groupe de hackers BlueNoroff, lié à la Corée du Nord, utilisait de fausses réunions Zoom et Microsoft Teams pour identifier des utilisateurs de cryptomonnaies et livrer des logiciels malveillants.
La société de cybersécurité JUMPSEC a récupéré le code source de l'infrastructure de phishing et a découvert que les attaquants pouvaient scanner les portefeuilles de cryptomonnaies avant de décider quelles victimes devaient recevoir des charges malveillantes.
Les outils prenaient en charge les systèmes Windows et macOS et pouvaient collecter des informations sur le navigateur, les données des portefeuilles de cryptomonnaies et les sessions Telegram.
Selon l'enquête, les attaquants commençaient fréquemment par compromettre un compte Telegram appartenant à une personne à laquelle la victime faisait déjà confiance.
Le compte volé était ensuite utilisé pour organiser une réunion via un site web de vidéoconférence frauduleux conçu pour ressembler à un service légitime.
Les chercheurs en sécurité ont documenté une autre variante dans laquelle les victimes étaient invitées à installer de fausses mises à jour de réunion contenant un logiciel malveillant d'accès à distance.
La fonction de vérification de World est spécifiquement conçue pour authentifier les participants aux réunions Zoom prises en charge. La documentation de l'entreprise n'établit pas que l'intégration peut empêcher les logiciels malveillants livrés via de faux sites web de réunion, des comptes de messagerie compromis ou des téléchargements malveillants.
La vérification biométrique de World fait face à un examen de confidentialité
L'utilisation des scans d'iris par World a attiré l'attention des autorités de protection des données dans plusieurs pays.
Les régulateurs en Espagne, au Kenya, au Brésil, en Indonésie, en Corée du Sud, à Hong Kong et aux Philippines ont enquêté ou restreint certains aspects des opérations de vérification biométrique du projet en raison de préoccupations liées aux données personnelles, au consentement et à la vie privée.
World a déclaré que son système de vérification utilise des protections cryptographiques destinées à maintenir les informations biométriques sensibles sous le contrôle des utilisateurs.
Le projet a continué d'étendre son réseau d'identité tout en développant des services de vérification supplémentaires pour les entreprises et les plateformes en ligne.
En juillet, World Foundation a introduit World ID 4.0, qui prend en charge les identifiants d'identité d'entreprise utilisant des preuves à divulgation nulle de connaissance.
La technologie permet aux applications prises en charge de vérifier certains attributs vérifiés sans recevoir toutes les informations personnelles associées à l'identité d'un individu.
La documentation d'entreprise de World indique que les organisations peuvent surveiller le statut de vérification des employés et gérer les exigences d'authentification via un portail administratif.
Les administrateurs peuvent voir si un employé détient un Human Badge actif et quand la période d'authentification expire.
Le système ne fournit pas aux administrateurs un historique complet des authentifications passées via cette vue de statut.
Selon World, les employés qui déconnectent leurs comptes Zoom de World ID perdent leurs badges de vérification actifs, et les enregistrements de liaison de compte associés sont supprimés.
La documentation d'assistance de l'entreprise indique que la suppression de l'application Zoom Marketplace seule ne supprime pas automatiquement la connexion entre le compte Zoom d'un utilisateur et World ID. Les utilisateurs doivent déconnecter les comptes via l'application World ID pour supprimer le lien.
