Juliana Braz : « On ne peut pas vérifier ce qu’on ne peut pas identifier de manière unique »

Juliana Braz dirige le développement international et joue également le rôle de porte-parole de Serpro, la colonne vertébrale technologique du gouvernement fédéral brésilien. À ce poste, elle fait dialoguer droit, administration publique et ingénierie pour s’attaquer à l’un des défis les plus complexes de l’État : prouver de façon fiable “qui est qui” à l’échelle nationale. Elle a fait ses armes en contribuant à transformer le permis de conduire papier brésilien en CNH numérique, un document primé à plusieurs reprises, et est devenue depuis une voix claire et pragmatique sur l’identité numérique, la prévention de la fraude et les droits des citoyens. Pour Juliana, l’identité est un bien public, et le principe de « security by design » n’est pas négociable : biométrie et tokenisation uniquement là où elles renforcent réellement la confiance ; conformité stricte à la LGPD et contrôle d’accès basé sur les rôles pour protéger la vie privée ; et parcours inclusifs afin que la technologie ne laisse personne au bord de la route.

Elle défend le modèle de niveaux d’assurance de Gov.br (Bronze, Argent, Or) comme une véritable feuille de route pour une confiance extensible, tout en plaidant pour l’interopérabilité entre les silos de données afin de stopper les identités synthétiques et les réseaux d’ingénierie sociale. Lucide sur les risques liés aux deepfakes et aux attaques par SIM swap, elle insiste sur la nécessité de faire évoluer la culture et la formation au même rythme que les outils. En regardant vers l’avenir, elle imagine un écosystème articulé autour du CPF qui progresse vers l’SSI (Self-Sovereign Identity), avec Serpro comme couche de confiance souveraine du Brésil et comme hub d’intelligence anti-fraude en temps réel.

Question : Juliana, votre parcours combine droit, administration publique et technologie. Qu’est-ce qui vous a motivée à vous spécialiser sur les sujets d’identité et de fraude dans votre rôle chez Serpro ?

Ma motivation à me spécialiser dans l’identité et la fraude chez Serpro vient directement de mon expérience pratique dans le développement de systèmes nationaux critiques. J’ai commencé ma carrière chez Serpro en travaillant sur la base de données existante du permis de conduire national (CNH), qui était déjà l’une des principales sources d’identification au Brésil.

C’est en participant activement au projet de création de la CNH numérique — une initiative qui a transformé un document physique en un titre numérique hautement sécurisé, reconnu à l’échelle nationale par des prix importants comme l’iBest — que je suis devenue profondément passionnée par ce domaine. J’ai compris que l’identité est l’actif le plus fondamental de l’administration publique et que la technologie est la meilleure réponse aux problématiques complexes de confiance et de fraude à grande échelle.

Ma spécialisation chez Serpro est donc l’évolution logique de ce travail. Je m’appuie sur ma formation en administration publique et mes connaissances techniques pour comprendre où se situent les vulnérabilités dans les processus (là où la fraude survient), puis j’applique les technologies les plus avancées — comme la biométrie et la tokenisation — pour concevoir des solutions de sécurité robustes, qui protègent le citoyen tout en garantissant l’intégrité de la numérisation de l’État.

Question : En tant que manager au sein d’une institution clé pour la numérisation des services publics, qu’avez-vous appris sur la valeur de l’identité numérique pour les citoyens et pour l’État ?

Mon expérience de pilotage des initiatives de numérisation gouvernementale m’a appris que la valeur de l’identité numérique est absolument structurante : c’est le moteur central d’un État moderne, efficace et inclusif. Il ne s’agit pas seulement d’une mise à niveau technologique ; c’est une redéfinition de la relation entre le citoyen et l’administration, qui transforme des inefficacités historiques en services agiles et fiables.

Pour le citoyen, la valeur se trouve dans l’inclusion universelle et l’accès simplifié. L’identité numérique supprime la nécessité de se déplacer physiquement, de faire la queue et de gérer des piles de formulaires, permettant à des millions de personnes d’accéder à des services essentiels de n’importe où, à tout moment, et garantissant que les droits atteignent effectivement ceux qui en ont besoin. De plus, une identité numérique solide, souvent adossée à la biométrie, est bien plus sûre contre la fraude que les documents physiques. Elle protège l’individu contre l’usurpation d’identité et lui donne aussi un contrôle accru sur ses propres données.

Pour l’État, l’identité numérique est le pilier de la bonne gouvernance et de l’intégrité budgétaire. Elle génère de l’efficacité et des économies en standardisant et en automatisant les processus d’authentification dans toutes les administrations. Surtout, c’est l’outil anti-fraude le plus puissant. En s’assurant que chaque citoyen est un individu unique et vérifiable, l’État garantit que les fonds publics — allocations sociales, aides d’urgence, etc. — sont versés uniquement au bon bénéficiaire, évitant détournements et paiements en double.

Enfin, l’identité numérique permet de consolider et de croiser de manière sécurisée les données entre silos gouvernementaux, offrant une vue unique et fiable du citoyen pour élaborer des politiques publiques plus efficaces et mieux ciblées.

Question : La fraude à l’identité est un défi permanent au Brésil. De votre point de vue, quelles sont aujourd’hui les principales vulnérabilités exploitées par les criminels ?

La fraude à l’identité au Brésil est un problème persistant que les criminels exploitent de manière stratégique en frappant à l’intersection des systèmes legacy, de la prolifération de données volées et de la fragilité humaine. Du point de vue de la numérisation et de la sécurité, les vulnérabilités commencent par les fuites de données personnelles. Le carburant principal de la fraude est l’énorme volume de données personnelles volées ou divulguées — CPF, nom de la mère, date de naissance, etc. — disponibles sur le dark web et utilisées comme base pour l’ouverture massive de comptes frauduleux et des campagnes d’ingénierie sociale.

Les criminels tirent également parti de la fragmentation des registres en créant des identités synthétiques, combinant un CPF volé mais légitime avec des données fictives pour franchir les premiers contrôles d’onboarding dans des secteurs qui n’ont pas de vision unifiée du citoyen.

Ensuite, ils sont maîtres dans l’art d’attaquer les processus et le maillon le plus faible de tout système : l’être humain. L’ingénierie sociale et le phishing restent des tactiques extrêmement efficaces : les fraudeurs utilisent les données divulguées pour construire des scénarios très convaincants et amener la victime à fournir elle-même ses codes de sécurité. De même, l’attaque par SIM swap exploite une vulnérabilité procédurale chez les opérateurs télécoms : en transférant le numéro de la victime sur une nouvelle carte SIM, le criminel reçoit les codes d’authentification multi-facteurs (MFA) par SMS et contourne ainsi la sécurité applicative.

Enfin, les systèmes legacy perpétuent les vulnérabilités : la multiplicité historique des documents d’identification et la dépendance aux procédures manuelles facilitent la falsification et l’utilisation de documents volés. À cela s’ajoutent des menaces technologiques émergentes qui mettent à l’épreuve les nouvelles défenses. À mesure que la biométrie faciale devient la norme, les criminels investissent dans des vidéos deepfake et des masques numériques de haute qualité pour tromper les mécanismes de vérification de “preuve de vie” lors de l’ouverture de comptes. Les attaques sur la chaîne d’approvisionnement (supply chain) se sophistiquent également, ciblant de petits prestataires tiers moins protégés afin de voler des données sensibles ou d’injecter du code malveillant dans des systèmes largement utilisés.

Question : Le Brésil a investi dans la biométrie et les solutions numériques pour authentifier des millions de personnes. Selon vous, qu’est-ce qui fonctionne bien et quelles limites persistent encore ?

L’engagement du Brésil en faveur de la biométrie et des solutions numériques pour l’authentification de masse est pionnier. Nous avons obtenu des résultats significatifs, en particulier dans la consolidation de données clés, mais nous faisons encore face à des défis importants à surmonter pour atteindre une sécurité numérique véritablement universelle.

La plateforme Gov.br, qui s’appuie sur une authentification via correspondance avec les bases officielles du gouvernement (comme la base des permis CNH/Denatran et l’administration fiscale fédérale), est une grande réussite. Elle utilise des niveaux d’authentification gradués (Bronze, Argent, Or), incitant les citoyens à renforcer leur niveau de sécurité grâce à la biométrie, et elle fournit à l’État une couche robuste d’identité numérique vérifiée pour accéder à des milliers de services.

Cependant, nous luttons encore contre l’absence d’une interopérabilité fluide entre les grandes bases de données publiques. Nous avons plusieurs “silos” biométriques de très bonne qualité qui ne communiquent pas encore pleinement et aisément entre eux. Cette fragmentation oblige les organismes à répéter des vérifications redondantes et complique la construction d’un véritable historique d’identité unifié pour chaque citoyen.

Question : Lorsqu’on parle de technologies anti-fraude, beaucoup de gens ne pensent qu’aux outils. D’après votre expérience, quelle est l’importance de la culture organisationnelle et de la formation des équipes dans la prévention de la fraude ?

C’est un point essentiel. Alors que le grand public se focalise souvent sur les outils de pointe — biométrie, IA, chiffrement — mon expérience montre que la culture organisationnelle et la formation des équipes sont tout aussi importantes que la technologie elle-même, voire plus.

Le succès de la lutte anti-fraude repose sur un triangle : Technologie, Processus et Personnes. Si les côtés “Personnes” et “Culture” sont faibles, même la technologie la plus avancée échouera.

Une culture anti-fraude forte doit partir du sommet et imprégner tous les niveaux de l’organisation. Elle transforme la prévention de la fraude d’un simple exercice de conformité en une véritable valeur centrale du métier. La technologie fournit les alertes, mais ce sont les personnes bien formées qui apportent le contexte, l’analyse et la réponse rapide.

Question : Chez Serpro, vous travaillez avec des données à très grande échelle. Comment conciliez-vous le besoin de sécurité et de précision de l’identification avec le respect de la vie privée et des droits des citoyens ?

Travailler avec des données publiques à très grande échelle dans une institution comme Serpro exige une approche rigoureuse pour équilibrer trois besoins tout aussi critiques : la sécurité (prévenir la fraude), la précision (bien identifier la personne) et la vie privée (les droits des citoyens).

Cet équilibre ne se réalise pas grâce à un outil unique, mais via un cadre profondément intégré de gouvernance, de technologie et de conformité juridique.

Le point de départ est le respect strict de la loi, en particulier de la Lei Geral de Proteção de Dados (LGPD) brésilienne. C’est le socle juridique non négociable. Nous appliquons le principe du “need-to-know” : la collecte et l’utilisation des données sont strictement limitées à ce qui est absolument nécessaire à la prestation du service. Par exemple, pour vérifier la majorité d’un utilisateur, nous n’accédons qu’à sa date de naissance, pas à son adresse ni aux noms de ses parents. Cela est intégré dans l’architecture dès la conception. De plus, chaque requête ou transfert de données doit avoir une finalité licite, claire et spécifique. Nous veillons à ce que des données collectées à des fins fiscales ne soient pas utilisées de manière indiscriminée dans un service de santé, sauf autorisation légale ou consentement explicite. Nous informons également les citoyens des données utilisées et des raisons, et nous respectons pleinement leurs droits au titre de la LGPD, notamment le droit d’accéder à leurs données, de les corriger ou d’en demander l’anonymisation lorsque la loi le permet.

La technologie est utilisée pour sécuriser les données et garantir leur utilisation correcte, et non pour maximiser l’accès. L’accès aux données d’identification sensibles est compartimenté, surveillé et fortement restreint. Nous appliquons un contrôle d’accès basé sur les rôles (RBAC) strict afin que seules les personnes autorisées puissent manipuler ces données, et chaque accès est journalisé et auditable. Pour les tâches d’analyse des schémas de fraude, de tests qualité ou de machine learning, nous privilégions des données anonymisées (sans identifiants personnels) ou pseudonymisées (identifiants remplacés par des tokens). Cela permet d’extraire des tendances sans exposer l’identité des individus. Les données sont chiffrées aussi bien en transit (lorsqu’elles circulent entre systèmes) qu’au repos (stockées en base). De plus, nous utilisons la tokenisation pour l’identité numérique, en remplaçant les données sensibles — comme le CPF complet — par un token numérique dénué de sens en tant que tel, afin de minimiser l’exposition d’informations.

Question : Ces dernières années, on a vu émerger des fraudes plus sophistiquées, comme les deepfakes ou les identités synthétiques. Comment évaluez-vous la capacité du Brésil à anticiper ces menaces émergentes ?

Des menaces sophistiquées comme les deepfakes et la fraude par identité synthétique représentent le front avancé de la cybercriminalité et imposent de passer d’une défense réactive à une anticipation proactive.

La capacité du Brésil à gérer ces menaces est contrastée : nous avons de solides atouts en matière de données à grande échelle et de cadre réglementaire, mais nous souffrons encore de lacunes en intelligence unifiée et en maturité technologique.

Le plus grand atout du Brésil, ce sont ses données vastes et de haute qualité. Des institutions publiques comme Serpro gèrent des données biométriques et d’état civil à l’échelle nationale. Ce vaste ensemble de données vérifiées est la meilleure défense contre les identités synthétiques, car il devient très difficile de fabriquer une identité fictive unique capable de franchir des vérifications croisées rigoureuses. L’existence de la LGPD contraint les organisations à intégrer le “security by design” dès la conception et renforce la responsabilité. Cette pression réglementaire encourage un investissement continu dans la sécurité avancée, incluant des outils pour détecter les manipulations de données sophistiquées.

Le secteur bancaire et fintech brésilien, très compétitif et fortement numérisé, joue aussi un rôle de laboratoire permanent. Ces institutions déploient rapidement des techniques anti-fraude avancées, comme la biométrie comportementale en temps réel et des mécanismes de liveness renforcés en reconnaissance faciale, ce qui élève en permanence le standard du marché face aux deepfakes et aux attaques de présentation.

Malgré ces forces, des écarts structurels et technologiques freinent notre capacité à vraiment anticiper ces menaces. Les données existent, mais l’intelligence reste souvent enfermée dans des silos. Les fraudeurs, eux, partagent leurs méthodes à l’échelle mondiale et presque instantanément. Pour anticiper, le secteur public (police, administration fiscale, justice électorale) et le secteur privé (banques, télécoms) doivent créer un hub d’intelligence sur les menaces, en temps réel et juridiquement solide. Sans cela, une identité synthétique détectée dans une banque pourra continuer d’être utilisée longtemps dans une administration, ou l’inverse.

De plus, la technologie de génération de deepfakes devient moins chère et plus accessible bien plus vite que la technologie de détection. Le Brésil doit investir davantage et de façon coordonnée dans des techniques d’anti-spoofing basées sur l’IA, qui vont au-delà des simples tests de liveness et analysent les signaux physiologiques subtils ou les artefacts dans le flux vidéo. Cela nécessite une R&D soutenue et un haut niveau d’expertise, encore concentré dans quelques laboratoires privés de sécurité.

Enfin, la régulation est souvent réactive, “fermée après le cambriolage”. Anticiper exige que les autorités de régulation publient des lignes directrices non seulement sur les vulnérabilités actuelles, mais aussi sur les vecteurs d’attaque potentiels, en modélisant activement la manière dont des technologies comme l’IA générative et l’informatique quantique pourraient fragiliser les protocoles de sécurité existants.

En résumé, le Brésil dispose de la puissance de données nécessaire pour lutter contre les identités synthétiques et de la dynamique de marché pour réagir aux deepfakes. Mais pour réellement anticiper ces menaces, nous devons prioriser le partage d’intelligence entre secteurs et investir dans une R&D défensive basée sur l’IA, afin que la défense soit aussi agile que l’attaque.

Question : D’après votre expérience directe, quels sont les facteurs de succès critiques dans un projet public de vérification d’identité : technologie, gouvernance des données, collaboration inter-agences… ou autre chose ?

Mon expérience directe montre que le succès d’un projet public de vérification d’identité repose avant tout sur une triade de fondations non purement techniques, la technologie n’étant qu’un facilitateur.

Le premier facteur décisif est la gouvernance des données et l’unicité. Sans norme nationale unique et sans garantie que les données de base soient propres, exactes et continuellement mises à jour, toute solution biométrique ou numérique avancée construite par-dessus finira par échouer ; en d’autres termes, on ne peut pas vérifier ce qu’on n’est pas capable d’identifier de manière unique.

Deuxièmement, la collaboration inter-agences est absolument cruciale. Le succès ne vient pas de la construction d’un meilleur silo, mais de la transformation d’administrations isolées en un réseau de vérification unifié et de confiance, capable de partager l’intelligence et de croiser les informations en temps réel.

Enfin, le projet doit être guidé par l’ergonomie (usability) et l’inclusion. Le système doit être suffisamment sécurisé pour lutter contre la fraude, mais aussi assez simple pour atteindre une adoption proche de 100 % par les citoyens. Cela implique de proposer des parcours de vérification multiples et accessibles, afin que la sécurité ne devienne pas un mur qui exclut les populations les plus vulnérables.

Question : Si l’on pense à l’inclusion financière et à l’accès aux services, comment éviter que les systèmes anti-fraude ne deviennent des barrières pour les citoyens vulnérables qui n’ont pas tous les documents ou la technologie nécessaires ?

Le paradoxe, c’est que la sécurité ne doit pas se transformer en barrière. Pour éviter que les systèmes anti-fraude n’excluent les citoyens vulnérables, il faut passer d’une logique de conformité rigide à une logique d’“inclusion by design”.

Nous recourons à une authentification à plusieurs niveaux, comme les niveaux de Gov.br. Un service simple ne demande qu’un niveau de sécurité faible, tandis que les services à haut risque (paiement de prestations, par exemple) exigent une vérification biométrique complète. Cela permet à la majorité des personnes d’accéder facilement aux services courants, tout en réservant les contrôles les plus stricts aux opérations les plus sensibles.

Il est également indispensable de maintenir des points de vérification avec assistance humaine (centres de services publics, guichets dédiés). Pour les personnes sans smartphone ou sans connexion Internet stable, un agent formé doit pouvoir valider leur identité, comblant ainsi le fossé numérique.

Le système doit aussi accepter des preuves d’identité alternatives et s’appuyer sur des données historiques (fiscales, de santé, etc.) plutôt que d’exiger un document unique et “parfait”. En bref, la sécurité doit être conçue pour trouver des moyens de dire « Oui, c’est bien vous » via plusieurs parcours accessibles, plutôt que de se comporter comme un mur que seuls les plus à l’aise avec la technologie peuvent franchir.

Question : Juliana, si vous pouviez conseiller un jeune professionnel qui débute dans la conformité et la prévention de la fraude, quel type d’expérience ou d’apprentissage lui recommanderiez-vous de privilégier ?

Au-delà des connaissances techniques, je recommande vivement de rechercher de l’expérience opérationnelle et de vraies “histoires de terrain”. La théorie ne suffit pas. Il faut comprendre l’ensemble du cycle de vie de la fraude, soit en accompagnant l’équipe de réponse aux incidents, soit en cartographiant les processus métier de bout en bout.

Le criminel cible toujours la faille la plus fragile d’un processus ; apprendre à penser comme un attaquant — tout en sachant collecter les preuves et coordonner la réponse sous pression — est donc la formation la plus précieuse que l’on puisse recevoir. Cette expertise transversale est ce qui transforme un spécialiste de la conformité en un leader indispensable.

Question : Enfin, si l’on se projette dans dix ans, comment imaginez-vous l’écosystème d’identité numérique du Brésil et quel rôle Serpro devrait-il jouer dans ce scénario ?

Dans dix ans, j’imagine l’écosystème d’identité numérique du Brésil pleinement consolidé, avec le CPF comme identifiant unique et de référence, et le pays en marche vers un modèle d’identité auto-souveraine (Self-Sovereign Identity, SSI). Cela signifie que l’identité numérique sera un titre privé chiffré, géré par le citoyen sur son appareil mobile, lui permettant de partager uniquement les données nécessaires (par exemple, prouver sa majorité sans révéler sa date de naissance). Ce socle éliminera la fragmentation actuelle des bases de données et permettra une vérification en temps réel, à haute intégrité, pour l’ensemble des services publics et privés.

Surtout, ce système s’intégrera naturellement aux modèles économiques de demain, en fournissant le niveau de confiance numérique nécessaire pour l’adoption à grande échelle de nouvelles technologies.

Le rôle de Serpro dans ce futur doit évoluer : passer du statut de fournisseur d’applications spécifiques à celui de “Sovereign Trust Enabler” et de “hub d’intelligence” pour le gouvernement fédéral. Concrètement, cela signifie que Serpro doit maintenir l’infrastructure critique et sécurisée qui héberge les données fondamentales, et exploiter l’échelle massive de ces données pour offrir une intelligence anti-fraude avancée en temps réel, sous forme de service. Serpro doit devenir la couche primaire de confiance qui vérifie les données biométriques et d’état civil d’une personne auprès des sources officielles pour l’ensemble des services publics.

En se concentrant sur la sécurité et l’intégrité des données, Serpro permettra aux autres agences publiques et aux entreprises d’innover sans avoir à reconstruire, à chaque fois, le socle de vérification d’identité.