Comment les crédits carbone fantômes et l'exploitation des portefeuilles d'identité remodèlent la fraude mondiale

Par Adrian Cheek, chercheur principal en cybercriminalité

Deux types de fraudes convergent actuellement sur la scène mondiale, et aucun n'a reçu l'attention qu'il mérite. Le premier concerne les crédits carbone et la conformité aux critères ESG, où une combinaison explosive de pressions politiques, de vérifications insuffisantes et d'énormes sommes d'argent a créé un terrain fertile pour la manipulation à grande échelle. 

La seconde concerne le déploiement des portefeuilles d'identité numérique soutenus par les gouvernements, une technologie qui promet de redéfinir la façon dont les gens prouvent leur identité, mais qui ouvre simultanément de nouvelles surfaces d'attaque que les criminels explorent déjà.

Ensemble, ces deux domaines représentent un changement majeur dans le paysage de la fraude. Ils transcendent les frontières, touchent les secteurs public et privé et révèlent des failles dans des systèmes conçus pour instaurer la confiance. Pour les professionnels de la lutte contre la fraude, les équipes de conformité et les enquêteurs du monde entier, il est désormais indispensable de comprendre l'évolution de ces marchés.

La question des crédits carbone : des milliards en jeu sans (presque) aucune garde-fou

Les marchés volontaires du carbone reposent sur un principe simple : une entreprise qui ne peut réduire immédiatement ses propres émissions peut financer des réductions vérifiées effectuées ailleurs, que ce soit par le biais du reboisement, d’énergies renouvelables ou de projets de captage du méthane dans une autre région du monde. Chaque réduction vérifiée donne droit à un crédit échangeable représentant une tonne de dioxyde de carbone éliminée ou évitée. L’entreprise annule ensuite ce crédit, comptabilise la compensation et rend compte de ses progrès vers ses objectifs climatiques.

Le problème, c'est que l'objet de la transaction est invisible. Un crédit carbone n'est pas un baril de pétrole entreposé. C'est une affirmation, étayée par des données, selon laquelle un événement s'est produit dans une forêt ou un village situé à des milliers de kilomètres de l'acheteur. Cet écart entre la réalité physique et l'instrument financier s'est révélé irrésistible pour les fraudeurs.

Des études indépendantes ont suggéré que le problème est colossal. Étude de Carbon Market Watch Il s'avère qu'environ un seul crédit carbone forestier certifié sur treize représente une réduction réelle des émissions. Une analyse distincte de 2023 On estime qu'à peine 12 % des compensations existantes procurent un réel bénéfice environnemental. Le reste, selon ces évaluations, est essentiellement sans valeur sur le papier, mais très rentable sur le plan financier.

Une fraude de 250 millions de dollars aux crédits carbone révélée 

En octobre 2024, la première action concertée de répression sur le marché volontaire du carbone a révélé l'ampleur du problème. La Commodity Futures Trading Commission (CFTC), la Securities and Exchange Commission (SEC) et le Département de la Justice des États-Unis ont intenté des poursuites parallèles contre CQC Impact Investors, un promoteur de projets basé à Washington. L'entreprise finançait des projets de foyers de cuisson et d'éclairage en Afrique subsaharienne, en Asie et en Amérique centrale. Les autorités de régulation ont allégué que d'anciens dirigeants avaient systématiquement manipulé les données d'enquêtes, gonflé les chiffres de réduction des émissions et soumis des rapports falsifiés aux registres et aux organismes de vérification tiers. Ce stratagème a généré des millions de crédits auxquels l'entreprise n'avait jamais droit. La SEC a qualifié l'offre aux investisseurs qui en a résulté de fraude de 250 millions de dollars.

Ce qui rend cette affaire particulièrement instructive, ce sont ses mécanismes. La fraude ne reposait pas sur une technologie sophistiquée. Elle a toutefois exploité la faiblesse d'un système de vérification qui dépend fortement des données autodéclarées par les promoteurs de projets, examinées par des organismes tiers aux ressources limitées et susceptibles de conflits d'intérêts. Verra, le principal registre de crédits carbone qui contrôle environ 70 % du marché, fait lui-même l'objet de critiques persistantes quant à la latitude qu'il accorde aux promoteurs de projets et à la pertinence de ses méthodes de contrôle. 

Le contexte politique complexifie encore la situation. En Europe, la directive sur le reporting de durabilité des entreprises étend l'obligation de publication d'informations climatiques à des dizaines de milliers d'entreprises. Aux États-Unis, la réglementation de la SEC exige une documentation vérifiable des émissions. Ces obligations engendrent une demande considérable de compensations carbone, alors même que les crédits de haute qualité restent rares. Ce déséquilibre est précisément ce qui attire les réseaux de fraude organisés.

Au-delà de l'écoblanchiment : la fraude carbone comme crime en col blanc

Pendant des années, le débat autour des crédits carbone douteux s'est concentré sur l'écoblanchiment : l'idée que les entreprises achetaient des compensations de faible qualité pour améliorer leur image sans avoir d'impact environnemental significatif. Cette vision réduisait le problème à un simple enjeu marketing. Or, les autorités de réglementation soulignent aujourd'hui qu'il s'agit également d'une infraction pénale.

La CFTC a créé un groupe de travail sur la fraude environnementale en 2023, spécifiquement chargé d'examiner les fraudes liées aux allégations environnementales sur les marchés du carbone et des critères ESG. L'action coordonnée contre CQC a constitué le premier résultat majeur de ce groupe de travail, et les responsables ont indiqué que ce ne serait pas le dernier. Les programmes de protection des lanceurs d'alerte sont considérés comme essentiels à la détection des fraudes, la CFTC appelant explicitement les acteurs du marché à signaler toute manipulation. Les types de fraudes sont variés :

• Lignes de base gonflées : Les promoteurs de projets peuvent exagérer les émissions de référence pour faire paraître les réductions plus importantes. 
• Données de distribution falsifiées : Les rapports surestiment le nombre de fourneaux distribués ou exagèrent l'efficacité de ces appareils.
• Allégations d'additionnalité mensongères : Les projets affirment que la réduction des émissions de carbone n'aurait pas eu lieu sans le financement par crédits, alors qu'en réalité, la forêt protégée n'a jamais été menacée d'exploitation forestière.
• Générique de Phantom : Dans les cas les plus extrêmes, des crédits sont accordés pour des projets qui n'existent que sur le papier.
• Blanchiment d’argent par le biais de projets de conservation : Au Brésil, des enquêteurs ont mis au jour des cas où des systèmes de crédits carbone auraient été utilisés pour dissimuler l'exploitation forestière illégale sur des terres protégées. Ces crédits servaient de mécanisme de blanchiment, permettant de faire passer le bois récolté illégalement pour un projet de conservation légitime. Des dynamiques similaires ont été observées en Asie du Sud-Est et dans certaines régions d'Afrique centrale, où la faiblesse des structures de gouvernance rend le contrôle encore plus difficile.

Pour les enquêteurs spécialisés dans la fraude, le constat est clair : les marchés du carbone constituent désormais un véritable domaine de criminalité financière, en pleine expansion, et non plus un simple risque d’atteinte à la réputation. La nature intangible de l’actif sous-jacent, la complexité des vérifications transfrontalières et le développement rapide des marchés, tant réglementaires que volontaires, créent un contexte propice à l’attraction d’acteurs criminels de plus en plus sophistiqués.

La porte est grande ouverte : pourquoi la fraude carbone n'a pas besoin du dark web

La fraude sur le marché du carbone présente une caractéristique frappante qui la distingue de nombreuses autres formes de criminalité financière : elle ne nécessite aucune infrastructure clandestine. Il n’existe ni forums du dark web servant de plateforme pour des crédits carbone fictifs, ni chaînes Telegram cryptées proposant des compensations frauduleuses. La raison est simple : le marché légitime lui-même souffre de contrôles si laxistes que les criminels peuvent agir au vu et au su de tous.

La société russe « HYDROMONO » propose des contrats garantis et des crédits carbone. (Flare lien vers la publication, inscrivez-vous à essai gratuit (pour y accéder si vous n'êtes pas déjà client)

CQC Impact Investors n'a pas eu besoin de chercher des acheteurs dans les recoins les plus obscurs d'Internet. L'entreprise a vendu des crédits carbone par l'intermédiaire de registres établis à certaines des plus grandes entreprises mondiales. Les opérations de blanchiment de bois au Brésil utilisaient de véritables projets REDD+ enregistrés auprès d'organismes de certification internationaux reconnus. Les crédits étaient numérotés officiellement, avaient fait l'objet de processus de vérification accrédités et étaient compensés par de véritables engagements climatiques d'entreprises. Chaque étape s'est déroulée en toute transparence.

Ce schéma n'est pas nouveau. Le système d'échange de quotas d'émission de l'UE a lui-même subi une vague de fraude dévastatrice entre 2008 et 2009, lorsque des réseaux criminels ont exploité les règles de la TVA pour mettre en place des systèmes de fraude sur les marchés officiels du carbone. Europol a estimé le préjudice à plus de cinq milliards d'euros de recettes fiscales européennes. Dans certains États membres, jusqu'à 90 % du volume total du marché durant cette période était imputable à des activités frauduleuses. Au Danemark, le gouvernement a finalement fermé plus d'un millier de ses quelque 1 200 comptes d'enregistrement au cours de l'enquête. La plateforme française d'échange de quotas d'émission BlueNext, où l'on estime que 90 % des transactions durant la période de fraude étaient illégitimes, a finalement conclu un accord avec le gouvernement et a cessé ses activités.

Ce qui a rendu possibles ces premiers systèmes, c'est la même faille structurelle qui permet aujourd'hui la fraude sur les marchés volontaires : les quotas et crédits carbone ont une valeur élevée, sont facilement transférables et, historiquement, n'ont fait l'objet que de contrôles d'identité minimes. À l'époque, les registres nationaux effectuaient leurs propres vérifications des titulaires de comptes, mais les exigences étaient loin d'égaler les normes de connaissance du client (KYC) en vigueur sur d'autres marchés financiers. Les criminels ont compris que la porte était non seulement déverrouillée, mais carrément grande ouverte.

Cela a des conséquences sur la manière dont les enquêteurs et les équipes de conformité doivent appréhender cette menace. La détection traditionnelle des fraudes se concentre souvent sur l'identification des activités ayant migré vers des canaux clandestins, la surveillance des places de marché du dark web, le suivi des groupes de messagerie chiffrée et le signalement des transactions suspectes hors plateforme. Sur les marchés du carbone, la fraude est intégrée à la chaîne de transactions légitimes. Les données manipulées se trouvent dans les déclarations aux registres officiels. Les crédits falsifiés portent les mêmes numéros de série et les mêmes marques de certification que les authentiques. La détection exige donc d'examiner non pas le lieu des transactions, mais l'intégrité des données sous-jacentes à chaque crédit, ce qui représente un défi d'enquête totalement différent.

Portefeuilles d'identité numérique : une nouvelle infrastructure de confiance, une nouvelle cible

Tandis que la fraude carbone exploite l'écart entre les émissions déclarées et les émissions réelles, une vulnérabilité parallèle émerge dans l'infrastructure conçue pour prouver l'identité des personnes. 

Partout en Europe, les gouvernements mettent en place des portefeuilles d'identité numérique, entrés en vigueur en mai 2024. Chaque État membre de l'UE doit proposer un portefeuille d'identité numérique national à ses citoyens d'ici fin 2026. Dès 2027, les secteurs réglementés, tels que la banque, l'assurance, les télécommunications et la santé, seront tenus d'accepter ces portefeuilles pour la vérification d'identité. Ces portefeuilles stockeront des justificatifs d'identité vérifiés, notamment les cartes d'identité nationales, les permis de conduire, les diplômes et les dossiers médicaux. Les citoyens pourront ainsi prouver leur identité et partager électroniquement certaines informations dans tous les États membres de l'UE. 

La surface d'attaque

Les avantages potentiels sont bien réels : une intégration plus rapide, une réduction des fraudes documentaires et un meilleur contrôle des données personnelles par l’utilisateur. Mais pour quiconque s’est penché sur la question de la fraude, cette architecture soulève des questions pertinentes.

Compromission de l'appareil et partage d'identifiants

Si un appareil est compromis par un logiciel malveillant ou une technique d'ingénierie sociale, et que sa sécurité repose principalement sur un code PIN ou une empreinte digitale, un attaquant pourrait potentiellement accéder aux identifiants du portefeuille à l'insu de son propriétaire. La réglementation définit trois niveaux de sécurité, du plus faible au plus élevé, mais de nombreuses transactions courantes peuvent se dérouler au niveau le plus élevé, où la vérification biométrique du titulaire du portefeuille n'est pas toujours requise lors du partage. 

Amplification d'identité synthétique

Se pose alors la question de ce qui se passe lorsque ces portefeuilles numériques deviennent la cible d'usurpations d'identité synthétiques. Les criminels combinent déjà informations réelles et falsifiées pour créer de fausses identités qui passent les contrôles classiques. Un portefeuille numérique gouvernemental regroupant plusieurs identifiants vérifiés pourrait, s'il était compromis, fournir une base bien plus convaincante pour les identités synthétiques que tout ce qui existe actuellement. Ces identifiants auraient la valeur d'attestations officielles, ce qui les rendrait plus difficiles à contester et plus faciles à utiliser à des fins malveillantes.

Attaques par deepfake et biométrie

Alors que la vérification biométrique devient la norme pour l'ouverture de comptes de portefeuilles numériques, les outils permettant de contourner ces contrôles s'améliorent en parallèle. Les attaques par présentation, les techniques de capture d'écran et l'imagerie faciale générée par l'IA constituent autant de menaces auxquelles les fournisseurs de portefeuilles devront faire face en permanence, non seulement au lancement, mais aussi au fur et à mesure de l'évolution de la technologie. Contrairement aux marchés du carbone, la fraude aux portefeuilles d'identité numérique est susceptible de développer une importante infrastructure clandestine. L'écosystème criminel est déjà en place et à l'affût. On estime à plus de 50 000 le nombre de groupes et de chaînes spécialisés dans la cybercriminalité opérant actuellement sur Telegram seulement, et qui y échangent des données. identifiants volés, kits de phishingLes réseaux de carding proposent des identités complètes et un accès aux comptes à très grande échelle. Ces identités sont vendues sous forme de « fullz », organisées par pays, banque et type de carte. 

Avec le déploiement des portefeuilles numériques dans les États membres de l'UE, il est raisonnable de s'attendre à ce que des identifiants de portefeuilles compromis, des attestations clonées et des kits d'ingénierie sociale ciblant spécifiquement les utilisateurs de portefeuilles numériques apparaissent sur ces canaux existants. Les outils, les réseaux d'acheteurs et l'infrastructure de distribution sont déjà en place. Ce qui manque, pour l'instant, c'est la cible. Cela changera fin 2026.

Cela crée un contraste intéressant avec la fraude carbone. Alors que les crédits carbone sont volés via les registres légitimes, l'exploitation des portefeuilles d'identité numérique impliquera presque certainement une importante composante clandestine, avec des identifiants compromis et des kits d'attaque échangés par les mêmes canaux cryptés qui alimentent actuellement l'économie cybercriminelle au sens large. Les enquêteurs et les chercheurs devront surveiller simultanément ces deux écosystèmes, en appliquant à chacun des méthodologies de détection fondamentalement différentes.

Les implications mondiales dépassent largement le cadre européen. Les pays d'Asie, d'Afrique et d'Amérique latine suivent de près le déploiement de l'identité numérique au sein de l'UE et développent leurs propres systèmes d'identité numérique. Le système Aadhaar indien, bien que structurellement différent, a déjà démontré à la fois la puissance et la vulnérabilité d'une identité numérique centralisée à grande échelle. Les schémas de fraude qui apparaîtront autour des portefeuilles numériques de l'UE seront très probablement reproduits et adaptés ailleurs.

Quand deux mondes se rencontrent

La fraude carbone et l'exploitation de l'identité numérique peuvent sembler être des problèmes distincts, mais elles présentent des similitudes structurelles. Toutes deux impliquent des actifs ou des identifiants immatériels, où l'écart entre la représentation numérique et la réalité physique ouvre la voie à la manipulation. Toutes deux se développent rapidement sous la pression réglementaire, avec des échéanciers qui privilégient le déploiement à la maturité en matière de sécurité. Et toutes deux opèrent au-delà des frontières, ce qui complique leur application.

Pourtant, elles diffèrent aussi sur des points essentiels pour leur détection. La fraude au carbone prospère au sein même des systèmes légitimes, exploitant les failles de vérification pour faire passer des données falsifiées par les voies officielles. La fraude aux portefeuilles d'identité numérique, lorsqu'elle atteindra une ampleur considérable, reposera probablement sur un modèle hybride : ingénierie sociale et compromission de l'appareil au moment de l'attaque, suivies d'une monétisation via des réseaux clandestins qui traitent déjà des milliards de dollars d'identifiants volés chaque année. Quiconque se concentre sur un seul type de fraude risque de passer à côté de l'autre.

Une connexion directe se profile également à l'horizon. Avec le renforcement des exigences en matière de reporting ESG et la maturation de l'infrastructure d'identité numérique, il est plausible que les transactions de crédits carbone nécessitent à terme des identités numériques vérifiées pour les acheteurs, les vendeurs et les promoteurs de projets. Si la couche d'identité est compromise, c'est l'intégrité du marché du carbone qui repose dessus qui est mise à mal. Un acteur malveillant utilisant une identité synthétique vérifiée via un portefeuille numérique compromis pourrait enregistrer des projets carbone, soumettre des données falsifiées et obtenir des crédits, tout en se faisant passer pour un acteur légitime et vérifié par les autorités.

Que peuvent faire les équipes de conformité maintenant

Pour les équipes de conformité, ces tendances convergentes exigent une attention immédiate, et non après que les premiers incidents majeurs aient fait la une des journaux. Les mesures de contrôle du marché du carbone de 2024 ont servi d'avertissement. Le déploiement des portefeuilles d'identité numérique en Europe en 2026 et 2027 marque une transformation profonde de la manière dont la confiance s'établit en ligne. Ces deux systèmes sont développés et déployés sous la pression politique et réglementaire, et leur maturité en matière de sécurité est en retard par rapport aux délais de déploiement. Les organisations les mieux placées pour réagir seront celles qui surveillent à la fois les chaînes de transactions légitimes où la fraude au carbone opère au grand jour et les canaux clandestins où l'exploitation des portefeuilles d'identité numérique s'implantera inévitablement. Ces deux catégories de fraude ne se développent pas isolément ; elles sont sur une trajectoire de collision, mais les acteurs de la défense peuvent garder une longueur d'avance grâce à une meilleure visibilité sur les activités des cybercriminels.