Les fausses cartes d'identité dans les dossiers d'entreprise
Introduction
Le 28 juillet 2026, la société Izymat, installée à Saint-Barthélemy-d'Anjou, est contactée par un individu se présentant comme le directeur financier de TotalEnergies. Soixante bâtiments modulaires sont commandés, puis livrés : 325 000 euros. La fausse pièce d'identité utilisée pendant les démarches commerciales a été retrouvée par les enquêteurs, et elle portait une photographie du vrai dirigeant, récupérée sur internet. Six hommes ont été mis en examen le 1er octobre 2026 à Angers pour escroquerie en bande organisée et placés en détention provisoire. L'enquête est en cours.
Ce dossier n'a rien d'une prouesse technique. Il n'a pas fallu tromper un expert en documents : il a fallu qu'une pièce d'identité au format PDF traverse un processus commercial qui ne comportait aucune étape d'authentification. C'est la situation ordinaire, et c'est le sujet de cet article.
La raison n'est pas que personne ne veut regarder. C'est que le registre qui dit si une carte d'identité française est valide est fermé aux entreprises, par un texte, depuis sa création en 2016. L'article suit cet ordre : la carte elle-même, le registre qui vous est fermé, puis les contrôles qui restent à votre portée.
Une carte très sûre, que vous ne voyez presque jamais
Depuis 2021, la carte nationale d'identité française est un titre électronique au format carte bancaire, en polycarbonate. Elle porte au verso une zone de lecture optique, la MRZ, et un composant électronique qui contient l'état civil, l'image du visage et les empreintes du titulaire, protégé par une signature électronique de l'État.
Contrefaire cet objet est difficile. Mais dans un dossier d'entrée en relation, de commande ou de crédit, ce n'est pas cet objet qui circule : c'est un scan ou une photographie, en PDF ou en JPEG. Les deux dispositifs qui font la valeur du titre, la matière et la puce, ne survivent pas à cette conversion.
C'est l'asymétrie qu'il faut avoir en tête avant toute discussion sur la qualité des faux : le document que vous recevez n'a pas les propriétés du document qu'on prétend vous présenter. Un fraudeur n'a pas à fabriquer une carte, il a à fabriquer l'image d'une carte.
Trois situations derrière « fausse carte d'identité »
Elles n'ont ni la même mécanique, ni les mêmes signaux, et les confondre conduit à chercher le mauvais indice.
Une pièce fabriquée de toutes pièces, ou un titre réel modifié. C'est la famille la mieux traitée par l'analyse technique, parce qu'une fabrication comme une retouche laissent des traces dans le fichier autant que dans l'image, et parce que la pièce devient presque toujours incohérente avec elle-même. C'est le cas du dossier d'Angers.
Une carte délivrée régulièrement par l'administration, sur la base d'actes d'état civil falsifiés. Il n'y a rien à détecter sur la pièce : elle est vraie, et toutes les vérifications qui portent sur elle répondent correctement. C'est le pendant, pour l'identité, du Kbis authentique obtenu au greffe sur de faux actes.
Aucune falsification : la carte est vraie et valide, elle appartient simplement à quelqu'un d'autre. Le délit est alors l'usurpation d'identité, distinct du faux. Aucun contrôle portant sur le document ne la révèle, par construction.
DOCVERIF, un registre réservé à l'État
Il existe un traitement du ministère de l'Intérieur dont l'objet est précisément celui-là. L'arrêté du 10 août 2016 crée DOCVERIF et lui donne pour finalité, à son article 1er, de faciliter le contrôle de la validité des documents émis par les autorités françaises et de lutter contre leur usage abusif, leur falsification et leur contrefaçon. L'article 2 le limite aux cartes nationales d'identité et aux passeports ; il a depuis été étendu aux titres de séjour comportant un composant électronique.
On l'interroge en saisissant le type et le numéro du document (article 5). Il répond si le titre est valide ou non, et, pour les seuls titres invalides, le motif et la date de l'invalidation (article 4).
Deux détails de ce texte méritent d'être lus.
L'article 3 pose qu'un document est valide dès lors qu'il a été délivré et remis à son titulaire et qu'il n'a pas été invalidé dans les bases de gestion, et il précise que l'expiration ne constitue pas, à elle seule, un motif d'invalidité. DOCVERIF ne répond donc pas à la question « cette carte est-elle périmée », mais à « ce numéro correspond-il à un titre qui existe et qui n'a pas été déclaré perdu, volé ou invalidé ».
L'article 6 réserve l'accès à des agents individuellement désignés et habilités, à raison de leurs attributions légales et dans la limite du besoin d'en connaître : officiers de police judiciaire, militaires de la gendarmerie nationale, agents du secrétariat général du ministère de l'Intérieur et agents de l'ANTS. L'article 7 ajoute comme destinataires les services déconcentrés, le ministère des Affaires étrangères et les autorités judiciaires. Aucune entreprise privée ne figure dans ce texte, et les consultations sont journalisées et conservées un an (article 10).
L'ouverture se fait par convention, au cas par cas. Les greffiers des tribunaux de commerce en sont l'exemple le plus net : après une expérimentation dans cinq greffes (Caen, Évry, Nîmes, Paris et Valenciennes), une convention signée le 2 novembre 2022 avec le ministère et l'ANTS a généralisé l'usage de DOCVERIF aux 141 greffes, dans le sillage du rapport d'évaluation du GAFI publié en mai 2022. Les greffes contrôlent donc désormais les pièces d'identité des dirigeants qui déposent au registre.
Votre client, votre fournisseur, votre emprunteur ou votre candidat à une location : non. Pour eux, la question « ce numéro de carte existe-t-il » n'a pas de réponse accessible.
Quatre contrôles praticables sans le registre
Quatre contrôles, par ordre croissant de solidité et décroissant de commodité.
La zone de lecture optique porte des chiffres de contrôle calculés sur les champs qu'elle contient. Modifier un caractère sans recalculer la clé produit une incohérence arithmétique, détectable sans aucun accès à une base. Ce contrôle est immédiat et gratuit, mais il faut savoir ce qu'il établit : une cohérence interne, pas une authenticité. Une MRZ parfaitement cohérente peut être entièrement inventée.
La carte porte au verso un cachet 2D-DOC, un code Datamatrix qui encode des champs d'état civil normalisés, nom, prénoms, sexe, nationalité et numéro du titre, accompagnés d'une signature de l'émetteur portant sur l'ensemble de la zone de données. Le lire avec un véritable lecteur 2D-DOC, et non avec une application QR code ordinaire qui se contente d'afficher le contenu sans vérifier la signature, établit que ces champs n'ont pas été modifiés.
C'est un bon dispositif, et c'est aussi celui dont on surestime le plus la portée. Il a trois angles morts, dont deux sont systématiquement exploités.
Le premier est de conception : le code n'encode aucune image. Un Datamatrix transporte quelques centaines d'octets de texte, pas une photographie. La signature ne couvre donc que les champs encodés, et toute altération hors de ce périmètre échappe au contrôle. Prendre une carte authentique et y remplacer la photographie laisse le 2D-DOC parfaitement valide : le code dit vrai sur un état civil, il ne dit rien du visage imprimé à côté. C'est exactement le montage du dossier d'Angers, où la photographie était celle d'une autre personne.
Le deuxième est opérationnel, et c'est le plus efficace. Une photographie floue, mal cadrée ou trop compressée empêche simplement la lecture du code. Le contrôle ne répond alors pas « invalide », il répond « illisible », et un dossier illisible est presque toujours traité comme un dossier sans 2D-DOC, donc accepté. Un fraudeur n'a aucun besoin de battre la signature : il lui suffit d'envoyer un mauvais scan, ce qui n'éveille aucun soupçon puisque c'est le cas d'une quantité de dossiers parfaitement légitimes.
Le troisième tient à l'interprétation : l'absence de 2D-DOC ne prouve rien. Beaucoup de documents authentiques n'en portent pas, et les anciennes cartes d'identité, encore valides et largement en circulation, n'en ont aucun. Un contrôle qui rejette sur l'absence du code produit du faux positif en masse ; un contrôle qui laisse passer sur l'absence du code ne contrôle rien.
La conséquence pratique est contre-intuitive mais décisive : ce qui doit déclencher une vérification, c'est l'illisibilité elle-même. Un code présent mais impossible à lire n'est pas un non-événement, c'est une information, surtout lorsqu'elle se répète chez le même interlocuteur ou qu'elle accompagne une opération inhabituelle.
La lecture sans contact du composant permet de vérifier la signature de l'État et de comparer les données de la puce à celles imprimées. C'est le contrôle le plus solide, et le moins praticable : il suppose une rencontre physique, ce que la plupart des parcours professionnels ont précisément supprimée.
C'est la voie qui change réellement la donne pour une entreprise. Depuis l'application France Identité, le titulaire génère un PDF signé électroniquement par le ministère de l'Intérieur, qui porte son état civil, le nom du destinataire, un motif facultatif et une date limite d'utilisation. La génération exige son code personnel et la lecture sans contact de sa carte. Un QR code et un service de vérification en ligne permettent au destinataire de contrôler l'authenticité du justificatif.
Ce dispositif déplace le contrôle de façon décisive : le destinataire ne regarde plus l'image d'un titre, il vérifie une signature de l'État, et la pièce n'est pas réutilisable pour un autre destinataire. Sa limite est l'adhésion : il faut que votre interlocuteur soit équipé et accepte de s'en servir, ce que vous ne maîtrisez pas.
Le piège du dossier d'Angers
Un détail de cette affaire mérite d'être isolé, parce qu'il contredit un réflexe répandu. La fausse carte portait la photographie du vrai dirigeant, prise sur internet, et le nom d'un vrai directeur financier d'un vrai groupe.
Dans ce montage, confronter la pièce aux sources publiques ne déclenche aucune alerte : la personne existe, elle occupe bien cette fonction, le groupe est bien celui qu'on annonce. La cohérence externe confirme au lieu d'avertir. C'est la faiblesse structurelle de tout contrôle qui se contente de vérifier que les informations annoncées sont exactes : plus le fraudeur emprunte une identité réelle et publique, plus il paraît cohérent.
Le contrôle qui tient dans ce cas ne porte ni sur la pièce ni sur la personne, mais sur le canal : joindre l'entreprise par une voie que vous avez choisie, et non par celle qu'on vous a donnée. C'est aussi la seule parade à la troisième situation décrite plus haut, l'usurpation d'un titre authentique.
Les peines encourues
Le faux commis dans un document délivré par une administration publique aux fins de constater un droit, une identité ou une qualité, ou d'accorder une autorisation, est puni de cinq ans d'emprisonnement et de 75 000 euros d'amende (article 441-2 du code pénal). En user est puni des mêmes peines.
Les peines passent à sept ans et 100 000 euros lorsque le faux ou son usage est commis de manière habituelle, dans le but de faciliter un crime ou d'assurer l'impunité de son auteur, ou par une personne dépositaire de l'autorité publique agissant dans l'exercice de ses fonctions. Le caractère habituel vise directement les montages en série, où la même méthode est appliquée à plusieurs victimes successives.
Comment Lysta traite le sujet
Les trois situations demandent trois contrôles différents, et aucun des trois ne consiste à mieux regarder l'image.
Les modèles repèrent les documents modifiés, retouchés ou générés artificiellement, les incohérences internes, les anomalies de la MRZ et la signature du 2D-DOC quand le scan permet de le lire. Surtout, l'échec de lecture est traité comme un résultat et non comme une absence de résultat : un cachet présent mais illisible est remonté, là où un parcours qui se contente d'OCR-iser la pièce pour en extraire des champs ne voit jamais qu'un contrôle n'a pas eu lieu.
Une identité ne s'arrête pas à un état civil : la question utile est de savoir si la personne détient effectivement la qualité qu'elle invoque pour engager une société. Dirigeant inscrit au registre, mandat, lien réel avec l'entité pour laquelle elle prétend agir. C'est ce qui sépare « cette personne existe » de « cette personne peut signer ».
Lysta reconstruit les liens entre sociétés, dirigeants et adresses. Une commande inhabituelle, un interlocuteur nouveau, une adresse de livraison sans rapport avec l'entité donneuse d'ordre : ces signaux n'apparaissent sur aucune pièce d'identité, et ce sont eux qui qualifient un dossier comme celui d'Angers bien mieux que la carte elle-même.
Conclusion
Le dossier d'Angers ne raconte pas une contrefaçon remarquable. Il raconte un processus commercial sans étape d'authentification, et un faux juste assez plausible pour le traverser. L'ordre des causes compte : ce n'est pas la qualité du faux qui a fait la perte, c'est l'absence de contrôle.
La carte d'identité française est un bon document de sécurité. Le problème n'est pas sa qualité, c'est que vous n'en voyez presque jamais une : vous voyez un fichier, et le registre qui pourrait répondre à son sujet vous est fermé par un arrêté de 2016.
La réponse n'est donc pas de mieux regarder, ni de se reposer sur le 2D-DOC, qui ne protège pas la photographie et disparaît dès que le scan est mauvais. Il faut déplacer le contrôle : cohérence interne de la pièce, vérification de la qualité invoquée et non du seul nom, choix du canal par lequel on rappelle, et, quand votre interlocuteur l'accepte, une preuve signée par l'État plutôt qu'une photographie d'un titre.
Sur des mécanismes voisins, voir nos analyses sur le faux Kbis, le vol de société et la fraude au président, ainsi que nos pages Fraude documentaire et Entrée en relation.
Sources
L'arrêté DOCVERIF et l'article 441-2 du code pénal sont cités de Légifrance, lus intégralement et article par article. Le communiqué des greffiers des tribunaux de commerce et la page France Identité ont également été lus intégralement. Aucun chiffrage du volume de fausses pièces d'identité en circulation n'est avancé ici. Les estimations qui circulent, de 200 000 à 400 000 victimes d'usurpation par an, remontent à une étude du CREDOC fondée sur une enquête de 2009 et des données de 2008, et nous n'avons trouvé aucune publication statistique publique récente qui les actualise. Le dossier Izymat est cité d'un article de presse locale, seule source publique que nous ayons identifiée : les faits décrits sont ceux d'une enquête en cours et n'ont pas été jugés.
- Arrêté du 10 août 2016 autorisant la création d'un traitement dénommé « DOCVERIF » (Légifrance, JORF du 19 août 2016) : finalité (art. 1er), documents couverts (art. 2), définition de la validité et sort de l'expiration (art. 3), données enregistrées (art. 4), mode d'interrogation (art. 5), accès limitatif (art. 6), destinataires (art. 7), journalisation des consultations (art. 10).
- Code pénal, article 441-2 (Légifrance) : cinq ans d'emprisonnement et 75 000 euros d'amende pour le faux dans un document délivré par une administration publique et pour son usage ; sept ans et 100 000 euros en cas de circonstance aggravante.
- Conseil national des greffiers des tribunaux de commerce, « Usurpation d'identité et criminalité financière » (novembre 2022) : expérimentation de DOCVERIF dans cinq greffes, convention du 2 novembre 2022 avec le ministère de l'Intérieur et l'ANTS généralisant son usage aux 141 greffes, dans le sillage du rapport d'évaluation du GAFI de mai 2022.
- ANTS, « Spécifications techniques des codes à barres 2D-Doc » (PDF) : structure du cachet, champs encodés et portée de la signature, qui couvre l'intégralité de la zone de données, en-tête et zone de message.
- France Identité, « Le justificatif d'identité à usage unique » : PDF signé électroniquement par le ministère de l'Intérieur, mentions portées, destinataire nommé, date limite d'utilisation, génération par code personnel et lecture sans contact de la carte, vérification par QR code et service en ligne.
- Ministère de l'Intérieur, « La puce de la nouvelle carte nationale d'identité » : contenu du composant électronique et protections associées.
- Presse locale (21 octobre 2026) : société Izymat contactée le 28 juillet 2026, soixante bâtiments modulaires livrés pour 325 000 euros, fausse pièce d'identité portant la photographie du dirigeant prise sur internet, six mises en examen le 1er octobre 2026 à Angers pour escroquerie en bande organisée.