Les numéros d'immatriculation sont publics ; n'importe qui peut donc saisir le numéro d'une entreprise. Pour s'assurer que le demandeur représente bien l'entreprise, vérifiez son identité, comparez-la aux noms des dirigeants inscrits au registre et, si ces derniers ne sont pas nommés, demandez une preuve de leur pouvoir.
Un actionnaire personne morale n'est jamais le véritable bénéficiaire ; il représente un maillon incomplet de la chaîne de propriété. Analysez-le en tant qu'entité, remontez la chaîne jusqu'à identifier le véritable propriétaire, identifiez les maillons importants et faites remonter les problèmes non résolus.
Identifier les bénéficiaires effectifs en conciliant deux listes imparfaites, le registre et les déclarations du demandeur, puis vérifier pour chaque personne si elle détient un certain seuil de propriété et, si ce seuil n'est pas atteint, si elle exerce un contrôle par d'autres moyens. Vérifier chaque personne selon le niveau de détail requis par son rôle.
Une consultation du registre du commerce confirme l'existence de l'entreprise associée à ce numéro et indique ses dernières déclarations. Elle ne prouve cependant pas que le demandeur la représente, ni qui en est le véritable propriétaire, ni que l'activité commerciale est conforme aux déclarations. Chaque lacune nécessite une vérification distincte.
Le seuil de reconnaissance faciale est un choix stratégique entre accepter par erreur des imposteurs et rejeter par erreur de vrais clients. Définissez le seuil de réussite à partir de paires étiquetées de votre propre trafic, ajoutez une zone de révision juste en dessous et réévaluez ces deux paramètres en fonction de l'évolution de vos utilisateurs et de vos caméras.
La lecture de la puce d'un passeport électronique permet de prouver que les données ont été signées par l'État émetteur et n'ont pas été altérées, et, grâce à l'authentification active, que la puce n'est pas une copie. Elle ne permet cependant pas de prouver que le titulaire du passeport en est le propriétaire ; seule la comparaison du visage avec la photo de la puce le permet.
Un résultat de test de disponibilité affiché sur le téléphone est une déclaration faite par un appareil que l'attaquant peut contrôler. Considérez-le comme une donnée d'entrée, conservez l'enregistrement et revérifiez-le sur le serveur avant de prendre en compte le résultat.
Les défis gestuels conviennent à un large public et sont plus efficaces que les photos et les vidéos préenregistrées. Les défis avec flash d'écran ajoutent une séquence de couleurs aléatoire qu'une vidéo rejouée ou insérée ne peut pas contenir. Utilisez les deux lorsque le compte est suffisamment important pour justifier ces quelques secondes supplémentaires.
La vérification du NIN (Numéro national d'identification) confirme l'identité nationale enregistrée par la NIMC (National Information Management Commission). La vérification du BVN (Bank Verification Number) confirme l'identité enregistrée auprès du système bancaire nigérian. Un vNIN est un jeton préservant la confidentialité du NIN. Chaque vérification atteste de l'existence de l'enregistrement, et seule une photo prise en direct et comparée à la photo d'enregistrement prouve que le demandeur en est le propriétaire.
La lecture d'un document permet de vérifier son authenticité apparente ; la consultation du registre officiel confirme la délivrance de l'identité. Utilisez ce registre lorsqu'il existe et n'oubliez pas que ni l'un ni l'autre ne prouve que le demandeur est bien le propriétaire de l'identité tant que son visage n'a pas été comparé à une photo fiable.
Une vérification KYC ne prouve que trois choses : l’identité existe, les preuves sont authentiques et la personne photographiée en est bien le propriétaire. Elle ne dit rien sur les intentions et sa validité diminue dès qu’elle expire.