Google lance le selfie vidéo pour sécuriser la récupération de compte

Le 23 juillet 2026, Google a commencé à déployer à l'échelle mondiale une nouvelle option de connexion par selfie vidéo pour la récupération de compte. Repérée par Wired (Reece Rogers), la fonctionnalité s'appuie sur des outils de détection de vivacité (liveness detection) pour vérifier qu'un vrai visage humain se trouve bien face à la caméra, et non une photo, une vidéo rejouée ou un deepfake généré par IA.

Ce n'est pas un simple gadget. C'est une réponse directe à un problème devenu concret : les outils de génération vidéo par IA permettent aujourd'hui de fabriquer des visages et des voix crédibles en quelques minutes, et les flux de récupération de compte (ceux qu'on utilise quand on a perdu l'accès à son téléphone ou à son adresse de secours) comptent parmi les maillons les plus exposés à ce genre de manipulation.

Pourquoi la récupération de compte est le point faible

Un mot de passe se devine, se phishe ou se réutilise. Une question de sécurité (« le nom de votre premier animal ») se retrouve souvent en quelques minutes sur les réseaux sociaux. Un SMS de secours s'intercepte via SIM swap. Mais le vrai changement de ces dernières années, c'est l'entrée en scène du deepfake dans les scénarios d'ingénierie sociale : appel vidéo truqué vers un support client, usurpation vocale d'un dirigeant, faux justificatif d'identité généré par IA. Les procédures de récupération de compte, historiquement pensées pour vérifier « est-ce bien vous », n'étaient pas conçues pour résister à un visage ou une voix synthétiques suffisamment convaincants.

Comment fonctionne le selfie vidéo avec détection de vivacité

Concrètement, la détection de vivacité ne se contente pas de comparer une photo à une autre. Elle analyse des signaux qu'une image statique ou une vidéo pré-enregistrée ne peuvent pas reproduire naturellement : micro-mouvements du visage, texture de peau en trois dimensions, réaction de l'éclairage en temps réel, cohérence entre le geste demandé et le flux vidéo capturé. L'objectif est de rendre beaucoup plus difficile le fait de tromper le système avec une simple photo volée sur un réseau social ou avec un deepfake vidéo préparé à l'avance.

Selon Wired, Google positionne explicitement cette option comme une parade aux risques de deepfake, et non comme un simple confort d'usage. Le choix du mot « vivacité » (liveness) dans la communication est révélateur : l'enjeu n'est plus seulement de vérifier une identité, mais de vérifier qu'il y a bien une personne réelle, vivante, présente au moment de la demande.

Un déploiement mondial, ciblé sur la récupération de compte

Le rollout annoncé est mondial, mais il concerne pour l'instant spécifiquement les scénarios de récupération de compte, pas la connexion standard au quotidien. En clair : c'est l'option qui doit apparaître quand vous avez perdu l'accès à votre compte Google (téléphone perdu, adresse de secours obsolète, deuxième facteur inaccessible) et qu'il faut prouver que vous êtes bien le propriétaire légitime, sans les moyens de vérification habituels.

Ce que vous pouvez faire dès maintenant

Le déploiement se faisant progressivement, l'option peut ne pas encore être visible sur votre compte. Trois réflexes à adopter en attendant :

• Vérifiez vos options de récupération sur myaccount.google.com, rubrique Sécurité : numéro de téléphone et adresse e-mail de secours à jour, c'est la base avant même de parler de selfie vidéo.
• Activez une clé d'accès (passkey) si ce n'est pas déjà fait. C'est complémentaire : la passkey sécurise la connexion normale, le selfie vidéo sécurise le scénario de récupération d'urgence.
• Sensibilisez vos équipes si vous gérez des comptes Google Workspace en entreprise : un appel vidéo ou une demande de support « urgente » invoquant la voix ou l'image d'un dirigeant doit désormais être traité avec la même méfiance qu'un e-mail de phishing.

Ce que ça implique pour les PME françaises

Deux points à surveiller. D'abord, sur le plan réglementaire : un selfie vidéo constitue une donnée biométrique au sens du RGPD, une catégorie de données à traitement particulier. Si votre entreprise s'appuie sur des comptes Google pour l'authentification de ses outils (Workspace, SSO), il est légitime de comprendre où et comment cette donnée est traitée avant de la recommander en interne, notamment pour les comptes à privilèges (finance, direction).

Ensuite, sur le plan opérationnel : les comptes les plus exposés aux tentatives de deepfake ne sont pas les comptes personnels, mais les comptes professionnels avec accès à la trésorerie, aux systèmes de paiement ou aux données clients. Si vous êtes DSI ou dirigeant de PME, c'est le bon moment pour revoir qui a accès à quoi, et avec quel niveau de vérification en cas de perte d'accès.

Notre lecture chez CZSyn

La détection de vivacité est une vraie avancée technique, mais ce n'est pas une solution magique. Les attaques les plus sophistiquées n'essaient plus de tromper la caméra avec une simple photo : elles injectent directement un flux vidéo deepfake via une caméra virtuelle logicielle, en contournant la capture physique. La course entre générateurs de deepfake et détecteurs de vivacité va continuer, et aucun des deux camps ne prendra une avance définitive.

Ce que nous retenons surtout, c'est le signal envoyé : un acteur du poids de Google admet publiquement que le deepfake est désormais un vecteur d'attaque à traiter au niveau de l'authentification elle-même, pas seulement au niveau de la sensibilisation. Pour une PME française, la bonne stratégie reste la défense en profondeur : passkeys pour la connexion du quotidien, clé de sécurité matérielle pour les comptes à privilèges, et procédure de vérification humaine hors canal (un rappel téléphonique sur un numéro connu, pas celui indiqué dans l'appel suspect) pour toute demande sensible évoquant l'image ou la voix d'un dirigeant. Le selfie vidéo de Google est une brique de plus dans cet édifice, pas un remplacement.

Sources primaires

• Techmeme, citant Reece Rogers / Wired, « Google launches a selfie video sign-in option for account recovery », 23 juillet 2026.
• Google, page officielle Sécurité du compte Google.
• Google Safety Center, « Security ».