Deepfakes : la fraude entre dans une nouvelle ère
Fait étonnant : le 5 octobre dernier, Giorgia Meloni, Première ministre italienne, déposait une demande de protection de sa voix auprès de l’Office de l’Union européenne pour la propriété intellectuelle afin de lutter contre les deepfakes. Au-delà de son caractère inédit dans la sphère politique, cette initiative témoigne de l’ampleur prise par un phénomène qui dépasse largement les personnalités publiques. Dans les entreprises, les fraudeurs peuvent désormais reproduire en temps réel le visage, la voix et jusqu’à l’apparence d’un dirigeant pour manipuler ses collaborateurs. De quoi bouleverser les mécanismes traditionnels de confiance et de vérification…
Une industrialisation du phénomène
Février 2026 : Des escrocs ont réussi à détourner 95 millions d’euros à Fideuram, filiale de banque privée du groupe italien Intesa Sanpaolo, grâce à une fraude combinant usurpation d’identité et intelligence artificielle. Après avoir contacté le président de Fideuram, Paolo Molesini, sur WhatsApp en se faisant passer pour le dirigeant de la maison mère, les fraudeurs auraient utilisé l’IA pour cloner la voix d’un avocat chargé de confirmer l’urgence d’une transaction à l’étranger. Convaincu de l’authenticité de la demande, Paolo Molesini aurait ordonné plusieurs virements vers des comptes situés principalement en Chine et à Hong Kong. Sur les 95 millions détournés, une partie a pu être retrouvée mais 36 millions sont toujours aux mains des escrocs.
Loin d'être un cas isolé, cette affaire illustre une menace dont l'ampleur ne cesse de croître. En 2025, les deepfakes ont engendré plus d’un milliard de pertes pour les entreprises. Et le phénomène prend de plus en plus d’ampleur. La même année, 62 % des organisations interrogées ont été confrontées, au cours des douze mois précédents, à une attaque utilisant des deepfakes à des fins d'ingénierie sociale ou d'exploitation de processus automatisés.¹ Mais au-delà de leur multiplication, c’est surtout la sophistication des deepfakes qui inquiète. « Il y a encore un ou deux ans, nous étions essentiellement sur du face swapping, c’est-à-dire le remplacement du visage, sans modifier les cheveux, la tenue vestimentaire ou l’apparence générale. On recommandait alors certains gestes pour identifier une manipulation : passer la main devant son visage ou tourner la tête, par exemple, pouvait provoquer un décrochage du masque virtuel. Aujourd’hui, ces techniques ne fonctionnent plus. Nous sommes capables de transformer intégralement l’apparence d’une personne, et surtout de le faire en temps réel, pendant une visioconférence », explique Jean-Baptiste Artignan, PDG de BlueSecure. Une évolution technologique qui s’accompagne d’une démocratisation des outils. Là où leur utilisation nécessitait auparavant des compétences techniques et des équipements informatiques puissants, ces dispositifs deviennent progressivement accessibles à un public beaucoup plus large. Autre inquiétude : l'automatisation des attaques. « Alors que les fraudes par deepfake nécessitent aujourd'hui qu'un individu incarne directement son personnage lors d'un échange, le recours à des avatars autonomes permettrait de multiplier simultanément les tentatives. Bientôt, nous pourrons voir un millier d'avatars qui attaqueront en simultané mille cibles différentes. Cela existe déjà sur la voix », prévient Philippe Luc, cofondateur d'ANOZR WAY.
Des techniques de manipulation bien rodées
Le risque réside désormais dans l’intégration des deepfakes à des scénarios de fraude plus complexes, combinant plusieurs canaux de communication. « Ce que nous allons voir se développer, ce sont des attaques multicanales. Les fraudeurs pourront commencer par un SMS, un appel téléphonique ou un message Teams, avant d’inviter leur cible à rejoindre une visioconférence. Le deepfake interviendra alors comme une étape supplémentaire dans une chaîne de fraude, pour crédibiliser une demande et renforcer la confiance de la victime. Toutes ces technologies vont pouvoir être combinées pour construire des scénarios beaucoup plus sophistiqués. » évoque Jean-Baptiste Artignan. Mais la crédibilité de ces scénarios ne repose pas uniquement sur le réalisme des contenus générés. L'exploitation des données personnelles et professionnelles constitue un autre levier déterminant. « Pour réussir une fraude par deepfake, il ne suffit pas de reproduire fidèlement un visage ou une voix. Il faut aussi tenir un discours cohérent, en faisant référence à des informations que la victime reconnaît. Les données personnelles et professionnelles accessibles en ligne ou issues de fuites deviennent ainsi une matière première essentielle pour les attaquants », explique Philippe Luc. Les malfaiteurs jouent également sur les biais cognitifs pour parvenir à leurs fins : urgence, pression hiérarchique et confidentialité restent au cœur des stratégies de manipulation.
La désinformation : un autre risque en perspective
Au-delà des escroqueries financières, les deepfakes constituent également un vecteur de désinformation susceptible de fragiliser les entreprises. En attribuant de fausses déclarations à un dirigeant, les attaquants peuvent chercher à porter atteinte à la réputation d'un groupe, à ébranler la confiance de ses partenaires ou à provoquer des réactions sur les marchés financiers. « Les entreprises cotées seront particulièrement exposées à ces risques. Les deepfakes permettent de faire tenir de faux propos à un membre du comité exécutif, avec des conséquences potentiellement majeures. Le danger ne réside pas uniquement dans la crédibilité technique des contenus, mais aussi dans leur capacité à conforter ce que le public est disposé à croire », alerte Philippe Luc.
Entre détection et sensibilisation
Face à ces menaces, la réglementation tente de suivre. En Europe, les obligations de transparence prévues par l’AI Act applicable depuis le 2 août 2026, imposent notamment l’identification de certains contenus générés ou manipulés par intelligence artificielle. Une réponse nécessaire, mais dont la portée demeure limitée face aux usages frauduleux. Côté technologique, la détection visuelle ne constitue plus une garantie suffisante. Seuls 0,1 % des participants à une étude ont été capables de correctement distinguer l'ensemble des contenus authentiques et artificiels qui leur étaient présentés. Pourtant, leur niveau de confiance dans leurs capacités de détection dépassait 60 %.² Face aux limites de la détection humaine, les entreprises commencent à se tourner vers des solutions automatisées. Orange Business expérimente notamment leur intégration aux centres de contact et aux visioconférences Microsoft Teams, afin d'identifier les flux audio et vidéo susceptibles d'avoir été manipulés. « Les technologies de détection ont considérablement progressé et affichent aujourd'hui des taux de fiabilité estimés entre 94 et 98 %. Mais elles ne sont pas infaillibles. Comme pour les antivirus, l'apparition de nouveaux modèles ou de nouvelles techniques de manipulation crée des périodes de vulnérabilité, durant lesquelles les dispositifs de détection doivent s'adapter », explique Yann Jaigu, product manager chez Orange Business et d’ajouter : « Pour autant, il serait illusoire de vouloir analyser systématiquement l'ensemble des communications audio et vidéo. Une telle approche serait difficilement soutenable, tant sur le plan technique que financier et environnemental. La détection doit donc s'inscrire dans une stratégie de défense plus large, fondée d'abord sur la sensibilisation, la maîtrise de l'exposition numérique et la vérification de l'identité ». La réponse ne peut donc être exclusivement technologique. Elle suppose également de renforcer les mécanismes d'authentification et de revoir les procédures internes, particulièrement lorsqu'une demande implique des opérations sensibles. « Nous incitons les organisations à revoir leurs processus, notamment en réintroduisant des pratiques assez classiques, comme le contre-appel. Lorsqu'une demande est importante, stratégique ou urgente, il faut rappeler son interlocuteur par son canal habituel, indépendamment de celui utilisé pour formuler la demande. Il faut également instaurer des procédures de double validation. Nous voyons même réapparaître des méthodes assez anciennes, comme les mots de passe définis en comité de direction. Certains de nos clients choisissent ainsi chaque semaine un code commun, qui doit ensuite accompagner toute décision stratégique prise à distance. » témoigne Jean-Baptiste Artignan. Mais au-delà des procédures, l'enjeu est de transformer durablement les comportements. « Lorsque les collaborateurs assistent à une démonstration, ils prennent conscience du réalisme des manipulations et comprennent qu'ils pourraient eux-mêmes se faire avoir. L'objectif est de créer des réflexes par l'expérience. La prochaine fois qu'ils recevront une demande, ils auront davantage tendance à vérifier, parce qu'ils se souviendront de ce qu'ils ont vu. C'est beaucoup plus marquant qu'un simple discours de sensibilisation. » poursuit le PDG de BlueSecure. À mesure que la frontière entre le réel et l'artificiel s'estompe, la lutte contre les deepfakes impose ainsi un changement de paradigme : ne plus chercher uniquement à reconnaître une falsification, mais apprendre à vérifier systématiquement l'authenticité d'une demande…
