Deepfake

Comment ça marche

Un deepfake est un contenu synthétique qui imite une personne réelle : sa voix, son visage, ses gestes. Les modèles de synthèse vocale et de génération vidéo le produisent à partir d’échantillons, de plus en plus courts. La qualité est devenue suffisante pour tromper un interlocuteur au téléphone ou en visioconférence, surtout quand il s’y attend peu et qu’on le presse.

Pour une entreprise, le scénario typique est l’escroquerie au faux dirigeant : un appel ou une visio, avec la voix et parfois l’image du patron, qui demande à la comptabilité un virement urgent et confidentiel. Ou un faux fournisseur qui annonce un changement de coordonnées bancaires. La technique rend l’imitation crédible ; c’est l’urgence et le secret qui font passer. Les parades sont donc organisationnelles : des procédures que personne ne peut contourner, même le vrai dirigeant au téléphone.

Un exemple concret

1. L’appel : un vendredi à 17 h, la comptable reçoit un appel. La voix est celle du directeur, en déplacement, qui demande un virement de 48 000 euros à un nouveau fournisseur, avant le week-end, pour une opération confidentielle. Il est pressé, chaleureux, précis.
2. La règle : tout virement vers un nouveau bénéficiaire, et tout virement de plus de 10 000 euros, exige une double validation, et une confirmation du demandeur par un rappel sur son numéro connu. Sans exception, « même si c’est moi qui demande », avait dit le directeur en instaurant la règle.
3. Le geste : la comptable dit qu’elle rappelle. L’interlocuteur insiste. Elle raccroche, appelle le directeur sur son portable habituel. Il est en réunion et ne comprend pas de quoi elle parle.
4. Après : signalement, plainte, rappel de la règle à toute l’entreprise, et une phrase ajoutée : « une demande qui vous pousse à contourner la procédure est, par définition, suspecte ».

La voix était parfaite. La règle ne s’intéressait pas à la voix.

Ce que ça change pour une équipe

• Les procédures de paiement deviennent la défense. Double validation, rappel sur un numéro connu, délai pour les nouveaux bénéficiaires : des règles simples, sans exception.
• La vérification par un autre canal devient un réflexe. Un appel, un message : on confirme par un autre moyen avant d’agir.
• L’urgence devient un signal d’alerte. Ce qui presse et demande le secret est suspect, par principe.
• Les équipes sont préparées. Une demi-heure de sensibilisation avec des exemples réels, et chacun sait que ça existe et que ça lui arrivera peut-être.

Les limites et les erreurs fréquentes

• Compter sur la détection. « Je reconnaîtrais la voix de mon patron. » Non. Les outils de détection sont imparfaits et en retard. Seule la procédure tient.
• Des règles avec exceptions. « Sauf si c’est le directeur » est précisément la faille exploitée. Les règles valent pour tout le monde, le directeur en premier.
• Publier trop de voix et d’images. Les vidéos publiques des dirigeants sont la matière première. On ne les supprime pas, mais on sait qu’elles existent.
• Culpabiliser la victime. Une attaque réussie est une faille de procédure, pas une faute de la personne. La culpabilisation fait taire les signalements suivants.