La technologie des deepfakes facilite considérablement l’usurpation d’identité de professionnels par les escrocs. Désormais, un escroc peut rejoindre un appel avec sa caméra et répondre aux questions en temps réel de manière convaincante, en se faisant passer pour une autre personne.

Il s’agit du troisième canal d’usurpation d’identité assistée par l’IA, après l’e-mail et la voix, et c’est celui pour lequel les entreprises sont le moins préparées : un visage lors d’un appel vidéo paraît totalement humain et impossible à falsifier.

Nous avons expliqué comment les campagnes de hameçonnage par IA sont plus rapides et plus faciles à lancer, et comment le clonage vocal accroît les tentatives de vishing. Dans cet article, nous étudierons ce qui se passe lorsque l’identité d’une personne est détournée au moyen de vidéos deepfake et comment empêcher les membres de l’équipe de tomber dans le piège des arnaques par deepfake.

Ce qui distingue la fraude vidéo par deepfake

Les arnaques par e-mail reposent sur les informations écrites : le bon ton, le bon contexte et une demande urgente mais plausible. Le clonage vocal joue sur l’ouïe : une voix familière formulant une demande suffisamment urgente pour court-circuiter un instant de doute. La fraude vidéo par deepfake va plus loin et compromet le seul réflexe de vérification que la plupart des gens ne songent jamais à remettre en question : voir le visage d’une personne et l’entendre parler, en temps réel, lors d’un appel qui ressemble exactement à tous les autres rendez-vous vidéo du calendrier.

Les employés sont formés à se méfier d’un message et à revérifier un appel téléphonique inattendu. Presque personne n’est formé à se questionner sur un appel vidéo en face à face, car la vidéo a toujours été aussi fiable qu’une réunion en personne.

Cette nouvelle frontière de la fraude impose de réévaluer ce qui peut être approuvé au travail, ainsi que la facilité avec laquelle l’urgence permet de contourner les procédures.

Comment fonctionnent concrètement les arnaques par deepfake

La fraude vidéo par deepfake peut prendre plusieurs formes. La plus simple consiste à diffuser une vidéo deepfake préenregistrée lors d’un appel en direct ; parfois, l’attaquant coupe sa propre caméra et invoque des problèmes de connexion pour expliquer pourquoi le « cadre dirigeant » ne répond pas naturellement aux questions complémentaires.

Des attaques plus sophistiquées utilisent des outils d’échange de visage en temps réel pendant un véritable appel en direct, ce qui permet à l’attaquant de répondre, hocher la tête et réagir sur le moment, un scénario bien plus difficile à détecter.

Un troisième schéma est apparu, qui cible spécifiquement les réunions d’intégration et de conformité. Un avatar vidéo synthétique se faisant passer pour un auditeur, un nouvel employé ou un contact RH peut assister à une réunion entière conçue pour soutirer des accès aux systèmes, des réponses de sécurité ou des identifiants, précisément parce que ces réunions reposent sur l’hypothèse qu’un appel vidéo avec une personne réelle est intrinsèquement digne de confiance.

Un exemple concret de fraude par deepfake

En 2024, un employé du service financier du bureau de Hong Kong d’Arup(nouvelle fenêtre), une société d’ingénierie dont le siège est situé au Royaume-Uni, a participé à un appel vidéo avec des personnes qui semblaient être le directeur financier de l’entreprise et plusieurs collègues. Chaque personne de cet appel était un deepfake généré par IA, créé à partir d’images publiques de véritables dirigeants.

Croyant que la demande était authentique, l’employé a autorisé quinze virements pour un total d’environ 25 millions USD avant que la fraude ne soit découverte, et seulement parce qu’il a eu l’idée de se renseigner auprès du véritable siège de l’entreprise au sujet de la « transaction confidentielle » qu’il venait d’effectuer.

L’affaire Arup demeure la meilleure illustration de ce à quoi ressemble cette attaque à grande échelle, mais elle ne constitue pas un cas isolé. Selon le rapport sur la fraude 2026 de UK Finance(nouvelle fenêtre), les pertes liées à la fraude aux paiements ont atteint 1,28 milliard GBP en 2025, et le rapport a spécifiquement signalé que des groupes criminels organisés recouraient de plus en plus aux deepfakes, aux voix clonées et aux identités synthétiques pour usurper l’identité de personnes approuvées et contourner les contrôles d’identité.

Des recherches sectorielles distinctes menées par Sumsub(nouvelle fenêtre) ont enregistré une hausse de 94 % sur un an des tentatives de deepfake au Royaume-Uni, et une enquête de Gartner auprès de responsables de la sécurité(nouvelle fenêtre) a révélé que 62 % des organisations avaient subi une forme d’attaque par deepfake au cours des douze mois précédents. Toute entreprise qui considère encore ce phénomène comme un problème futur a déjà une longueur de retard sur ce que montrent les données.

L’incident Arup est particulièrement instructif quant aux points de vigilance. Le premier réflexe de l’employé était le bon : il a considéré le message initial comme une tentative de hameçonnage probable et a demandé un appel vidéo précisément pour le confirmer, ce qui est exactement l’étape de vérification que recommanderait la plupart des formations en sécurité.

L’échec est survenu à l’étape suivante, lorsque l’appel vidéo lui-même a été considéré comme une preuve suffisante, car personne ne lui avait expliqué qu’un visage convaincant à l’écran n’est plus une garantie de fiabilité. En l’occurrence, cet échec provenait d’une formation professionnelle insuffisante, et non de l’employé.

Quels sont les scénarios de fraude par deepfake possibles ?

Les mécanismes décrits ci-dessus se manifestent dans quelques scénarios récurrents, ciblant chacun un point de levier différent au sein d’une entreprise. Tous reposent sur la même supercherie sous-jacente : un visage et une voix convaincants lors d’un appel en apparence tout à fait normal, mais la cible et le gain peuvent varier.

Le visage d’un directeur financier autorisant un virement

Le deepfake d’un haut dirigeant des finances apparaît lors d’un appel et ordonne à un subordonné de traiter un paiement urgent et confidentiel. La présence d’un visage familier, apparemment en direct, fait taire les doutes qu’un simple message aurait suscités.

Un faux auditeur soutirant des identifiants système

Un avatar synthétique se faisant passer pour un auditeur externe ou un vérificateur de conformité mène un entretien vidéo avec le personnel informatique ou financier, présenté comme une révision de routine, et pose des questions spécifiquement conçues pour faire remonter des informations sur les accès aux systèmes, les réponses aux questions de sécurité ou les identifiants de connexion.

Un responsable RH synthétique procédant à l’intégration d’un nouvel employé

Un contact RH deepfake organise un appel d’intégration avec un nouvel employé authentique, ou avec un employé en poste sous couvert d’une mise à jour de la politique, et profite de la session pour recueillir des informations sur les systèmes internes, les autorisations d’accès ou les informations de récupération des identifiants.

Usurpation de l’identité d’un membre du conseil auprès d’un responsable financier

Le deepfake d’un membre du conseil ou d’un administrateur de haut rang rejoint un appel avec un responsable financier pour autoriser une transaction ou demander des informations financières sensibles, en s’appuyant sur l’autorité d’un rôle qu’une équipe financière est culturellement formée à ne pas remettre en question.

Pourquoi la fraude par deepfake est plus difficile à détecter

La plupart des formations antihameçonnage et antivishing fonctionnent en apprenant aux gens à ajouter de la friction à un processus que quelqu’un cherche à précipiter : un message peut être transféré au service informatique pour vérification, un appel téléphonique peut être interrompu afin de vérifier un numéro de téléphone.

Les appels vidéo ne font pas l’objet du même examen instinctif, car depuis des années, l’appel vidéo est le substitut numérique le plus proche du fait de se trouver dans une pièce avec quelqu’un. On apprend rarement aux employés à se méfier du visage d’un collègue, car l’hypothèse culturelle derrière la visioconférence est qu’elle est totalement fiable.

C’est cette hypothèse qu’exploite la fraude vidéo par deepfake. Un attaquant n’a pas besoin de surmonter le scepticisme d’un employé concernant la demande elle-même. Il lui suffit d’apporter la seule chose qui a toujours dissipé ce scepticisme par le passé : un visage familier qui répond naturellement en temps réel.

C’est une exigence bien plus difficile à satisfaire pour un employé, c’est pourquoi les protocoles de vérification pour ce canal doivent être procéduraux plutôt que de reposer sur la simple capacité de quelqu’un à remarquer que quelque chose cloche.

Il existe également une dynamique sociale qu’il faut remettre en question. Remettre en cause une demande écrite semble relever de la diligence ordinaire. Remettre en cause un appel téléphonique semble raisonnable, puisque l’usurpation de voix est un risque connu depuis des années.

Mais remettre en cause un visage lors d’un appel vidéo, en particulier celui d’un collègue senior, peut s’apparenter à une accusation, ce qui explique précisément pourquoi les employés hésitent à le faire, même lorsque quelque chose dans l’interaction paraît légèrement étrange. Retirer ce coût social, faire de cette question une pratique courante et attendue plutôt qu’un moment gênant, constitue une part de la prévention contre les deepfakes et de la défense tout aussi importante que n’importe quel contrôle technique.

Des protocoles de vérification adaptés spécifiquement à la vidéo

Créer un code

Des mots de code ou des gestes convenus à l’avance via un canal distinct figurent parmi les rares choses qu’un deepfake ne peut réellement pas produire, car ils n’apparaissent dans aucune séquence publique sur laquelle un attaquant pourrait entraîner un modèle.

Une phrase simple et modifiable ou un signal physique, confirmé périodiquement au sein de l’encadrement et des équipes financières, donne aux employés quelque chose de concret à demander, plutôt que de se fier à un sentiment subjectif qu’un appel semble suspect.

Fixer des règles d’autorisation immuables

Aucune autorisation financière ni divulgation d’identifiants ne devrait jamais avoir lieu par simple appel vidéo. Il s’agit d’une politique concrète, et non d’un choix laissé à la discrétion de la personne présente lors de l’appel à ce moment-là : toute demande de ce type, quelle que soit la personne qui semble la formuler, exige une seconde confirmation via un canal véritablement distinct, en utilisant les informations du contact déjà enregistrées plutôt que toute information fournie pendant l’appel lui-même.

Les employés ont besoin d’une autorisation explicite et répétée pour demander « est-ce vraiment vous ? » lors de tout appel, quelle que soit la personne qui apparaît à l’écran. Ils doivent également pouvoir demander sans gêne, via un autre canal, une preuve que la personne est bien celle qu’elle prétend être.

Le réflexe qui empêche les gens de remettre en question un dirigeant est précisément ce sur quoi repose cette attaque, et ce réflexe ne disparaît que lorsque la direction affiche sans ambiguïté que poser la question est toujours acceptable.

Conserver des enregistrements

Enregistrer et consigner au journal les réunions vidéo sensibles, en particulier tout ce qui implique une autorisation financière, un accès aux identifiants ou une intégration, permet à une entreprise de faire un examen a posteriori si une demande s’avère frauduleuse, et le fait de savoir qu’une réunion est consignée constitue en soi une certaine dissuasion contre les attaquants qui préfèrent opérer sans laisser de traces.

Traiter les appels vidéo comme vous traitez un message

La fraude vidéo par deepfake réussit parce qu’elle exploite le seul canal pour lequel les entreprises n’ont jamais formé les employés à se montrer vigilants. Les arnaques par e-mail sont couvertes par la sensibilisation au hameçonnage, et les arnaques vocales sont couvertes par la vérification par rappel et les formations dont nous avons parlé concernant l’ingénierie sociale plus largement.

Se méfier des appels vidéo deepfake ne demande pas aux employés de devenir des analystes médico-légaux capables de repérer une vidéo synthétique image par image. Cela demande à une entreprise d’accepter qu’un visage et une voix convaincants ne constituent plus en soi une preuve de quoi que ce soit, et de bâtir des habitudes de vérification qui ne dépendent pas du fait que quelqu’un devienne méfiant sur le moment.

Renforcer cette culture en parallèle des pratiques plus larges couvertes dans notre guide sur la construction d’une solide culture de sécurité au travail donne à une équipe le même réflexe pour la vidéo qu’une bonne formation crée déjà pour les messages et les appels téléphoniques.

La connexion aux identifiants : limiter ce qu’une vérification défaillante peut atteindre

Quelle que soit la forme que prend une attaque par deepfake vidéo (fraude au directeur financier, faux auditeur, contact RH synthétique), elle vise en fin de compte l’une de deux choses : une transaction financière ou un ensemble d’identifiants. La vidéo n’est que le mécanisme de transmission d’une demande qui, si elle aboutit, transfère directement de l’argent ou donne à l’attaquant des identifiants qui lui permettent de causer des dégâts à sa guise.

C’est pourquoi l’hygiène des identifiants est importante, même lorsque l’attaque elle-même n’a au départ rien à voir avec un mot de passe volé. Si un appel deepfake trompe quelqu’un et lui fait remettre un identifiant, des mots de passe uniques et l’authentification multifacteur limitent ce que cet identifiant isolé peut réellement atteindre.

Le principe de confinement dont nous avons parlé à propos de la compromission des messageries professionnelles s’applique également ici : l’objectif n’est pas que chaque membre de l’équipe soit individuellement imbattable face à une attaque sophistiquée, mais de veiller à ce que, lorsqu’une vérification échoue une fois, les dégâts restent confinés.

Un gestionnaire de mots de passe professionnel comme Proton Pass for Business rend le confinement facile à maintenir sur la durée : il retire la pression de réutiliser des mots de passe familiers d’un compte à l’autre et facilite le respect de vos politiques de mots de passe. Associé à une plateforme sécurisée pour les visioconférences et à une culture d’entreprise où prendre le temps de vérifier est perçu comme normal plutôt que suspect, c’est cette combinaison qui limite réellement les dégâts lorsqu’il n’est plus possible de se fier pleinement aux appels vidéo.

Réduisez l’exposition de votre équipe à la fraude par usurpation d’identité grâce à un gestionnaire de mots de passe professionnel.