Un deepfake ne se limite pas à un visage remplacé[1][4]
Pour un fraudeur, la boîte à outils complète compte davantage : photo de profil générée, faux document d'identité, clonage vocal, vidéo en temps réel, traduction automatique et messages personnalisés.
FBI/IC3 avertit que l'IA générative augmente l'échelle et la crédibilité de fraudes financières existantes. Profils, sites, documents et vidéos peuvent être produits plus vite tandis que disparaissent les erreurs linguistiques qui trahissaient autrefois l'arnaque.
L'IA invente donc rarement un crime nouveau : elle réduit le coût d'un ancien schéma et permet de lancer davantage de tentatives crédibles.
La chaîne d'attaque typique
La première étape est la collecte : photos sociales, échantillons de voix, fonctions professionnelles, famille, fournisseurs et processus internes. L'attaquant construit ensuite une persona synthétique ou la copie d'une personne réelle.
Vient ensuite le contexte. Une voix clonée de dirigeant ne fonctionne que si l'histoire colle à l'entreprise. Puis arrive la pression : virement urgent, nouvel IBAN, code MFA, accès système ou document confidentiel.
Le moment le plus dangereux est lorsque l'audio ou la vidéo synthétique sert de dernière confirmation après plusieurs contacts déjà plausibles.
FBI : l'IA apparaît déjà dans des catégories de pertes réelles[2]
Le rapport IC3 2025 distingue des plaintes avec un AI nexus déclaré. Les pertes signalées dans les employment scams liées à l'IA approchent 13 millions de dollars ; dans les investment complaints avec AI nexus elles dépassent 632 millions.
Ces chiffres ne représentent pas toute la fraude IA. De nombreuses victimes ignorent si l'IA a été utilisée. Ils décrivent plutôt la partie visible et explicitement signalée du phénomène.
Le rapport mentionne voice spoofing ou potentiels voice deepfakes dans des entretiens d'embauche à distance, ainsi que vidéos ou voix générées de célébrités et dirigeants dans les fraudes à l'investissement.
Le principal effet de l'IA est d'augmenter la crédibilité et le débit de schémas frauduleux déjà rentables.
Clonage vocal : l'oreille n'est pas une authentification[3]
Une voix familière est naturellement perçue comme une preuve d'identité. La FTC décrit des escroqueries où une voix synthétique imite un proche ou un dirigeant pour obtenir argent ou informations.
La FTC souligne qu'il n'existe pas de solution unique : les watermarks peuvent être altérés, la détection a des limites et l'authentification doit être intégrée aux processus.
Mieux vaut raccrocher et vérifier la personne via un canal connu auparavant que juger seulement si la voix « semble vraie ».
Images et vidéo servent souvent à fabriquer de la confiance[1][5]
Le FBI cite photos de profil, documents et vidéos générés représentant des personnes publiques ou des dirigeants. Un appel vidéo peut être utilisé comme fausse preuve qu'un contact en ligne est réel.
INTERPOL décrit en 2026 du deepfake-as-a-service et des kits d'identité synthétique combinant avatars vidéo, clones vocaux et biométrie. La technologie de fraude devient un service achetable.
Il faut donc vérifier provenance, métadonnées, signaux synthétiques et contexte, sans remplacer l'authentification indépendante par un score de détecteur.
Entreprises : ne pas autoriser un paiement sur la seule base d'un deepfake[1][3]
Un processus robuste suppose que l'e-mail, le numéro appelant, la voix, la photo de profil et l'image vidéo peuvent tous être falsifiés.
- Confirmer tout changement de coordonnées bancaires fournisseur via un canal connu auparavant.
- Exiger une deuxième validation ou un facteur indépendant au-dessus d'un seuil de paiement.
- Utiliser un call-back vers le numéro de l'annuaire interne.
- Ne pas considérer un appel vidéo comme authentification forte à lui seul.
- Conserver fichiers suspects et en-têtes de messages.
- Former les équipes aux signaux de pression : urgence, secret et demande de contourner la procédure.
Particuliers : famille, investissements et urgence fabriquée[1][2]
Le FBI recommande un mot secret familial et un rappel indépendant de la personne qui aurait besoin d'aide. L'attaquant peut posséder un échantillon de voix sans connaître le secret partagé.
Dans une fraude à l'investissement, tout l'écosystème peut être synthétique : expert, vidéo, commentaires, chatbot et faux dashboard. Il faut vérifier société, licence, domaine et flux d'argent.
La détection deepfake doit soutenir la décision, pas devenir une barrière binaire[3][4]
Un risque élevé peut déclencher une revue manuelle, la demande du fichier original, un contrôle provenance ou une vérification indépendante d'identité. C'est plus robuste qu'un verdict automatique d'un seul detector.
La bonne réponse aux deepfakes n'est pas « on ne peut plus croire à rien », mais trust by verification : moins de confiance dans un signal unique, davantage dans un processus reproductible et documenté.