CYBERMOIS 2026
En bref : un deepfake est un visage, une voix ou une vidéo générés par intelligence artificielle pour ressembler à une personne réelle. Pour protéger vos équipes, le plus efficace est de leur donner un réflexe simple et partagé : toute demande sensible (virement, accès, données) se confirme par un second canal choisi par le collaborateur, quelle que soit la qualité de l'image ou de la voix. Ce guide explique les situations à connaître, les cinq réflexes à pratiquer et la façon de les ancrer dans l'équipe.
Qu'est-ce qu'un deepfake, et pourquoi concerne-t-il les entreprises ?
Un deepfake (ou hypertrucage) est un contenu audio ou vidéo créé ou modifié par intelligence artificielle pour imiter une personne réelle : son visage, sa voix, ses expressions. Les outils qui permettent de les produire sont aujourd'hui accessibles au grand public, ce qui les met à la portée de personnes malveillantes sans compétence technique particulière.
Pour une organisation, l'enjeu est concret : une demande qui paraît venir d'un dirigeant, d'un collègue, d'un fournisseur ou d'un candidat peut désormais s'appuyer sur une voix familière ou un visage connu. La confiance que nous accordons naturellement à ce que nous voyons et entendons devient le point d'appui des arnaques. La bonne nouvelle : un geste de vérification pratiqué régulièrement redonne l'avantage aux équipes.
Quatre situations que vos équipes peuvent rencontrer
1. Le faux dirigeant en visioconférence
Un collaborateur est invité à une réunion en ligne où plusieurs participants semblent être des collègues, parfois le directeur financier. Une demande confidentielle et urgente est formulée, le plus souvent un virement. En 2024, un employé du bureau de Hong Kong du groupe d'ingénierie Arup a ainsi effectué 15 virements, pour 200 millions de dollars de Hong Kong (environ 25,6 millions de dollars américains), après une visioconférence dont les autres participants étaient, selon la police, des reproductions générées par IA. Arup a confirmé en mai 2024 que des voix et des images falsifiées avaient été utilisées (source : CNN, reprise par ABC 17 News).
Ce cas montre surtout un mécanisme : l'urgence, la confidentialité et l'autorité se combinent pour décourager la vérification.
2. La voix clonée et la fraude au président
La fraude au président existait avant l'IA : un faux dirigeant demande à un service financier un virement exceptionnel. Avec un clone vocal, l'appel gagne en crédibilité, car la voix est celle que le collaborateur reconnaît. Les services comptabilité, trésorerie, paie et achats sont les premiers destinataires de ces demandes, mais l'assistance de direction et le support informatique le sont aussi.
3. Le faux candidat
Lors d'un recrutement à distance, un entretien vidéo peut s'appuyer sur un visage ou une voix générés. L'objectif peut être d'obtenir un poste, donc des accès et des données. Les équipes RH et les managers qui recrutent à distance ont intérêt à connaître cette situation et à prévoir une étape de vérification d'identité.
4. Le contenu trompeur qui circule
Une fausse déclaration vidéo d'un dirigeant, une fausse annonce, une image truquée : certains contenus générés visent à influencer une décision, à nuire à une réputation ou à préparer une arnaque. Savoir se poser quelques questions sur la provenance d'un contenu fait partie de la culture numérique de chacun.
Pourquoi « repérer les défauts » ne suffit pas
On entend souvent qu'un deepfake se reconnaît à un clignement d'yeux étrange, à un contour flou ou à une voix un peu métallique. Ces indices peuvent exister, mais ils évoluent à mesure que les outils progressent, et ils sont plus difficiles à voir en situation réelle : sur un petit écran, avec une connexion moyenne, dans l'urgence, avec une demande qui paraît légitime.
Le réflexe le plus solide repose donc sur le contexte et la vérification, plus que sur l'observation de l'image. Cela présente un avantage : ce geste fonctionne avec les outils d'aujourd'hui comme avec ceux de demain, et chacun peut l'adopter sans formation technique.
Cinq réflexes à pratiquer
- Repérer le signal. Urgence, confidentialité, autorité, demande inhabituelle : quand ces éléments se combinent, c'est le moment de marquer une pause. Prendre quelques minutes est toujours légitime.
- Confirmer par un second canal. Rappeler la personne sur un numéro déjà connu (annuaire interne, contact enregistré), ou la joindre via la messagerie interne. Le canal de vérification est choisi par le collaborateur, jamais fourni par l'interlocuteur.
- Poser une question que seul le vrai interlocuteur connaît. Un élément de contexte récent, un sujet de projet, une convention interne : l'objectif est de sortir du scénario préparé.
- Appliquer la règle des deux personnes pour les opérations sensibles. Un virement exceptionnel, une modification de coordonnées bancaires ou une ouverture d'accès se valide à deux, selon la procédure de l'entreprise.
- Signaler, même en cas de doute. Un signalement rapide à l'équipe sécurité ou à la hiérarchie protège toute l'organisation et permet de prévenir les autres équipes. Une personne qui signale rend service, et mérite d'être remerciée.
Mettre en place un protocole de vérification
Les réflexes individuels sont plus efficaces lorsqu'ils s'appuient sur un cadre clair, connu de tous. Un protocole simple peut tenir sur une page :
- Quelles demandes déclenchent une vérification ? Par exemple : virement hors procédure habituelle, changement d'IBAN d'un fournisseur, demande d'accès ou de mot de passe, transmission de données sensibles, demande urgente d'un dirigeant.
- Comment vérifier ? Rappel sur un numéro de l'annuaire interne, confirmation par la messagerie de l'entreprise, validation par une seconde personne.
- Qui peut dire « je vérifie » sans conséquence ? Le message à faire passer par la direction : prendre le temps de vérifier est attendu, y compris quand la demande semble venir du sommet de l'entreprise.
- À qui signaler ? Un point de contact identifié, avec un moyen simple de le joindre.
- Quelle réponse type utiliser ? Une phrase prête à l'emploi aide à agir sans gêne : « Je vous rappelle sur votre numéro habituel pour confirmer. »
Associer la direction à ce protocole lui donne du poids : quand un dirigeant dit lui-même « si je vous demande un virement par message, vérifiez-le avec moi », la vérification devient naturelle pour toute l'équipe.
Entraîner les équipes : comprendre, essayer, ancrer
Un protocole écrit gagne beaucoup à être vécu. Trois étapes se complètent bien.
Comprendre avec une démonstration. Voir un visage ou une voix reproduits en quelques minutes change la perception du risque. Avec le Workshop™ deepfake en direct, les participants testent eux-mêmes un échange de visage en temps réel et un clonage de voix, puis échangent sur les protocoles de vérification. Le format se prête à une journée thématique, un séminaire ou un événement interne, et peut aussi prendre la forme d'une conférence de 30 à 60 minutes pour un comité de direction.
Essayer en situation. Phishing 360™ permet de proposer aux collaborateurs un scénario de deepfake vocal, aux côtés des autres canaux de simulation (e-mail, SMS, QR code, courrier et autres). Ils se mettent dans la situation réelle, appliquent le réflexe de vérification, et l'équipe sécurité observe où le geste s'ancre et où il mérite d'être accompagné. Les scénarios impliquant la voix d'une personne s'appuient sur l'accord de l'organisation et le consentement de la personne concernée.
Ancrer dans la durée. Des rappels courts et réguliers renforcent l'habitude. L'Academy™ propose des modules d'e-learning sur l'IA et les deepfakes, de format court, pour revoir les notions clés et les adapter aux métiers : finance, RH, assistanat, direction, support informatique.
Par où commencer ? Un plan en trois temps
- Cartographier. Identifiez les équipes et les situations les plus exposées : qui peut déclencher un paiement, modifier des coordonnées bancaires, accorder un accès ou recruter à distance ?
- Formaliser. Rédigez le protocole de vérification sur une page, validez-le avec la direction financière, les RH et la sécurité, et diffusez-le avec un message du dirigeant.
- Pratiquer. Organisez une première démonstration, puis des simulations et des rappels réguliers. Observez les signalements : ils sont le meilleur indicateur de progression.
Ce qu'il faut garder en tête
Aucune mesure ne supprime à elle seule le risque de fraude. Les outils de détection de contenus générés par IA progressent, mais leur fiabilité varie selon les cas ; ils complètent les réflexes humains et les procédures sans les remplacer. L'approche la plus robuste associe protocole, réflexes pratiqués, contrôles techniques (comme la validation à deux personnes dans les outils de paiement) et culture du signalement.
Questions fréquentes
Comment reconnaître un deepfake en visioconférence ?
Certains indices peuvent aider (synchronisation labiale, éclairage, contours du visage, réactions décalées), mais ils ne sont pas fiables à eux seuls. Le réflexe le plus sûr consiste à confirmer toute demande sensible par un second canal, en rappelant la personne sur un numéro déjà connu, et à poser une question que seul le vrai interlocuteur peut connaître.
Qu'est-ce que la fraude au président par deepfake vocal ?
C'est une fraude où une personne malveillante imite la voix d'un dirigeant, grâce à un clone vocal généré par IA, pour demander à un collaborateur un virement ou une information sensible. Elle s'appuie sur l'urgence et l'autorité. La parade consiste à vérifier la demande par un autre canal et à appliquer une validation à deux personnes pour les opérations financières exceptionnelles.
Que faire si un collaborateur pense être face à un deepfake ?
Interrompre l'échange poliment, ne pas exécuter la demande, vérifier par un second canal et signaler à l'équipe sécurité ou à la hiérarchie. Si une opération a déjà été effectuée, contacter sans attendre la banque et le service sécurité de l'entreprise, puis déposer plainte.
Quelles équipes sont les plus concernées ?
Les équipes financières (comptabilité, trésorerie), les ressources humaines, l'assistance de direction, les achats et le support informatique reçoivent le plus souvent des demandes sensibles. Les dirigeants sont également concernés, car leur image et leur voix sont souvent publiques.
Faut-il former tous les collaborateurs ou seulement les équipes exposées ?
Une base commune pour tous (le réflexe de vérification et le signalement) aide à créer une culture partagée. Un approfondissement pour les équipes les plus exposées (finance, RH, direction, support) permet ensuite de travailler leurs situations réelles.
Un deepfake peut-il être utilisé lors d'un recrutement ?
Oui, des visages ou des voix générés peuvent être utilisés lors d'entretiens à distance. Prévoir une étape de vérification d'identité et former les recruteurs à ce scénario fait partie des bonnes pratiques.
Prochaine étape
Vous souhaitez faire vivre un deepfake à vos équipes, en direct, et repartir avec un protocole de vérification adapté à votre organisation ? Découvrez le Workshop™ deepfake en direct.
Les réflexes qui protègent.
