Deepfakes, voix clonées, faux avis : la règle simple qu’Europol et la FTC rappellent aux entreprises

Ce que disent, précisément, Europol et la FTC

Europol évoque l’emploi possible des deepfakes dans la fraude au président — cette variante où un « dirigeant » ordonne, en visioconférence ou par message vocal, un virement urgent et confidentiel — et dans d’autres infractions où la synthèse d’image ou de voix sert à contourner la vigilance humaine. La FTC, elle, documente depuis plusieurs campagnes les ressorts psychologiques exploités : urgence fabriquée, autorité mimée, canal imposé par l’escroc lui-même. Aucune des deux institutions ne prétend qu’un incident isolé se généralise ; toutes deux constatent que les techniques existent, circulent et fonctionnent.

On nous permettra de noter ce que ce langage prudent a de précieux : il décrit sans dramatiser, et l’on aimerait que la moitié des communications d’entreprise en fît autant.

Pourquoi la voix et le visage ne prouvent plus rien

La fraude classique reposait sur un e-mail mal traduit et une adresse suspecte ; il suffisait de lire lentement. Les outils actuels permettent d’imiter un timbre de voix à partir de très peu de matière, et de composer une visioconférence crédible. Le signal d’alerte a changé de nature : ce n’est plus l’aspect du message, c’est le scénario. Une demande qui court-circuite les procédures habituelles, un canal inhabituel imposé, une consigne de silence, une échéance impossible à discuter : voilà les vraies empreintes de la fraude, indépendantes de la qualité technique de l’imitation.

Autrement dit, l’authentification ne se joue plus sur ce que l’on voit ou entend, mais sur ce que l’on peut recouper.

Trois réflexes qui coûtent peu et protègent beaucoup

Des recommandations d’Europol et de la FTC se dégage une hygiène simple, applicable dès lundi matin.

• Vérifier par un canal connu, jamais celui fourni par la demande. Un « dirigeant » qui appelle pour un virement se rappelle sur son numéro habituel, pas sur celui affiché à l’écran ni sur celui laissé en message. Un service client s’atteint par le site tapé à la main, pas par le lien reçu.
• Séparer les rôles. Aucune personne seule ne devrait pouvoir décider, exécuter et valider un paiement sensible. La double signature n’est pas une lourdeur administrative ; c’est le dernier filet quand l’imitation est parfaite.
• Conserver les preuves. Enregistrer les messages, capturer les écrans, noter les horaires et les numéros : sans ces éléments, ni la banque, ni la police, ni l’assureur ne peuvent grand-chose. La preuve se constitue avant l’incident, pas après.

S’agissant des boutiques en ligne et des avis, la même logique s’applique en amont de l’achat : remonter aux preuves d’existence — mentions légales complètes, historique de la marque, moyens de paiement traçables — plutôt que se fier à une accumulation d’étoiles dont on ignore la provenance.

Ce que le contexte ne dit pas

Honnêteté oblige : ni Europol ni la FTC, dans les éléments retenus ici, ne chiffrent l’ampleur du phénomène pour août 2026, ni ne désignent d’enseigne particulière. Prétendre le contraire serait céder à ce catastrophisme dont l’utilité pour le lecteur est nulle. On sait que les techniques existent et servent ; on ignore la part exacte qu’elles occupent dans la fraude totale. Cette zone d’ombre appelle prudence dans les deux sens : ne pas minimiser, ne pas hurler.

À surveiller

Une procédure interne écrite, testée une fois par trimestre sur un cas fictif, vaut mieux que dix notes de service. Côté particulier, un mot de passe familial convenu à l’avance — court, absurde, mémorisable — désamorce en trois secondes l’appel du « petit-fils » en larmes. Le reste est affaire de discipline : refuser l’urgence imposée est un droit, et bien souvent, le seul rempart qui tienne.

Source : Europol — https://www.europol.europa.eu/publications-events/publications/facing-reality-law-enforcement-and-challenge-of-deepfakes