Ce que disent Europol et la FTC, sans emphase

Europol évoque l’emploi possible des deepfakes dans la fraude au président et d’autres infractions : le mot importe, il désigne un vecteur documenté, non une épidémie généralisée. La FTC, de son côté, ne parle pas d’intelligence artificielle en soi mais des mécaniques cognitives que la fraude exploite depuis toujours et que la synthèse vocale rend simplement plus crédibles : une urgence fabriquée, une autorité invoquée, une action irréversible demandée dans la minute. Les deux sources se rejoignent sur un constat qu’on nous permettra de trouver salubre : ce n’est pas la technologie qu’il faut authentifier, c’est le canal.

Le réflexe qui fait tout basculer : rappeler par un numéro connu

La règle tient en une ligne. Un appel entrant, aussi convaincant fût-il, ne s’authentifie pas lui-même. Le seul geste qui protège, c’est de raccrocher et de rappeler l’organisme par un numéro que l’on connaît déjà — celui figurant au dos de la carte bancaire, sur un contrat signé, sur le site officiel consulté depuis son propre navigateur. Jamais le numéro fourni par l’interlocuteur, jamais le lien reçu par SMS dans la foulée. Cette dissymétrie — vous appelez, ils ne rappellent pas — est ce qui fait s’effondrer le scénario du fraudeur, quelle que soit la qualité de sa voix synthétique.

Pour les entreprises, la même logique se décline en séparation des rôles. Aucun virement, aucune modification de coordonnées bancaires, aucune remise de code ne devrait dépendre d’une seule personne validant sur la foi d’un appel. Deux paires d’yeux, un canal de vérification distinct, une procédure écrite : c’est prosaïque, cela sauve des exercices comptables entiers.

Conserver la preuve, signaler, ne pas s’en vouloir

Dernier volet, souvent négligé : la trace. Numéro appelant, horodatage, capture d’écran d’un SMS, enregistrement si le droit local l’autorise, courriel d’hameçonnage conservé avec ses en-têtes. Ces éléments servent l’enquête ; ils permettent aussi, en interne, de comprendre par où la brèche est passée. La honte, ce ressort si utile aux escrocs, est le pire des conseillers : plus vite l’incident remonte, plus vite la banque peut tenter de bloquer les fonds et l’employeur prévenir ses pairs.

Ce que l’on ne sait pas encore

Ni Europol ni la FTC, dans les éléments retenus ici, ne livrent de chiffrage exhaustif de l’ampleur du phénomène pour l’année en cours. La prudence commande donc de ne pas transformer un signal documenté en panique statistique. Ce qui est acquis, en revanche, c’est que le coût d’un deepfake convaincant a baissé assez pour que la question ne soit plus « est-ce technique­ment possible » mais « ma procédure résiste-t-elle à un appel parfaitement imité ».

À surveiller, à faire

  • Toute demande urgente de virement, de code ou de changement d’IBAN reçue par téléphone ou messagerie : raccrocher, rappeler l’organisme via un numéro déjà connu.
  • En entreprise : formaliser une règle de double validation pour les paiements et les modifications de coordonnées, indépendante du canal d’où vient la demande.
  • En cas de doute passé : conserver toutes les traces techniques et signaler sans délai à sa banque et aux autorités compétentes de son pays.

La civilité, ici, consiste à faire attendre son interlocuteur le temps d’un rappel. Ceux qui s’en offusquent sont précisément ceux qu’il fallait vérifier.

Source : Europol — https://www.europol.europa.eu/publications-events/publications/facing-reality-law-enforcement-and-challenge-of-deepfakes