L’essentiel en bref<\/h2>\n\n- Dans l’affaire Arup, des deepfakes g\u00e9n\u00e9r\u00e9s par IA d’un appel vid\u00e9o du CFO ont suffi \u00e0 d\u00e9rober 25 millions de dollars am\u00e9ricains (f\u00e9vrier 2024, Hong Kong).<\/li>\n
- Les pertes li\u00e9es aux fraudes deepfake aux \u00c9tats-Unis ont atteint 1,1 milliard de dollars am\u00e9ricains en 2025, soit un triplement par rapport \u00e0 360 millions de dollars am\u00e9ricains l’ann\u00e9e pr\u00e9c\u00e9dente.<\/li>\n
- Trois secondes d’enregistrement audio suffisent pour cr\u00e9er une copie vocale correspondant \u00e0 85 % de l’original.<\/li>\n
- Les humains ne d\u00e9tectent correctement les deepfakes vid\u00e9o de haute qualit\u00e9 que dans 24,5 % des cas.<\/li>\n
- 85 % de toutes les entreprises ont subi au moins un incident de s\u00e9curit\u00e9 li\u00e9 aux deepfakes au cours des douze derniers mois.<\/li>\n<\/ul>\n
Comment l’attaque Arup a fonctionn\u00e9<\/h2>\n
L’affaire Arup \u00e0 Hong Kong est particuli\u00e8rement instructive car elle illustre le niveau de professionnalisme des attaques deepfake aujourd’hui. Les attaquants ont cr\u00e9\u00e9 des copies vid\u00e9o et audio g\u00e9n\u00e9r\u00e9es par IA du CFO et d’autres dirigeants du cabinet d’ing\u00e9nierie international. Ces deepfakes ont \u00e9t\u00e9 utilis\u00e9s lors d’un appel vid\u00e9o en direct – non pas comme une vid\u00e9o pr\u00e9enregistr\u00e9e, mais comme une conf\u00e9rence en temps r\u00e9el avec plusieurs participants.<\/p>\n
L’employ\u00e9 du d\u00e9partement financier voyait et entendait ses sup\u00e9rieurs dans ce qui semblait \u00eatre une r\u00e9union de conf\u00e9rence normale. Les instructions \u00e9taient claires et coh\u00e9rentes. L’urgence \u00e9tait cr\u00e9\u00e9e par le contexte d’une pr\u00e9tendue acquisition d’entreprise. En une seule s\u00e9ance, il a approuv\u00e9 15 virements individuels vers diff\u00e9rents comptes \u00e0 Hong Kong. Ce n’est qu’apr\u00e8s le dernier virement et une demande de v\u00e9rification interne qu’il est apparu que toute la conf\u00e9rence \u00e9tait mise en sc\u00e8ne. Les v\u00e9ritables dirigeants n’en savaient rien. La somme \u00e9tait perdue sans recours.<\/p>\n
Cette attaque n’a pas fonctionn\u00e9 parce que l’employ\u00e9 \u00e9tait cr\u00e9dule. Elle a fonctionn\u00e9 parce que la technologie a atteint un niveau o\u00f9 l’authentification visuelle et acoustique ne suffit plus. La confiance accord\u00e9e \u00e0 ce que nous voyons et entendons n’est plus un m\u00e9canisme de s\u00e9curit\u00e9 fiable.<\/p>\n
\n1,1 Md de dollars am\u00e9ricains<\/p>\n
Pertes li\u00e9es aux fraudes deepfake aux \u00c9tats-Unis en 2025. Un triplement par rapport \u00e0 360 millions de dollars am\u00e9ricains l’ann\u00e9e pr\u00e9c\u00e9dente.<\/p>\n
3 secondes<\/p>\n
D’enregistrement audio suffisent pour cr\u00e9er une copie vocale correspondant \u00e0 85 % de l’original.<\/p>\n
24,5 %<\/p>\n
des personnes d\u00e9tectent correctement les deepfakes vid\u00e9o de haute qualit\u00e9. La d\u00e9tection visuelle n’est plus une protection fiable.<\/p>\n
Sources : Chainalysis 2025, McAfee Deepfake Audio Study 2024, University College London Study<\/p>\n<\/div>\n
Pourquoi les d\u00e9fenses classiques \u00e9chouent<\/h2>\n
La compromission de la messagerie professionnelle (BEC) est l’une des formes de fraude les plus co\u00fbteuses depuis des ann\u00e9es. Le m\u00e9canisme \u00e9tait jusqu’ici relativement simple : un attaquant falsifie un e-mail du PDG ou du CFO et demande un virement urgent. La d\u00e9fense \u00e9tait relativement simple et souvent efficace : authentification des e-mails avec DMARC, proc\u00e9dures de rappel t\u00e9l\u00e9phonique pour les demandes inhabituelles et principe du double contr\u00f4le pour les virements d\u00e9passant un certain seuil.<\/p>\n
Les deepfakes contournent pr\u00e9cis\u00e9ment ces contr\u00f4les \u00e9prouv\u00e9s, l’un apr\u00e8s l’autre. Un rappel t\u00e9l\u00e9phonique ne sert \u00e0 rien si la voix au bout du fil est clon\u00e9e. Un appel vid\u00e9o de v\u00e9rification ne prot\u00e8ge pas si la vid\u00e9o est falsifi\u00e9e en temps r\u00e9el. Et le principe du double contr\u00f4le \u00e9choue si les deux v\u00e9rificateurs participent au m\u00eame appel manipul\u00e9 et voient plusieurs pr\u00e9tendus dirigeants confirmer la transaction. Les attaquants n’ont pas modifi\u00e9 l’attaque elle-m\u00eame – ils ont chang\u00e9 le canal par lequel la confiance et l’autorit\u00e9 sont \u00e9tablies.<\/p>\n
Particuli\u00e8rement pernicieux : les attaquants utilisent des informations publiquement disponibles pour leur pr\u00e9paration. Les interviews du PDG sur YouTube, les podcasts du CFO, les vid\u00e9os LinkedIn et les interventions lors de conf\u00e9rences fournissent le mat\u00e9riel audio pour cloner la voix. Les organigrammes d’entreprise sur les sites web indiquent qui rapporte \u00e0 qui. Les communiqu\u00e9s de presse sur les acquisitions ou partenariats fournissent le cadre narratif pour la pr\u00e9tendue demande de virement. L’ensemble de l’attaque est assembl\u00e9 \u00e0 partir de sources accessibles au public.<\/p>\n
La technologie sous-jacente est devenue effrayamment accessible. Des plateformes de deepfake en tant que service proposent le clonage vocal et la synth\u00e8se vid\u00e9o comme service commercial. Selon un rapport de Cyble, la disponibilit\u00e9 de ces services a explos\u00e9 en 2025. Le co\u00fbt d’entr\u00e9e pour un clone vocal convaincant se situe dans une fourchette basse \u00e0 trois chiffres. La barri\u00e8re \u00e0 l’entr\u00e9e pour les attaquants a pratiquement disparu. Ce qui n\u00e9cessitait un travail de sp\u00e9cialiste il y a trois ans peut aujourd’hui \u00eatre mis en place par n’importe qui avec un ordinateur portable et une connexion internet en quelques heures. La d\u00e9mocratisation des outils IA a \u00e9galement entra\u00een\u00e9 la d\u00e9mocratisation des moyens d’attaque.<\/p>\n
Selon Deloitte, les pertes li\u00e9es aux fraudes permises par l’IA g\u00e9n\u00e9rative passeront de 12,3 milliards de dollars am\u00e9ricains en 2024 \u00e0 40 milliards de dollars am\u00e9ricains d’ici 2027, soit une croissance annuelle de 32 %. Les attaques deepfake ciblant le comit\u00e9 de direction repr\u00e9sentent le domaine avec le plus fort potentiel de dommage individuel, car elles visent directement les d\u00e9cideurs disposant d’un pouvoir de virement.<\/p>\n
En Allemagne, le BSI observe une augmentation des attaques d’ing\u00e9nierie sociale assist\u00e9es par IA. Le rapport annuel sur la cybercriminalit\u00e9 2024 du BKA documente que l’ing\u00e9nierie sociale combin\u00e9e \u00e0 des contenus g\u00e9n\u00e9r\u00e9s par IA fait partie des cat\u00e9gories de menaces \u00e0 la croissance la plus rapide. Pour les PME allemandes, la menace est particuli\u00e8rement pertinente, car les hi\u00e9rarchies plates et les relations personnelles entre la direction et la comptabilit\u00e9 cr\u00e9ent pr\u00e9cis\u00e9ment les structures de confiance que les attaquants deepfake exploitent.<\/p>\n
L’escalade depuis 2019 : une chronologie<\/h2>\n\n\n2019<\/div>\n\nPremier cas document\u00e9 de fraude par clonage vocal bas\u00e9 sur l’IA : une soci\u00e9t\u00e9 d’\u00e9nergie britannique vire 220 000 euros apr\u00e8s un appel t\u00e9l\u00e9phonique du pr\u00e9tendu PDG de la soci\u00e9t\u00e9 m\u00e8re allemande.<\/p>\n<\/div>\n<\/div>\n
\n2022<\/div>\n\nLes outils de clonage vocal deviennent open source. Des projets comme Tortoise-TTS et VALL-E abaissent consid\u00e9rablement la barri\u00e8re \u00e0 l’entr\u00e9e. Des clones vocaux sont possibles avec seulement quelques minutes d’enregistrement audio.<\/p>\n<\/div>\n<\/div>\n
\nF\u00e9v 2024<\/div>\n\nL’affaire Arup \u00e0 Hong Kong : 25 millions de dollars am\u00e9ricains de pertes lors d’un appel vid\u00e9o deepfake multi-personnes. Le plus grand cas individuel document\u00e9 \u00e0 ce jour.<\/p>\n<\/div>\n<\/div>\n
\n2025<\/div>\n\nLe deepfake en tant que service devient un march\u00e9 de masse. Les pertes li\u00e9es aux fraudes aux \u00c9tats-Unis triplent pour atteindre 1,1 milliard de dollars am\u00e9ricains. 85 % des entreprises signalent au moins un incident li\u00e9 aux deepfakes.<\/p>\n<\/div>\n<\/div>\n
\nJan 2026<\/div>\n\nUn prestataire de services financiers du Fortune 500 perd 28 millions de dollars am\u00e9ricains lors d’un seul appel vid\u00e9o deepfake, dans lequel le CFO a \u00e9t\u00e9 imit\u00e9 pour un pr\u00e9tendu virement li\u00e9 \u00e0 une acquisition.<\/p>\n<\/div>\n<\/div>\n<\/div>\n
Ce que les entreprises doivent faire maintenant<\/h2>\n
La d\u00e9fense contre les attaques deepfake n\u00e9cessite une combinaison de contr\u00f4les techniques, de changements de processus et de formations de sensibilisation. La technologie seule ne suffit pas, les processus seuls non plus. Les deux doivent fonctionner ensemble. Les mesures suivantes sont prioris\u00e9es par efficacit\u00e9 et peuvent \u00eatre mises en oeuvre progressivement.<\/p>\n
Contr\u00f4les techniques<\/strong><\/p>\n\n- V\u00e9rification multi-facteurs pour tous les virements d\u00e9passant un seuil d\u00e9fini : aucun canal de communication unique ne doit suffire. Les autorisations de virement doivent \u00eatre confirm\u00e9es via un canal s\u00e9par\u00e9, convenu \u00e0 l’avance.<\/li>\n
- Syst\u00e8mes de mots de code : des mots de passe convenus \u00e0 l’avance, demand\u00e9s lors des transactions sensibles. Le mot de code est convenu en personne ou par message chiffr\u00e9 et chang\u00e9 r\u00e9guli\u00e8rement.<\/li>\n
- Outils de d\u00e9tection des deepfakes : des solutions comme Reality Defender, Sensity ou Intel FakeCatcher analysent les flux audio et vid\u00e9o \u00e0 la recherche d’artefacts de manipulation. La technologie est encore jeune et n’est pas infaillible, mais offre une couche de s\u00e9curit\u00e9 suppl\u00e9mentaire.<\/li>\n
- Analyse comportementale assist\u00e9e par IA : des syst\u00e8mes qui apprennent le sch\u00e9ma de communication typique des dirigeants et signalent les \u00e9carts, par exemple les demandes de virement inhabituelles en dehors de l’activit\u00e9 normale.<\/li>\n<\/ul>\n
Changements de processus<\/strong><\/p>\n\n- Proc\u00e9dures de rappel via des num\u00e9ros pr\u00e9alablement enregistr\u00e9s : les rappels s’effectuent exclusivement via des num\u00e9ros de t\u00e9l\u00e9phone enregistr\u00e9s en interne, et non via le num\u00e9ro affich\u00e9 lors de l’appel.<\/li>\n
- D\u00e9lai d’attente pour les virements inhabituels : toute transaction en dehors de l’activit\u00e9 normale est soumise \u00e0 un d\u00e9lai d’attente minimal de quatre \u00e0 huit heures avant son ex\u00e9cution.<\/li>\n
- Protocole d’escalade : lorsqu’un dirigeant demande un virement urgent par vid\u00e9o ou t\u00e9l\u00e9phone et exerce une pression temporelle, cela est automatiquement class\u00e9 comme risque \u00e9lev\u00e9 et requiert une approbation suppl\u00e9mentaire.<\/li>\n<\/ul>\n
Sensibilisation et formation<\/strong><\/p>\n\n- Int\u00e9grer la sensibilisation aux deepfakes dans la formation r\u00e9guli\u00e8re \u00e0 la s\u00e9curit\u00e9. Les employ\u00e9s des services financiers, des RH et aux fonctions d’assistanat doivent savoir que les voix et les vid\u00e9os peuvent \u00eatre manipul\u00e9es.<\/li>\n
- Organiser r\u00e9guli\u00e8rement des exercices de simulation avec des sc\u00e9narios deepfake : l’\u00e9quipe de s\u00e9curit\u00e9 simule un appel deepfake aupr\u00e8s de la comptabilit\u00e9 et teste si les processus d\u00e9finis et les voies d’escalade fonctionnent r\u00e9ellement.<\/li>\n
- Pas d’attribution de responsabilit\u00e9 apr\u00e8s un incident : la qualit\u00e9 des deepfakes actuels est si \u00e9lev\u00e9e qu’une d\u00e9tection fiable par l’humain n’est plus possible. C’est le processus qui doit prot\u00e9ger, pas l’employ\u00e9 individuel. Une culture d’attribution de responsabilit\u00e9 conduit \u00e0 ce que les incidents soient dissimul\u00e9s plut\u00f4t que signal\u00e9s.<\/li>\n
- Impliquer les dirigeants dans la sensibilisation : les PDG et CFO doivent comprendre que leurs apparitions publiques servent de mod\u00e8le pour les deepfakes. Cela ne signifie pas restreindre la communication publique, mais concevoir les processus internes de mani\u00e8re \u00e0 ce que m\u00eame une imitation parfaite de leur comportement ne puisse pas d\u00e9clencher une transaction non autoris\u00e9e.<\/li>\n<\/ul>\n
Le r\u00f4le de l’assurance cyber<\/h2>\n
Les assurances cyber ne couvrent pas automatiquement les dommages li\u00e9s aux fraudes deepfake. De nombreuses polices distinguent la fraude par ing\u00e9nierie sociale des cyberattaques classiques. Les attaques deepfake tombent souvent dans une zone grise : il s’agit techniquement d’ing\u00e9nierie sociale, mais les moyens utilis\u00e9s sont hautement techniques. Les entreprises devraient examiner sp\u00e9cifiquement leur police concernant la couverture des fraudes assist\u00e9es par IA et n\u00e9gocier, le cas \u00e9ch\u00e9ant, un module sp\u00e9cifique.<\/p>\n
Dans le m\u00eame temps, les assureurs exigent de plus en plus la preuve de mesures pr\u00e9ventives. Ceux qui peuvent d\u00e9montrer que la v\u00e9rification \u00e0 deux canaux, les syst\u00e8mes de mots de code et les formations r\u00e9guli\u00e8res de sensibilisation sont mis en oeuvre obtiennent non seulement de meilleures conditions, mais \u00e9vitent \u00e9galement les refus en cas de sinistre. L’investissement dans la pr\u00e9vention est donc doublement rentable : il r\u00e9duit le risque d’une attaque r\u00e9ussie et s\u00e9curise la couverture d’assurance en cas de besoin.<\/p>\n
Conclusion : ne faites confiance ni \u00e0 vos yeux ni \u00e0 vos oreilles<\/h2>\n
Les attaques deepfake contre les directions d’entreprise ne sont plus une menace future. Elles se produisent maintenant, elles causent des dommages de plusieurs millions et elles deviennent meilleures et moins ch\u00e8res. L’affaire Arup a montr\u00e9 que m\u00eame des professionnels de la finance exp\u00e9riment\u00e9s ne peuvent plus distinguer la r\u00e9alit\u00e9 de la falsification dans un appel deepfake bien orchestr\u00e9.<\/p>\n
La cons\u00e9quence est claire : les entreprises doivent concevoir leurs processus de virement de mani\u00e8re \u00e0 ce qu’ils fonctionnent en toute s\u00e9curit\u00e9 m\u00eame si la voix et le visage du donneur d’ordre sont parfaitement falsifi\u00e9s. Cela signifie concr\u00e8tement : ne jamais accepter un seul canal de communication comme authentification. Toujours confirmer via un canal s\u00e9par\u00e9, convenu \u00e0 l’avance. Et traiter toute pression temporelle lors de transactions financi\u00e8res comme un signal d’alerte plut\u00f4t que comme une raison d’acc\u00e9l\u00e9rer l’approbation.<\/p>\n
Commencez cette semaine par un examen de vos processus d’autorisation de virement. Posez-vous une question simple : ce processus tiendrait-il m\u00eame si le PDG au t\u00e9l\u00e9phone n’est pas r\u00e9el ? Si la r\u00e9ponse n’est pas clairement oui, vous avez trouv\u00e9 votre premier point d’action. La technologie des attaquants \u00e9volue plus vite que la capacit\u00e9 de perception humaine. Seuls des processus robustes comblent la lacune que nos sens ne peuvent plus combler.<\/p>\n
Questions fr\u00e9quentes<\/h2>\n
Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n\nQu’est-ce qu’une attaque deepfake contre une entreprise ?<\/strong><\/summary>\nUne attaque deepfake utilise des imitations audio ou vid\u00e9o de dirigeants g\u00e9n\u00e9r\u00e9es par IA pour manipuler des employ\u00e9s. Typiquement, des employ\u00e9s des services financiers sont amen\u00e9s \u00e0 effectuer des virements lors d’un faux appel vid\u00e9o ou t\u00e9l\u00e9phonique. La technologie peut reproduire la voix d’une personne \u00e0 85 % avec seulement trois secondes d’enregistrement audio.<\/p>\n<\/details>\n\nQuels dommages les attaques deepfake causent-elles ?<\/strong><\/summary>\nLes pertes li\u00e9es aux fraudes deepfake aux \u00c9tats-Unis s’\u00e9levaient \u00e0 1,1 milliard de dollars am\u00e9ricains en 2025. Des cas individuels comme l’incident Arup (25 millions de dollars am\u00e9ricains) ou l’affaire Fortune 500 d\u00e9but 2026 (28 millions de dollars am\u00e9ricains) illustrent le potentiel de dommage par incident. Deloitte pr\u00e9voit que la fraude bas\u00e9e sur l’IA g\u00e9n\u00e9rative atteindra 40 milliards de dollars am\u00e9ricains d’ici 2027.<\/p>\n<\/details>\n\nLes humains peuvent-ils d\u00e9tecter les deepfakes ?<\/strong><\/summary>\nDes \u00e9tudes montrent que les humains n’identifient correctement les deepfakes vid\u00e9o de haute qualit\u00e9 que dans 24,5 % des cas. 70 % des personnes interrog\u00e9es ont d\u00e9clar\u00e9 ne pas pouvoir distinguer avec certitude si une voix est r\u00e9elle ou clon\u00e9e. La d\u00e9tection humaine n’est donc pas un m\u00e9canisme de protection fiable. Les contr\u00f4les techniques et les dispositifs de s\u00e9curit\u00e9 des processus doivent porter l’essentiel de la charge.<\/p>\n<\/details>\n\nComment les entreprises peuvent-elles se prot\u00e9ger contre la fraude deepfake ?<\/strong><\/summary>\nLes mesures les plus efficaces sont : la v\u00e9rification \u00e0 deux canaux pour tous les virements d\u00e9passant un seuil d\u00e9fini, des mots de code convenus \u00e0 l’avance pour les transactions sensibles, des proc\u00e9dures de rappel via des num\u00e9ros enregistr\u00e9s en interne, un d\u00e9lai d’attente pour les transactions inhabituelles et l’int\u00e9gration de la sensibilisation aux deepfakes dans la formation r\u00e9guli\u00e8re \u00e0 la s\u00e9curit\u00e9.<\/p>\n<\/details>\n\nLa technologie de clonage vocal est-elle librement disponible ?<\/strong><\/summary>\nOui. Depuis 2022, les outils de clonage vocal sont disponibles en tant que projets open source. Des plateformes commerciales de deepfake en tant que service proposent en outre des solutions cl\u00e9s en main \u00e0 bas co\u00fbt. La barri\u00e8re \u00e0 l’entr\u00e9e pour les attaquants se situe dans une fourchette basse \u00e0 trois chiffres en euros. Trois secondes d’enregistrement audio d’une personne suffisent pour cr\u00e9er une copie vocale convaincante.<\/p>\n<\/details>\n
\nLectures recommand\u00e9es<\/h2>\n\n- OWASP Agentic AI Top 10 : quand les agents IA deviennent la plus grande surface d’attaque<\/a> (SecurityToday)<\/li>\n
- L’IA on-premise comme strat\u00e9gie de s\u00e9curit\u00e9 : ce que Gemma 4 signifie pour la protection des donn\u00e9es<\/a> (SecurityToday)<\/li>\n
- Gestion des acc\u00e8s privil\u00e9gi\u00e9s : pourquoi les comptes administrateurs sont la plus grande porte d’entr\u00e9e pour les attaques<\/a> (SecurityToday)<\/li>\n<\/ul>\n<\/div>\n\n<\/p>\n
Les choix de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/03\/owasp-agentic-ai-sicherheitsrisiken-250x167.jpg\")
<\/span>\u00c0 lire<\/span>OWASP Agentic AI Top 10 : Quand les agents d\u2019IA deviennent la plus grande surface d\u2019attaque<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/04\/onpremise-ki-datenschutz-250x167.jpg\")
<\/span>\u00c0 lire<\/span>L\u2019IA on-premise comme strategie de securite : ce que Gemma 4 signifie pour la protection des donnees<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/03\/pexels-279810-privileged-access-management-250x167.jpg\")
<\/span>\u00c0 lire<\/span>Gestion des acc\u00e8s privil\u00e9gi\u00e9s : pourquoi les comptes administrateurs sont la principale porte d\u2019entr\u00e9e pour les attaquants<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-gemma-4-lokal-deployen-was-googles-open-517763.jpg\")
<\/span>cloudmagazin<\/span>Gemma 4 en local : l\u2019offensive open source de Google<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-geopolitik-datacenter-roadmap-lieferkett-8054517-250x143.jpg\")
<\/span>Digital Chiefs<\/span>G?opolitique et datacenters : ce que les DSI s?curisent<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-babyboomer-renteneintritt-demografie-lue-65687936-250x167.jpg\")
<\/span>MyBusinessFuture<\/span>Treize millions trois cent mille personnes partent \u00e0 la retraite : le foss\u00e9 des baby-boomers arrive<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"La fraude deepfake au PDG est r\u00e9elle : 25 M USD dans l’affaire Arup. Comment prot\u00e9ger vos processus de paiement.","protected":false},"author":50,"featured_media":11333,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"fraude deepfake","_yoast_wpseo_title":"Attaques deepfake contre la direction : comment les voix g\u00e9n\u00e9r\u00e9es par IA volent","_yoast_wpseo_metadesc":"Attaques deepfake contre PDG et DAF : 1,1 Md USD de dommages en 2025. L'affaire Arup, clonage vocal et contre-mesures concr\u00e8tes.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[256,260],"tags":[],"class_list":["post-11074","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr","category-strategie-governance-fr"],"evm_reading_time_minutes":15,"wpml_language":"fr","wpml_translation_of":11069,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/11074","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=11074"}],"version-history":[{"count":6,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/11074\/revisions"}],"predecessor-version":[{"id":21627,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/11074\/revisions\/21627"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/11333"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=11074"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=11074"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=11074"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
Comment l’attaque Arup a fonctionn\u00e9<\/h2>\n
L’affaire Arup \u00e0 Hong Kong est particuli\u00e8rement instructive car elle illustre le niveau de professionnalisme des attaques deepfake aujourd’hui. Les attaquants ont cr\u00e9\u00e9 des copies vid\u00e9o et audio g\u00e9n\u00e9r\u00e9es par IA du CFO et d’autres dirigeants du cabinet d’ing\u00e9nierie international. Ces deepfakes ont \u00e9t\u00e9 utilis\u00e9s lors d’un appel vid\u00e9o en direct – non pas comme une vid\u00e9o pr\u00e9enregistr\u00e9e, mais comme une conf\u00e9rence en temps r\u00e9el avec plusieurs participants.<\/p>\n
L’employ\u00e9 du d\u00e9partement financier voyait et entendait ses sup\u00e9rieurs dans ce qui semblait \u00eatre une r\u00e9union de conf\u00e9rence normale. Les instructions \u00e9taient claires et coh\u00e9rentes. L’urgence \u00e9tait cr\u00e9\u00e9e par le contexte d’une pr\u00e9tendue acquisition d’entreprise. En une seule s\u00e9ance, il a approuv\u00e9 15 virements individuels vers diff\u00e9rents comptes \u00e0 Hong Kong. Ce n’est qu’apr\u00e8s le dernier virement et une demande de v\u00e9rification interne qu’il est apparu que toute la conf\u00e9rence \u00e9tait mise en sc\u00e8ne. Les v\u00e9ritables dirigeants n’en savaient rien. La somme \u00e9tait perdue sans recours.<\/p>\n
Cette attaque n’a pas fonctionn\u00e9 parce que l’employ\u00e9 \u00e9tait cr\u00e9dule. Elle a fonctionn\u00e9 parce que la technologie a atteint un niveau o\u00f9 l’authentification visuelle et acoustique ne suffit plus. La confiance accord\u00e9e \u00e0 ce que nous voyons et entendons n’est plus un m\u00e9canisme de s\u00e9curit\u00e9 fiable.<\/p>\n
1,1 Md de dollars am\u00e9ricains<\/p>\n
Pertes li\u00e9es aux fraudes deepfake aux \u00c9tats-Unis en 2025. Un triplement par rapport \u00e0 360 millions de dollars am\u00e9ricains l’ann\u00e9e pr\u00e9c\u00e9dente.<\/p>\n
3 secondes<\/p>\n
D’enregistrement audio suffisent pour cr\u00e9er une copie vocale correspondant \u00e0 85 % de l’original.<\/p>\n
24,5 %<\/p>\n
des personnes d\u00e9tectent correctement les deepfakes vid\u00e9o de haute qualit\u00e9. La d\u00e9tection visuelle n’est plus une protection fiable.<\/p>\n
Sources : Chainalysis 2025, McAfee Deepfake Audio Study 2024, University College London Study<\/p>\n<\/div>\n
Pourquoi les d\u00e9fenses classiques \u00e9chouent<\/h2>\n
La compromission de la messagerie professionnelle (BEC) est l’une des formes de fraude les plus co\u00fbteuses depuis des ann\u00e9es. Le m\u00e9canisme \u00e9tait jusqu’ici relativement simple : un attaquant falsifie un e-mail du PDG ou du CFO et demande un virement urgent. La d\u00e9fense \u00e9tait relativement simple et souvent efficace : authentification des e-mails avec DMARC, proc\u00e9dures de rappel t\u00e9l\u00e9phonique pour les demandes inhabituelles et principe du double contr\u00f4le pour les virements d\u00e9passant un certain seuil.<\/p>\n
Les deepfakes contournent pr\u00e9cis\u00e9ment ces contr\u00f4les \u00e9prouv\u00e9s, l’un apr\u00e8s l’autre. Un rappel t\u00e9l\u00e9phonique ne sert \u00e0 rien si la voix au bout du fil est clon\u00e9e. Un appel vid\u00e9o de v\u00e9rification ne prot\u00e8ge pas si la vid\u00e9o est falsifi\u00e9e en temps r\u00e9el. Et le principe du double contr\u00f4le \u00e9choue si les deux v\u00e9rificateurs participent au m\u00eame appel manipul\u00e9 et voient plusieurs pr\u00e9tendus dirigeants confirmer la transaction. Les attaquants n’ont pas modifi\u00e9 l’attaque elle-m\u00eame – ils ont chang\u00e9 le canal par lequel la confiance et l’autorit\u00e9 sont \u00e9tablies.<\/p>\n
Particuli\u00e8rement pernicieux : les attaquants utilisent des informations publiquement disponibles pour leur pr\u00e9paration. Les interviews du PDG sur YouTube, les podcasts du CFO, les vid\u00e9os LinkedIn et les interventions lors de conf\u00e9rences fournissent le mat\u00e9riel audio pour cloner la voix. Les organigrammes d’entreprise sur les sites web indiquent qui rapporte \u00e0 qui. Les communiqu\u00e9s de presse sur les acquisitions ou partenariats fournissent le cadre narratif pour la pr\u00e9tendue demande de virement. L’ensemble de l’attaque est assembl\u00e9 \u00e0 partir de sources accessibles au public.<\/p>\n
La technologie sous-jacente est devenue effrayamment accessible. Des plateformes de deepfake en tant que service proposent le clonage vocal et la synth\u00e8se vid\u00e9o comme service commercial. Selon un rapport de Cyble, la disponibilit\u00e9 de ces services a explos\u00e9 en 2025. Le co\u00fbt d’entr\u00e9e pour un clone vocal convaincant se situe dans une fourchette basse \u00e0 trois chiffres. La barri\u00e8re \u00e0 l’entr\u00e9e pour les attaquants a pratiquement disparu. Ce qui n\u00e9cessitait un travail de sp\u00e9cialiste il y a trois ans peut aujourd’hui \u00eatre mis en place par n’importe qui avec un ordinateur portable et une connexion internet en quelques heures. La d\u00e9mocratisation des outils IA a \u00e9galement entra\u00een\u00e9 la d\u00e9mocratisation des moyens d’attaque.<\/p>\n
Selon Deloitte, les pertes li\u00e9es aux fraudes permises par l’IA g\u00e9n\u00e9rative passeront de 12,3 milliards de dollars am\u00e9ricains en 2024 \u00e0 40 milliards de dollars am\u00e9ricains d’ici 2027, soit une croissance annuelle de 32 %. Les attaques deepfake ciblant le comit\u00e9 de direction repr\u00e9sentent le domaine avec le plus fort potentiel de dommage individuel, car elles visent directement les d\u00e9cideurs disposant d’un pouvoir de virement.<\/p>\n
En Allemagne, le BSI observe une augmentation des attaques d’ing\u00e9nierie sociale assist\u00e9es par IA. Le rapport annuel sur la cybercriminalit\u00e9 2024 du BKA documente que l’ing\u00e9nierie sociale combin\u00e9e \u00e0 des contenus g\u00e9n\u00e9r\u00e9s par IA fait partie des cat\u00e9gories de menaces \u00e0 la croissance la plus rapide. Pour les PME allemandes, la menace est particuli\u00e8rement pertinente, car les hi\u00e9rarchies plates et les relations personnelles entre la direction et la comptabilit\u00e9 cr\u00e9ent pr\u00e9cis\u00e9ment les structures de confiance que les attaquants deepfake exploitent.<\/p>\n
L’escalade depuis 2019 : une chronologie<\/h2>\n\n\n2019<\/div>\n\nPremier cas document\u00e9 de fraude par clonage vocal bas\u00e9 sur l’IA : une soci\u00e9t\u00e9 d’\u00e9nergie britannique vire 220 000 euros apr\u00e8s un appel t\u00e9l\u00e9phonique du pr\u00e9tendu PDG de la soci\u00e9t\u00e9 m\u00e8re allemande.<\/p>\n<\/div>\n<\/div>\n
\n2022<\/div>\n\nLes outils de clonage vocal deviennent open source. Des projets comme Tortoise-TTS et VALL-E abaissent consid\u00e9rablement la barri\u00e8re \u00e0 l’entr\u00e9e. Des clones vocaux sont possibles avec seulement quelques minutes d’enregistrement audio.<\/p>\n<\/div>\n<\/div>\n
\nF\u00e9v 2024<\/div>\n\nL’affaire Arup \u00e0 Hong Kong : 25 millions de dollars am\u00e9ricains de pertes lors d’un appel vid\u00e9o deepfake multi-personnes. Le plus grand cas individuel document\u00e9 \u00e0 ce jour.<\/p>\n<\/div>\n<\/div>\n
\n2025<\/div>\n\nLe deepfake en tant que service devient un march\u00e9 de masse. Les pertes li\u00e9es aux fraudes aux \u00c9tats-Unis triplent pour atteindre 1,1 milliard de dollars am\u00e9ricains. 85 % des entreprises signalent au moins un incident li\u00e9 aux deepfakes.<\/p>\n<\/div>\n<\/div>\n
\nJan 2026<\/div>\n\nUn prestataire de services financiers du Fortune 500 perd 28 millions de dollars am\u00e9ricains lors d’un seul appel vid\u00e9o deepfake, dans lequel le CFO a \u00e9t\u00e9 imit\u00e9 pour un pr\u00e9tendu virement li\u00e9 \u00e0 une acquisition.<\/p>\n<\/div>\n<\/div>\n<\/div>\n
Ce que les entreprises doivent faire maintenant<\/h2>\n
La d\u00e9fense contre les attaques deepfake n\u00e9cessite une combinaison de contr\u00f4les techniques, de changements de processus et de formations de sensibilisation. La technologie seule ne suffit pas, les processus seuls non plus. Les deux doivent fonctionner ensemble. Les mesures suivantes sont prioris\u00e9es par efficacit\u00e9 et peuvent \u00eatre mises en oeuvre progressivement.<\/p>\n
Contr\u00f4les techniques<\/strong><\/p>\n\n- V\u00e9rification multi-facteurs pour tous les virements d\u00e9passant un seuil d\u00e9fini : aucun canal de communication unique ne doit suffire. Les autorisations de virement doivent \u00eatre confirm\u00e9es via un canal s\u00e9par\u00e9, convenu \u00e0 l’avance.<\/li>\n
- Syst\u00e8mes de mots de code : des mots de passe convenus \u00e0 l’avance, demand\u00e9s lors des transactions sensibles. Le mot de code est convenu en personne ou par message chiffr\u00e9 et chang\u00e9 r\u00e9guli\u00e8rement.<\/li>\n
- Outils de d\u00e9tection des deepfakes : des solutions comme Reality Defender, Sensity ou Intel FakeCatcher analysent les flux audio et vid\u00e9o \u00e0 la recherche d’artefacts de manipulation. La technologie est encore jeune et n’est pas infaillible, mais offre une couche de s\u00e9curit\u00e9 suppl\u00e9mentaire.<\/li>\n
- Analyse comportementale assist\u00e9e par IA : des syst\u00e8mes qui apprennent le sch\u00e9ma de communication typique des dirigeants et signalent les \u00e9carts, par exemple les demandes de virement inhabituelles en dehors de l’activit\u00e9 normale.<\/li>\n<\/ul>\n
Changements de processus<\/strong><\/p>\n\n- Proc\u00e9dures de rappel via des num\u00e9ros pr\u00e9alablement enregistr\u00e9s : les rappels s’effectuent exclusivement via des num\u00e9ros de t\u00e9l\u00e9phone enregistr\u00e9s en interne, et non via le num\u00e9ro affich\u00e9 lors de l’appel.<\/li>\n
- D\u00e9lai d’attente pour les virements inhabituels : toute transaction en dehors de l’activit\u00e9 normale est soumise \u00e0 un d\u00e9lai d’attente minimal de quatre \u00e0 huit heures avant son ex\u00e9cution.<\/li>\n
- Protocole d’escalade : lorsqu’un dirigeant demande un virement urgent par vid\u00e9o ou t\u00e9l\u00e9phone et exerce une pression temporelle, cela est automatiquement class\u00e9 comme risque \u00e9lev\u00e9 et requiert une approbation suppl\u00e9mentaire.<\/li>\n<\/ul>\n
Sensibilisation et formation<\/strong><\/p>\n\n- Int\u00e9grer la sensibilisation aux deepfakes dans la formation r\u00e9guli\u00e8re \u00e0 la s\u00e9curit\u00e9. Les employ\u00e9s des services financiers, des RH et aux fonctions d’assistanat doivent savoir que les voix et les vid\u00e9os peuvent \u00eatre manipul\u00e9es.<\/li>\n
- Organiser r\u00e9guli\u00e8rement des exercices de simulation avec des sc\u00e9narios deepfake : l’\u00e9quipe de s\u00e9curit\u00e9 simule un appel deepfake aupr\u00e8s de la comptabilit\u00e9 et teste si les processus d\u00e9finis et les voies d’escalade fonctionnent r\u00e9ellement.<\/li>\n
- Pas d’attribution de responsabilit\u00e9 apr\u00e8s un incident : la qualit\u00e9 des deepfakes actuels est si \u00e9lev\u00e9e qu’une d\u00e9tection fiable par l’humain n’est plus possible. C’est le processus qui doit prot\u00e9ger, pas l’employ\u00e9 individuel. Une culture d’attribution de responsabilit\u00e9 conduit \u00e0 ce que les incidents soient dissimul\u00e9s plut\u00f4t que signal\u00e9s.<\/li>\n
- Impliquer les dirigeants dans la sensibilisation : les PDG et CFO doivent comprendre que leurs apparitions publiques servent de mod\u00e8le pour les deepfakes. Cela ne signifie pas restreindre la communication publique, mais concevoir les processus internes de mani\u00e8re \u00e0 ce que m\u00eame une imitation parfaite de leur comportement ne puisse pas d\u00e9clencher une transaction non autoris\u00e9e.<\/li>\n<\/ul>\n
Le r\u00f4le de l’assurance cyber<\/h2>\n
Les assurances cyber ne couvrent pas automatiquement les dommages li\u00e9s aux fraudes deepfake. De nombreuses polices distinguent la fraude par ing\u00e9nierie sociale des cyberattaques classiques. Les attaques deepfake tombent souvent dans une zone grise : il s’agit techniquement d’ing\u00e9nierie sociale, mais les moyens utilis\u00e9s sont hautement techniques. Les entreprises devraient examiner sp\u00e9cifiquement leur police concernant la couverture des fraudes assist\u00e9es par IA et n\u00e9gocier, le cas \u00e9ch\u00e9ant, un module sp\u00e9cifique.<\/p>\n
Dans le m\u00eame temps, les assureurs exigent de plus en plus la preuve de mesures pr\u00e9ventives. Ceux qui peuvent d\u00e9montrer que la v\u00e9rification \u00e0 deux canaux, les syst\u00e8mes de mots de code et les formations r\u00e9guli\u00e8res de sensibilisation sont mis en oeuvre obtiennent non seulement de meilleures conditions, mais \u00e9vitent \u00e9galement les refus en cas de sinistre. L’investissement dans la pr\u00e9vention est donc doublement rentable : il r\u00e9duit le risque d’une attaque r\u00e9ussie et s\u00e9curise la couverture d’assurance en cas de besoin.<\/p>\n
Conclusion : ne faites confiance ni \u00e0 vos yeux ni \u00e0 vos oreilles<\/h2>\n
Les attaques deepfake contre les directions d’entreprise ne sont plus une menace future. Elles se produisent maintenant, elles causent des dommages de plusieurs millions et elles deviennent meilleures et moins ch\u00e8res. L’affaire Arup a montr\u00e9 que m\u00eame des professionnels de la finance exp\u00e9riment\u00e9s ne peuvent plus distinguer la r\u00e9alit\u00e9 de la falsification dans un appel deepfake bien orchestr\u00e9.<\/p>\n
La cons\u00e9quence est claire : les entreprises doivent concevoir leurs processus de virement de mani\u00e8re \u00e0 ce qu’ils fonctionnent en toute s\u00e9curit\u00e9 m\u00eame si la voix et le visage du donneur d’ordre sont parfaitement falsifi\u00e9s. Cela signifie concr\u00e8tement : ne jamais accepter un seul canal de communication comme authentification. Toujours confirmer via un canal s\u00e9par\u00e9, convenu \u00e0 l’avance. Et traiter toute pression temporelle lors de transactions financi\u00e8res comme un signal d’alerte plut\u00f4t que comme une raison d’acc\u00e9l\u00e9rer l’approbation.<\/p>\n
Commencez cette semaine par un examen de vos processus d’autorisation de virement. Posez-vous une question simple : ce processus tiendrait-il m\u00eame si le PDG au t\u00e9l\u00e9phone n’est pas r\u00e9el ? Si la r\u00e9ponse n’est pas clairement oui, vous avez trouv\u00e9 votre premier point d’action. La technologie des attaquants \u00e9volue plus vite que la capacit\u00e9 de perception humaine. Seuls des processus robustes comblent la lacune que nos sens ne peuvent plus combler.<\/p>\n
Questions fr\u00e9quentes<\/h2>\n
Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n\nQu’est-ce qu’une attaque deepfake contre une entreprise ?<\/strong><\/summary>\nUne attaque deepfake utilise des imitations audio ou vid\u00e9o de dirigeants g\u00e9n\u00e9r\u00e9es par IA pour manipuler des employ\u00e9s. Typiquement, des employ\u00e9s des services financiers sont amen\u00e9s \u00e0 effectuer des virements lors d’un faux appel vid\u00e9o ou t\u00e9l\u00e9phonique. La technologie peut reproduire la voix d’une personne \u00e0 85 % avec seulement trois secondes d’enregistrement audio.<\/p>\n<\/details>\n\nQuels dommages les attaques deepfake causent-elles ?<\/strong><\/summary>\nLes pertes li\u00e9es aux fraudes deepfake aux \u00c9tats-Unis s’\u00e9levaient \u00e0 1,1 milliard de dollars am\u00e9ricains en 2025. Des cas individuels comme l’incident Arup (25 millions de dollars am\u00e9ricains) ou l’affaire Fortune 500 d\u00e9but 2026 (28 millions de dollars am\u00e9ricains) illustrent le potentiel de dommage par incident. Deloitte pr\u00e9voit que la fraude bas\u00e9e sur l’IA g\u00e9n\u00e9rative atteindra 40 milliards de dollars am\u00e9ricains d’ici 2027.<\/p>\n<\/details>\n\nLes humains peuvent-ils d\u00e9tecter les deepfakes ?<\/strong><\/summary>\nDes \u00e9tudes montrent que les humains n’identifient correctement les deepfakes vid\u00e9o de haute qualit\u00e9 que dans 24,5 % des cas. 70 % des personnes interrog\u00e9es ont d\u00e9clar\u00e9 ne pas pouvoir distinguer avec certitude si une voix est r\u00e9elle ou clon\u00e9e. La d\u00e9tection humaine n’est donc pas un m\u00e9canisme de protection fiable. Les contr\u00f4les techniques et les dispositifs de s\u00e9curit\u00e9 des processus doivent porter l’essentiel de la charge.<\/p>\n<\/details>\n\nComment les entreprises peuvent-elles se prot\u00e9ger contre la fraude deepfake ?<\/strong><\/summary>\nLes mesures les plus efficaces sont : la v\u00e9rification \u00e0 deux canaux pour tous les virements d\u00e9passant un seuil d\u00e9fini, des mots de code convenus \u00e0 l’avance pour les transactions sensibles, des proc\u00e9dures de rappel via des num\u00e9ros enregistr\u00e9s en interne, un d\u00e9lai d’attente pour les transactions inhabituelles et l’int\u00e9gration de la sensibilisation aux deepfakes dans la formation r\u00e9guli\u00e8re \u00e0 la s\u00e9curit\u00e9.<\/p>\n<\/details>\n\nLa technologie de clonage vocal est-elle librement disponible ?<\/strong><\/summary>\nOui. Depuis 2022, les outils de clonage vocal sont disponibles en tant que projets open source. Des plateformes commerciales de deepfake en tant que service proposent en outre des solutions cl\u00e9s en main \u00e0 bas co\u00fbt. La barri\u00e8re \u00e0 l’entr\u00e9e pour les attaquants se situe dans une fourchette basse \u00e0 trois chiffres en euros. Trois secondes d’enregistrement audio d’une personne suffisent pour cr\u00e9er une copie vocale convaincante.<\/p>\n<\/details>\n
\nLectures recommand\u00e9es<\/h2>\n\n- OWASP Agentic AI Top 10 : quand les agents IA deviennent la plus grande surface d’attaque<\/a> (SecurityToday)<\/li>\n
- L’IA on-premise comme strat\u00e9gie de s\u00e9curit\u00e9 : ce que Gemma 4 signifie pour la protection des donn\u00e9es<\/a> (SecurityToday)<\/li>\n
- Gestion des acc\u00e8s privil\u00e9gi\u00e9s : pourquoi les comptes administrateurs sont la plus grande porte d’entr\u00e9e pour les attaques<\/a> (SecurityToday)<\/li>\n<\/ul>\n<\/div>\n\n<\/p>\n
Les choix de la r\u00e9daction<\/h3>\n
<\/span>\u00c0 lire<\/span>OWASP Agentic AI Top 10 : Quand les agents d\u2019IA deviennent la plus grande surface d\u2019attaque<\/span><\/span><\/a><\/span>\u00c0 lire<\/span>L\u2019IA on-premise comme strategie de securite : ce que Gemma 4 signifie pour la protection des donnees<\/span><\/span><\/a><\/span>\u00c0 lire<\/span>Gestion des acc\u00e8s privil\u00e9gi\u00e9s : pourquoi les comptes administrateurs sont la principale porte d\u2019entr\u00e9e pour les attaquants<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
<\/span>cloudmagazin<\/span>Gemma 4 en local : l\u2019offensive open source de Google<\/span><\/span><\/a><\/span>Digital Chiefs<\/span>G?opolitique et datacenters : ce que les DSI s?curisent<\/span><\/span><\/a><\/span>MyBusinessFuture<\/span>Treize millions trois cent mille personnes partent \u00e0 la retraite : le foss\u00e9 des baby-boomers arrive<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"La fraude deepfake au PDG est r\u00e9elle : 25 M USD dans l’affaire Arup. Comment prot\u00e9ger vos processus de paiement.","protected":false},"author":50,"featured_media":11333,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"fraude deepfake","_yoast_wpseo_title":"Attaques deepfake contre la direction : comment les voix g\u00e9n\u00e9r\u00e9es par IA volent","_yoast_wpseo_metadesc":"Attaques deepfake contre PDG et DAF : 1,1 Md USD de dommages en 2025. L'affaire Arup, clonage vocal et contre-mesures concr\u00e8tes.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[256,260],"tags":[],"class_list":["post-11074","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr","category-strategie-governance-fr"],"evm_reading_time_minutes":15,"wpml_language":"fr","wpml_translation_of":11069,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/11074","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=11074"}],"version-history":[{"count":6,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/11074\/revisions"}],"predecessor-version":[{"id":21627,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/11074\/revisions\/21627"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/11333"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=11074"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=11074"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=11074"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
Premier cas document\u00e9 de fraude par clonage vocal bas\u00e9 sur l’IA : une soci\u00e9t\u00e9 d’\u00e9nergie britannique vire 220 000 euros apr\u00e8s un appel t\u00e9l\u00e9phonique du pr\u00e9tendu PDG de la soci\u00e9t\u00e9 m\u00e8re allemande.<\/p>\n<\/div>\n<\/div>\n
Les outils de clonage vocal deviennent open source. Des projets comme Tortoise-TTS et VALL-E abaissent consid\u00e9rablement la barri\u00e8re \u00e0 l’entr\u00e9e. Des clones vocaux sont possibles avec seulement quelques minutes d’enregistrement audio.<\/p>\n<\/div>\n<\/div>\n
L’affaire Arup \u00e0 Hong Kong : 25 millions de dollars am\u00e9ricains de pertes lors d’un appel vid\u00e9o deepfake multi-personnes. Le plus grand cas individuel document\u00e9 \u00e0 ce jour.<\/p>\n<\/div>\n<\/div>\n
Le deepfake en tant que service devient un march\u00e9 de masse. Les pertes li\u00e9es aux fraudes aux \u00c9tats-Unis triplent pour atteindre 1,1 milliard de dollars am\u00e9ricains. 85 % des entreprises signalent au moins un incident li\u00e9 aux deepfakes.<\/p>\n<\/div>\n<\/div>\n
Un prestataire de services financiers du Fortune 500 perd 28 millions de dollars am\u00e9ricains lors d’un seul appel vid\u00e9o deepfake, dans lequel le CFO a \u00e9t\u00e9 imit\u00e9 pour un pr\u00e9tendu virement li\u00e9 \u00e0 une acquisition.<\/p>\n<\/div>\n<\/div>\n<\/div>\n
Ce que les entreprises doivent faire maintenant<\/h2>\n
La d\u00e9fense contre les attaques deepfake n\u00e9cessite une combinaison de contr\u00f4les techniques, de changements de processus et de formations de sensibilisation. La technologie seule ne suffit pas, les processus seuls non plus. Les deux doivent fonctionner ensemble. Les mesures suivantes sont prioris\u00e9es par efficacit\u00e9 et peuvent \u00eatre mises en oeuvre progressivement.<\/p>\n
Contr\u00f4les techniques<\/strong><\/p>\n Changements de processus<\/strong><\/p>\n Sensibilisation et formation<\/strong><\/p>\n Les assurances cyber ne couvrent pas automatiquement les dommages li\u00e9s aux fraudes deepfake. De nombreuses polices distinguent la fraude par ing\u00e9nierie sociale des cyberattaques classiques. Les attaques deepfake tombent souvent dans une zone grise : il s’agit techniquement d’ing\u00e9nierie sociale, mais les moyens utilis\u00e9s sont hautement techniques. Les entreprises devraient examiner sp\u00e9cifiquement leur police concernant la couverture des fraudes assist\u00e9es par IA et n\u00e9gocier, le cas \u00e9ch\u00e9ant, un module sp\u00e9cifique.<\/p>\n Dans le m\u00eame temps, les assureurs exigent de plus en plus la preuve de mesures pr\u00e9ventives. Ceux qui peuvent d\u00e9montrer que la v\u00e9rification \u00e0 deux canaux, les syst\u00e8mes de mots de code et les formations r\u00e9guli\u00e8res de sensibilisation sont mis en oeuvre obtiennent non seulement de meilleures conditions, mais \u00e9vitent \u00e9galement les refus en cas de sinistre. L’investissement dans la pr\u00e9vention est donc doublement rentable : il r\u00e9duit le risque d’une attaque r\u00e9ussie et s\u00e9curise la couverture d’assurance en cas de besoin.<\/p>\n Les attaques deepfake contre les directions d’entreprise ne sont plus une menace future. Elles se produisent maintenant, elles causent des dommages de plusieurs millions et elles deviennent meilleures et moins ch\u00e8res. L’affaire Arup a montr\u00e9 que m\u00eame des professionnels de la finance exp\u00e9riment\u00e9s ne peuvent plus distinguer la r\u00e9alit\u00e9 de la falsification dans un appel deepfake bien orchestr\u00e9.<\/p>\n La cons\u00e9quence est claire : les entreprises doivent concevoir leurs processus de virement de mani\u00e8re \u00e0 ce qu’ils fonctionnent en toute s\u00e9curit\u00e9 m\u00eame si la voix et le visage du donneur d’ordre sont parfaitement falsifi\u00e9s. Cela signifie concr\u00e8tement : ne jamais accepter un seul canal de communication comme authentification. Toujours confirmer via un canal s\u00e9par\u00e9, convenu \u00e0 l’avance. Et traiter toute pression temporelle lors de transactions financi\u00e8res comme un signal d’alerte plut\u00f4t que comme une raison d’acc\u00e9l\u00e9rer l’approbation.<\/p>\n Commencez cette semaine par un examen de vos processus d’autorisation de virement. Posez-vous une question simple : ce processus tiendrait-il m\u00eame si le PDG au t\u00e9l\u00e9phone n’est pas r\u00e9el ? Si la r\u00e9ponse n’est pas clairement oui, vous avez trouv\u00e9 votre premier point d’action. La technologie des attaquants \u00e9volue plus vite que la capacit\u00e9 de perception humaine. Seuls des processus robustes comblent la lacune que nos sens ne peuvent plus combler.<\/p>\n Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n Une attaque deepfake utilise des imitations audio ou vid\u00e9o de dirigeants g\u00e9n\u00e9r\u00e9es par IA pour manipuler des employ\u00e9s. Typiquement, des employ\u00e9s des services financiers sont amen\u00e9s \u00e0 effectuer des virements lors d’un faux appel vid\u00e9o ou t\u00e9l\u00e9phonique. La technologie peut reproduire la voix d’une personne \u00e0 85 % avec seulement trois secondes d’enregistrement audio.<\/p>\n<\/details>\n Les pertes li\u00e9es aux fraudes deepfake aux \u00c9tats-Unis s’\u00e9levaient \u00e0 1,1 milliard de dollars am\u00e9ricains en 2025. Des cas individuels comme l’incident Arup (25 millions de dollars am\u00e9ricains) ou l’affaire Fortune 500 d\u00e9but 2026 (28 millions de dollars am\u00e9ricains) illustrent le potentiel de dommage par incident. Deloitte pr\u00e9voit que la fraude bas\u00e9e sur l’IA g\u00e9n\u00e9rative atteindra 40 milliards de dollars am\u00e9ricains d’ici 2027.<\/p>\n<\/details>\n Des \u00e9tudes montrent que les humains n’identifient correctement les deepfakes vid\u00e9o de haute qualit\u00e9 que dans 24,5 % des cas. 70 % des personnes interrog\u00e9es ont d\u00e9clar\u00e9 ne pas pouvoir distinguer avec certitude si une voix est r\u00e9elle ou clon\u00e9e. La d\u00e9tection humaine n’est donc pas un m\u00e9canisme de protection fiable. Les contr\u00f4les techniques et les dispositifs de s\u00e9curit\u00e9 des processus doivent porter l’essentiel de la charge.<\/p>\n<\/details>\n Les mesures les plus efficaces sont : la v\u00e9rification \u00e0 deux canaux pour tous les virements d\u00e9passant un seuil d\u00e9fini, des mots de code convenus \u00e0 l’avance pour les transactions sensibles, des proc\u00e9dures de rappel via des num\u00e9ros enregistr\u00e9s en interne, un d\u00e9lai d’attente pour les transactions inhabituelles et l’int\u00e9gration de la sensibilisation aux deepfakes dans la formation r\u00e9guli\u00e8re \u00e0 la s\u00e9curit\u00e9.<\/p>\n<\/details>\n Oui. Depuis 2022, les outils de clonage vocal sont disponibles en tant que projets open source. Des plateformes commerciales de deepfake en tant que service proposent en outre des solutions cl\u00e9s en main \u00e0 bas co\u00fbt. La barri\u00e8re \u00e0 l’entr\u00e9e pour les attaquants se situe dans une fourchette basse \u00e0 trois chiffres en euros. Trois secondes d’enregistrement audio d’une personne suffisent pour cr\u00e9er une copie vocale convaincante.<\/p>\n<\/details>\n\n
\n
\n
Le r\u00f4le de l’assurance cyber<\/h2>\n
Conclusion : ne faites confiance ni \u00e0 vos yeux ni \u00e0 vos oreilles<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Qu’est-ce qu’une attaque deepfake contre une entreprise ?<\/strong><\/summary>\n
Quels dommages les attaques deepfake causent-elles ?<\/strong><\/summary>\n
Les humains peuvent-ils d\u00e9tecter les deepfakes ?<\/strong><\/summary>\n
Comment les entreprises peuvent-elles se prot\u00e9ger contre la fraude deepfake ?<\/strong><\/summary>\n
La technologie de clonage vocal est-elle librement disponible ?<\/strong><\/summary>\n
Lectures recommand\u00e9es<\/h2>\n
\n
Les choix de la r\u00e9daction<\/h3>\n
<\/span>\u00c0 lire<\/span>OWASP Agentic AI Top 10 : Quand les agents d\u2019IA deviennent la plus grande surface d\u2019attaque<\/span><\/span><\/a><\/span>\u00c0 lire<\/span>L\u2019IA on-premise comme strategie de securite : ce que Gemma 4 signifie pour la protection des donnees<\/span><\/span><\/a><\/span>\u00c0 lire<\/span>Gestion des acc\u00e8s privil\u00e9gi\u00e9s : pourquoi les comptes administrateurs sont la principale porte d\u2019entr\u00e9e pour les attaquants<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
<\/span>cloudmagazin<\/span>Gemma 4 en local : l\u2019offensive open source de Google<\/span><\/span><\/a><\/span>Digital Chiefs<\/span>G?opolitique et datacenters : ce que les DSI s?curisent<\/span><\/span><\/a><\/span>MyBusinessFuture<\/span>Treize millions trois cent mille personnes partent \u00e0 la retraite : le foss\u00e9 des baby-boomers arrive<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"La fraude deepfake au PDG est r\u00e9elle : 25 M USD dans l’affaire Arup. Comment prot\u00e9ger vos processus de paiement.","protected":false},"author":50,"featured_media":11333,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"fraude deepfake","_yoast_wpseo_title":"Attaques deepfake contre la direction : comment les voix g\u00e9n\u00e9r\u00e9es par IA volent","_yoast_wpseo_metadesc":"Attaques deepfake contre PDG et DAF : 1,1 Md USD de dommages en 2025. L'affaire Arup, clonage vocal et contre-mesures concr\u00e8tes.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[256,260],"tags":[],"class_list":["post-11074","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr","category-strategie-governance-fr"],"evm_reading_time_minutes":15,"wpml_language":"fr","wpml_translation_of":11069,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/11074","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=11074"}],"version-history":[{"count":6,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/11074\/revisions"}],"predecessor-version":[{"id":21627,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/11074\/revisions\/21627"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/11333"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=11074"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=11074"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=11074"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}