7 min. de lecture<\/p>\n
Quelques secondes d’audio suffisent pour cloner une voix de mani\u00e8re convaincante. Il devient alors possible de reproduire au t\u00e9l\u00e9phone un directeur g\u00e9n\u00e9ral donnant l’ordre d’un virement urgent. Un antivirus n’y peut rien. La protection passe par un processus de v\u00e9rification strict avant chaque paiement. Les dirigeants et les \u00e9quipes financi\u00e8res ont besoin de r\u00e8gles convenues qui s’appliquent avant que l’argent ne circule.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n \u00c0 lire aussi :<\/span>Clones vocaux IA : comment les entreprises DACH se prot\u00e8gent<\/a> \/<\/span> AI-Phishing : les filtres e-mail deviennent aveugles<\/a><\/p>\n Qu’est-ce qu’un deepfake ?<\/strong> Un deepfake est un m\u00e9dia cr\u00e9\u00e9 ou alt\u00e9r\u00e9 par intelligence artificielle qui imite trompeusement une personne r\u00e9elle dans sa voix, son visage ou les deux. Pour le clone vocal, un court \u00e9chantillon audio suffit pour que le syst\u00e8me fasse prononcer \u00e0 une personne des phrases qu’elle n’a jamais dites.<\/p>\n Ce qui est nouveau, ce n’est pas la technique, c’est l’outil. Dans ce que l’on appelle la fraude au pr\u00e9sident, un attaquant se fait passer pour un directeur g\u00e9n\u00e9ral ou un directeur financier et ordonne un virement urgent vers un nouveau compte. Autrefois, cela passait par des e-mails falsifi\u00e9s. Aujourd’hui s’y ajoute l’appel avec la voix famili\u00e8re, et dans les cas les plus \u00e9labor\u00e9s, m\u00eame une fausse visioconf\u00e9rence.<\/p>\n Les dirigeants sont des cibles attrayantes parce que leur voix est disponible publiquement et que leurs instructions font autorit\u00e9. Conf\u00e9rences, interviews et apparitions en podcast fournissent abondamment du mat\u00e9riau audio. Une affaire connue dans un groupe d’ing\u00e9nierie \u00e0 Hong Kong a montr\u00e9 comment un employ\u00e9 a vir\u00e9 une somme \u00e0 deux chiffres en millions apr\u00e8s une visioconf\u00e9rence falsifi\u00e9e. Les attaquants misent sur l’autorit\u00e9 et l’urgence, une combinaison destin\u00e9e \u00e0 court-circuiter les \u00e9tapes de v\u00e9rification.<\/p>\n L’espoir naturel est de disposer d’un outil capable de d\u00e9tecter les falsifications. De tels d\u00e9tecteurs de deepfakes existent et sont utiles. Mais une entreprise ne peut pas s’y fier enti\u00e8rement, car les faux s’am\u00e9liorent aussi vite que les syst\u00e8mes de d\u00e9tection.<\/p>\n La perception humaine est encore plus d\u00e9faillante. Des \u00e9tudes montrent que les humains ne parviennent pas \u00e0 identifier de mani\u00e8re fiable les vid\u00e9os deepfake de haute qualit\u00e9, et que beaucoup sont incapables de distinguer avec certitude une voix clon\u00e9e d’une voix r\u00e9elle. L’ou\u00efe, sur laquelle beaucoup souhaitent compter en cas d’urgence, ne constitue donc pas un contr\u00f4le fiable. Ce qui est fiable en d\u00e9finitive, c’est uniquement le processus organisationnel.<\/p>\n Une protection efficace repose sur quelques r\u00e8gles strictement d\u00e9finies, que chaque ordre de paiement doit respecter. Il est essentiel que ces r\u00e8gles soient \u00e9tablies \u00e0 l’avance et ne puissent pas \u00eatre remises en question en cas d’urgence.<\/p>\n Comment v\u00e9rifier<\/p>\n Ce sur quoi on ne peut pas compter<\/p>\n L’\u00e9tape la plus importante est le rappel. Toute personne recevant un ordre de paiement inhabituel rappelle via un num\u00e9ro qu’elle a elle-m\u00eame recherch\u00e9, et non via celui communiqu\u00e9 lors de l’appel. \u00c0 cela s’ajoute un mot de code convenu, permettant de distinguer les instructions authentiques des instructions falsifi\u00e9es, ainsi que le principe des quatre yeux, selon lequel aucun paiement critique ne peut \u00eatre valid\u00e9 par une seule personne. Des formations de sensibilisation maintiennent ces r\u00e8gles \u00e0 l’esprit, car un processus n’est utile que si quelqu’un l’applique au moment d\u00e9cisif.<\/p>\n Les voix et les visages sont des donn\u00e9es \u00e0 caract\u00e8re personnel. Quiconque traite des enregistrements vocaux \u00e0 des fins de v\u00e9rification ou de d\u00e9tection de falsifications op\u00e8re dans le champ d’application du RGPD et doit disposer d’une base juridique solide ainsi que de r\u00e8gles de suppression claires. Les proc\u00e9dures biom\u00e9triques exigent une vigilance particuli\u00e8re.<\/p>\n Pour de nombreuses entreprises, NIS2 s’y ajoute. La directive impose aux entit\u00e9s concern\u00e9es une gestion ad\u00e9quate des risques ainsi que la notification des incidents significatifs. Une fraude par deepfake r\u00e9ussie causant des dommages importants peut en relever. La protection contre le clonage vocal devient ainsi non plus une simple question financi\u00e8re, mais une composante des obligations en mati\u00e8re de s\u00e9curit\u00e9 et de conformit\u00e9.<\/p>\n Tr\u00e8s peu. Selon les rapports, quelques secondes d’enregistrement vocal suffisent pour reproduire une voix de mani\u00e8re exploitable. Les dirigeants s’exprimant souvent en public, le mat\u00e9riel est fr\u00e9quemment accessible librement, par exemple dans des interviews, des conf\u00e9rences ou des podcasts.<\/p>\n Difficilement de mani\u00e8re fiable. Des \u00e9tudes montrent que la majorit\u00e9 des personnes ne parvient pas \u00e0 distinguer avec certitude une falsification vocale bien r\u00e9alis\u00e9e d’une voix authentique. C’est pourquoi le son ne doit jamais constituer le crit\u00e8re de validation d’un paiement, seul un processus de v\u00e9rification convenu \u00e0 l’avance peut en tenir lieu.<\/p>\n Le rappel via un canal ind\u00e9pendant, choisi soi-m\u00eame. Quiconque contre-v\u00e9rifie une instruction inhabituelle en rappelant via un num\u00e9ro connu, et non via celui communiqu\u00e9 lors de l’appel, agit pr\u00e9cis\u00e9ment sur la pression temporelle qu’exploite la fraude.<\/p>\n Pas en tant que protection unique. Ces outils constituent un compl\u00e9ment utile, mais les falsifications s’am\u00e9liorent en permanence. Seule la combinaison de r\u00e8gles organisationnelles – rappel, mot de code et principe des quatre yeux – et de collaborateurs form\u00e9s est v\u00e9ritablement fiable.<\/p>\n Dans de nombreux cas, oui. Le traitement de donn\u00e9es vocales rel\u00e8ve du RGPD, et pour les entit\u00e9s soumises \u00e0 NIS2, la protection contre ce type d’attaques fait partie de la gestion des risques requise, y compris les obligations de notification. La protection contre le clonage vocal est donc \u00e9galement une obligation de conformit\u00e9.<\/p>\n Plus du r\u00e9seau MBF Media<\/p>\n\n
Pourquoi les dirigeants sont la cible privil\u00e9gi\u00e9e<\/h2>\n
Pourquoi la technologie seule ne suffit pas<\/h2>\n
Le guide de v\u00e9rification pour la direction et l’\u00e9quipe financi\u00e8re<\/h2>\n
\n
\n
Le r\u00f4le du RGPD et de NIS2<\/h2>\n
Foire aux questions<\/h2>\n
De quelle quantit\u00e9 de mat\u00e9riel audio un attaquant a-t-il besoin pour cloner une voix ?<\/h3>\n
Peut-on reconna\u00eetre une voix clon\u00e9e \u00e0 l’oreille ?<\/h3>\n
Quelle est la mesure individuelle la plus efficace ?<\/h3>\n
Un outil de d\u00e9tection de deepfakes suffit-il comme protection ?<\/h3>\n
Devons-nous r\u00e9gler cela d’un point de vue conformit\u00e9 ?<\/h3>\n
Recommandations de la r\u00e9daction<\/h3>\n
\n