Les attaques deepfake augmentent – comment les entreprises peuvent se protéger

L’arnaque au PDG par e-mail, c’était hier. L’accès simplifié à l’intelligence artificielle permet désormais aux cybercriminels d’imiter voix et visages pour soutirer de l’argent ou des informations. Aujourd’hui, ces attaques par deepfake surviennent déjà toutes les cinq minutes.

Les deepfakes basés sur l’IA sont la raison pour laquelle les entreprises – ou plutôt leurs collaborateurs – tombent dans le piège. Derrière une voix prétendument familière se cachent de plus en plus souvent des criminels.

Ces attaques par deepfake et la falsification de documents numériques ont augmenté de 244 % en 2024, devenant une menace croissante pour les entreprises. Le vishing assisté par IA, un néologisme formé à partir de phishing et voice (soit des attaques par téléphone utilisant des voix générées par IA), représente un danger grandissant, tant pour les entreprises que pour les particuliers. Selon le cabinet de conseil Deloitte, les pertes financières liées aux attaques par deepfake assistées par IA devraient atteindre 40 milliards de dollars d’ici 2027. Cela représente plus du triple des 12,3 milliards enregistrés en 2023.

Comme le rapporte it-daily.net, cette année, un deepfake est détecté toutes les cinq minutes. Les tentatives de fraude assistées par IA gagnent en sophistication et se multiplient, les cybercriminels affinant sans cesse leurs techniques pour contourner les mécanismes de défense.

L’EMEA mieux préparée qu’APAC et les Amériques

Dans la région EMEA (Europe, Moyen-Orient et Afrique), les attaques ciblent actuellement en priorité les processus d’intégration des clients. Les tentatives de fraude durant cette phase particulièrement vulnérable ont progressé de 3,1 % à 3,4 %. La situation est encore plus préoccupante en Asie-Pacifique (6,8 %) et sur le continent américain (6,2 %). Ces écarts s’expliquent notamment par des règles plus strictes en matière de KYC (Know Your Customer – « Connaître son client ») et d’onboarding en Europe, où les exigences réglementaires sont parmi les plus rigoureuses au monde.

Par ailleurs, la vérification d’identité numérique devrait constituer un pilier essentiel de tout processus d’onboarding. Cette mesure permet d’anticiper et de contrer les fraudes ainsi que la criminalité financière avant même qu’elles ne surviennent.

Malgré ces dispositifs de sécurité, les exemples d’attaques par deepfake – réussies ou tentées – se multiplient, y compris contre des entreprises de premier plan. Un grand constructeur automobile italien de luxe a récemment échappé de justesse à une escroquerie : un manager, resté méfiant, a démasqué l’imposteur se faisant passer pour le PDG en lui posant des questions ciblées.

Face à une première demande restée sans réponse par e-mail, le fraudeur a passé un appel en imitant à la perfection la voix du PDG – y compris son accent du sud de l’Italie.

Des dommages pouvant se chiffrer en millions

Ce coup d’essai s’est soldé par un échec, mais il aurait pu coûter bien plus qu’un simple œil au beurre noir. C’est ce qu’a vécu, il y a un an, une banque basée à Hong Kong. Des escrocs y ont utilisé un deepfake vidéo du directeur financier pour soutirer 200 millions de dollars de Hong Kong – soit près de 25 millions d’euros. Un record mondial pour une fraude financière reposant sur l’IA. Et ces cas se multiplient à une vitesse alarmante.

Le secteur financier et sa clientèle sont particulièrement vulnérables aux deepfakes ou aux arnaques téléphoniques assistées par IA. Mais d’autres industries ne sont pas épargnées. Récemment, un fournisseur d’énergie britannique – et sa maison mère allemande – en ont fait les frais. Des cybercriminels ont piégé un cadre dirigeant au Royaume-Uni via une attaque de vishing (hameçonnage vocal), le poussant à virer 243 000 dollars américains, soit 217 000 euros, à un prétendu fournisseur basé en Hongrie.

Les principales contre-mesures

Voici trois mesures clés à mettre en place, tirées des méthodes des attaquants et des réactions habituelles des entreprises ciblées :

1. Établir des règles claires pour les protocoles de communication et veiller à ce que tous les processus internes concernant les cadres dirigeants soient standardisés et traçables en permanence. Il doit être évident qu’un PDG, par exemple, ne donnera jamais lui-même l’ordre de virer des sommes importantes par e-mail ou par téléphone, ni ne formulera d’autres demandes inhabituelles.
2. Mettre en place un système de vérification multicanal et s’assurer que toute communication sensible passe par au moins deux canaux distincts – par exemple, un e-mail et un service de messagerie instantanée. Si une instruction importante n’arrive que par un seul canal, les employés doivent l’ignorer ou demander une confirmation via un second canal.
3. Former régulièrement les collaborateurs constitue la clé de la cybersécurité en général, et des deepfakes en particulier. Comme évoqué en introduction, cela commence par expliquer ce que recouvre ce terme. Selon un sondage Bitkom, 30 % des Allemands ne savent pas ce qu’est un deepfake. Les formations doivent montrer les techniques utilisées par les fraudeurs, expliquer ce qu’est le vishing (hameçonnage vocal) et indiquer comment réagir face à ces menaces.
   
   Contexte DACH : Le Bitkom est la fédération allemande des technologies de l’information, des télécommunications et des nouveaux médias, équivalent de la Numeum en France.

À lire aussi

• Mise à jour CISA KEV du 20 avril : Comment les huit nouveaux exploits sont abordés en conseil d’administration
• NIS2 entre en vigueur : trois décisions que les instances dirigeantes devront examiner en avril 2026
• Cyber-assurance 2026 : primes doublées, couverture réduite de moitié – le calcul qu’aucun CFO ne veut voir