4 min de lecture<\/p>\n
Le groupe britannique d\u2019ing\u00e9nierie Arup a perdu 25,6 millions de dollars lors d\u2019un seul appel vid\u00e9o falsifi\u00e9 par intelligence artificielle. L\u2019attaquant avait reproduit \u00e0 l\u2019aide d\u2019une IA le directeur financier (CFO) et des coll\u00e8gues. Un employ\u00e9 des finances a effectu\u00e9 15 virements en une seule journ\u00e9e. Ce cas n\u2019est plus isol\u00e9 : la fraude par clonage vocal a augment\u00e9 de 680 % en 2025. Pour les directeurs informatiques (CIO) et les membres des conseils d\u2019administration, la protection contre les deepfakes devient une question de s\u00e9curit\u00e9 personnelle.<\/strong><\/p>\n En janvier 2024, un employ\u00e9 des finances du groupe britannique d\u2019ing\u00e9nierie Arup, bas\u00e9 \u00e0 Hong Kong, a re\u00e7u un courriel suspect. Afin de dissiper ses doutes, il a \u00e9t\u00e9 invit\u00e9 \u00e0 participer \u00e0 un appel vid\u00e9o. Sur son \u00e9cran, il a vu et entendu son directeur financier (CFO) ainsi que plusieurs coll\u00e8gues. Tous parlaient de fa\u00e7on convaincante, r\u00e9pondaient aux questions pos\u00e9es et donnaient des instructions pr\u00e9cises concernant des virements. L\u2019employ\u00e9 a alors effectu\u00e9 15 transferts vers cinq comptes bancaires diff\u00e9rents situ\u00e9s \u00e0 Hong Kong, pour un montant total de 25,6 millions de dollars.<\/p>\n Aucun des participants \u00e0 cet appel n\u2019\u00e9tait r\u00e9el. Tous \u00e9taient des deepfakes g\u00e9n\u00e9r\u00e9s par intelligence artificielle, cr\u00e9\u00e9s \u00e0 partir d\u2019enregistrements vid\u00e9o et audio librement accessibles. L\u2019attaque n\u2019a \u00e9t\u00e9 d\u00e9couverte que plusieurs heures plus tard. La police de Hong Kong a rendu l\u2019affaire publique en f\u00e9vrier 2024 ; Arup a confirm\u00e9 sa victimisation en mai 2024. Ce cas illustre \u00e0 quel point la technologie des deepfakes a progress\u00e9 : il ne s\u2019agit plus uniquement de vid\u00e9os falsifi\u00e9es isol\u00e9es, mais d\u00e9sormais d\u2019appels vid\u00e9o interactifs en temps r\u00e9el impliquant plusieurs participants enti\u00e8rement g\u00e9n\u00e9r\u00e9s par IA.<\/p>\n Arup n\u2019est pas une petite entreprise d\u00e9pourvue de s\u00e9curit\u00e9 informatique. C\u2019est un groupe mondial comptant plus de 18 000 employ\u00e9s, notamment connu pour avoir con\u00e7u la structure statique de l\u2019Op\u00e9ra de Sydney. Si Arup peut \u00eatre tromp\u00e9, alors toute entreprise peut l\u2019\u00eatre. La question n\u2019est plus \u00ab si \u00bb, mais \u00ab quand \u00bb une attaque similaire touchera votre propre entreprise.<\/p>\n Les statistiques sont sans \u00e9quivoque. La fraude par clonage vocal a augment\u00e9 de 680 % en 2025 par rapport \u00e0 l\u2019ann\u00e9e pr\u00e9c\u00e9dente. Les attaquants n\u2019ont besoin que de trois secondes d\u2019enregistrement audio pour produire une copie vocale pr\u00e9sentant 85 % de ressemblance avec la voix originale. Les vid\u00e9os publi\u00e9es sur LinkedIn, les interventions dans des podcasts, les enregistrements de conf\u00e9rences et les webinaires internes constituent gratuitement la mati\u00e8re premi\u00e8re n\u00e9cessaire.<\/p>\n La fraude dite \u00ab CEO-Fraud \u00bb, consistant \u00e0 tromper d\u00e9lib\u00e9r\u00e9ment des employ\u00e9s en imitant des cadres dirigeants, touche selon les rapports sectoriels au moins 400 entreprises chaque jour dans le monde. En 2024, 64 % des entreprises am\u00e9ricaines ont subi une attaque de type \u00ab Business Email Compromise \u00bb (BEC), entra\u00eenant des pertes moyennes de 150 000 dollars par incident. Les deepfakes augmentent consid\u00e9rablement le taux de r\u00e9ussite de ces attaques, car ils neutralisent la derni\u00e8re ligne de d\u00e9fense des employ\u00e9s : la v\u00e9rification visuelle et auditive.<\/p>\n \n\u00ab Il existe un probl\u00e8me fondamental de s\u00e9curit\u00e9 et de protection des donn\u00e9es qui \u00e9clipse l\u2019engouement autour des agents IA. \u00bb Particuli\u00e8rement inqui\u00e9tant : 80 % des entreprises ne disposent d\u2019aucun protocole \u00e9tabli ni de plan de r\u00e9ponse face aux attaques fond\u00e9es sur les deepfakes. Les formations classiques \u00e0 la sensibilisation \u00e0 la cybers\u00e9curit\u00e9 se concentrent sur les courriels de phishing et l\u2019ing\u00e9nierie sociale textuelle. La d\u00e9fense contre la tromperie audiovisuelle n\u2019est pas pr\u00e9vue dans la plupart des organisations. Au d\u00e9but de l\u2019ann\u00e9e 2025, une vague coordonn\u00e9e d\u2019attaques par deepfake a frapp\u00e9 des entrepreneurs italiens \u00e9minents : des criminels ont imit\u00e9 le ministre de la D\u00e9fense et escroqu\u00e9 au moins 1 million d\u2019euros \u00e0 une seule victime.<\/p>\n Sources : Deepstrike.io 2025, Fortune\/CNN 2024, rapports sectoriels<\/p>\n Les cadres dirigeants et les directeurs g\u00e9n\u00e9raux sont les cibles privil\u00e9gi\u00e9es des attaques par deepfake, pour trois raisons. Premi\u00e8rement : leurs voix et leurs visages sont largement accessibles au public. Discours inauguraux, interviews, podcasts, vid\u00e9os LinkedIn et assembl\u00e9es g\u00e9n\u00e9rales fournissent du mat\u00e9riel audio et vid\u00e9o de haute qualit\u00e9 permettant d\u2019entra\u00eener des mod\u00e8les de deepfakes. Plus un cadre dirigeant est m\u00e9diatis\u00e9, plus sa contrefa\u00e7on est ais\u00e9e.<\/p>\n Deuxi\u00e8mement : les ordres \u00e9manant des cadres dirigeants sont rarement remis en question. Dans les organisations hi\u00e9rarchiques, le seuil psychologique pour contester une instruction donn\u00e9e par le PDG ou le CFO est \u00e9lev\u00e9. Les attaquants exploitent d\u00e9lib\u00e9r\u00e9ment cette dynamique. Le cas Arup montre<\/a> que, m\u00eame en pr\u00e9sence de doutes initiaux, un appel vid\u00e9o convaincant suffit \u00e0 pousser l\u2019employ\u00e9 \u00e0 ex\u00e9cuter les consignes.<\/p>\n Troisi\u00e8mement : les entreprises des pays DACH (Allemagne, Autriche, Suisse) dot\u00e9es de structures hi\u00e9rarchiques plates sont particuli\u00e8rement vuln\u00e9rables. Dans de nombreuses PME, le CFO dispose d\u2019un acc\u00e8s direct aux syst\u00e8mes de virement. Aucun principe des \u00ab quatre yeux \u00bb n\u2019est appliqu\u00e9 aux transferts inf\u00e9rieurs \u00e0 100 000 euros. Un seul responsable financier tromp\u00e9 peut ainsi transf\u00e9rer des sommes \u00e0 six chiffres en quelques minutes, sans qu\u2019un deuxi\u00e8me collaborateur doive valider l\u2019op\u00e9ration.<\/p>\n Niveau 1 : D\u00e9tection technique.<\/strong> Des logiciels sp\u00e9cialis\u00e9s peuvent analyser en temps r\u00e9el les vid\u00e9os et les fichiers audio suspects. Des outils tels que Pindrop, Sensity AI ou Resemble Detect recherchent des artefacts dans la parole et l\u2019image, invisibles \u00e0 l\u2019\u0153il et \u00e0 l\u2019oreille humains. Les taux de d\u00e9tection varient entre 85 et 95 %, selon la qualit\u00e9 de la falsification. Les CIO doivent int\u00e9grer ces outils dans leur architecture de s\u00e9curit\u00e9<\/a>, notamment pour les plateformes d\u2019appels vid\u00e9o et les syst\u00e8mes t\u00e9l\u00e9phoniques.<\/p>\n Niveau 2 : Protocoles organisationnels.<\/strong> Pour tous les transferts financiers d\u00e9passant un seuil d\u00e9fini, un protocole de v\u00e9rification doit \u00eatre mis en place, impossible \u00e0 contourner par vid\u00e9o ou par audio. Concr\u00e8tement : rappel sur un num\u00e9ro fixe pr\u00e9alablement enregistr\u00e9 (et non sur le num\u00e9ro mentionn\u00e9 durant l\u2019appel falsifi\u00e9), confirmation via un messager chiffr\u00e9 accompagn\u00e9e d\u2019un mot-cl\u00e9 convenu \u00e0 l\u2019avance, ou validation physique par un deuxi\u00e8me d\u00e9tenteur d\u2019un droit d\u2019acc\u00e8s. Ces protocoles doivent \u00eatre formalis\u00e9s par \u00e9crit, port\u00e9s \u00e0 la connaissance de l\u2019ensemble de l\u2019\u00e9quipe financi\u00e8re et test\u00e9s r\u00e9guli\u00e8rement.<\/p>\n Niveau 3 : Formation \u00e0 la sensibilisation.<\/strong> Les employ\u00e9s doivent savoir que les deepfakes existent et comprendre leur mode de fonctionnement. Les formations classiques contre le phishing ne suffisent plus. Les CIO doivent mettre en place des modules sp\u00e9cifiques de sensibilisation aux deepfakes, illustr\u00e9s d\u2019exemples concrets et ax\u00e9s sur les signes r\u00e9v\u00e9lateurs : mouvements buccaux anormaux, d\u00e9calage entre le mouvement des l\u00e8vres et le son \u00e9mis, absence de r\u00e9action \u00e0 des questions impr\u00e9vues, \u00e9clairage inhabituel. La le\u00e7on essentielle : toute instruction inhabituelle doit \u00eatre syst\u00e9matiquement remise en question, ind\u00e9pendamment de l\u2019identit\u00e9 de son \u00e9metteur et de la cr\u00e9dibilit\u00e9 apparente de sa personne – visuelle ou auditive.<\/p>\n Niveau 4 : R\u00e9duction de l\u2019empreinte num\u00e9rique publique.<\/strong> Les CIO et les CISO doivent, en collaboration avec le service communication, \u00e9valuer la quantit\u00e9 de mat\u00e9riel audio et vid\u00e9o relatif aux cadres dirigeants accessible au public. Tout ne peut pas \u00eatre supprim\u00e9, mais la quantit\u00e9 peut \u00eatre r\u00e9duite. Les r\u00e9unions internes ne doivent pas \u00eatre enregistr\u00e9es, sauf n\u00e9cessit\u00e9 imp\u00e9rative. Les captations de pr\u00e9sentations du comit\u00e9 de direction ne doivent pas \u00eatre publi\u00e9es sans protection sur YouTube ou sur le site internet de l\u2019entreprise. Chaque minute de mat\u00e9riel public constitue une minute de donn\u00e9es d\u2019entra\u00eenement pour les attaquants.<\/p>\n La protection contre les deepfakes n\u2019est plus un sujet de niche r\u00e9serv\u00e9 au d\u00e9partement s\u00e9curit\u00e9. C\u2019est un sujet strat\u00e9gique pour le conseil d\u2019administration<\/a>. La responsabilit\u00e9 personnelle des dirigeants, renforc\u00e9e par la directive NIS2<\/a>, aggrave la situation : si aucune mesure de protection ad\u00e9quate n\u2019a \u00e9t\u00e9 prise face \u00e0 une menace av\u00e9r\u00e9e, cela peut \u00eatre qualifi\u00e9 de faute grave.<\/p>\n Pour les CIO, cela signifie concr\u00e8tement : d\u2019ici le deuxi\u00e8me trimestre 2026, une analyse des risques li\u00e9s aux deepfakes doit \u00eatre finalis\u00e9e pour l\u2019organisation concern\u00e9e. Qui sont les personnes les plus expos\u00e9es ? Quelle quantit\u00e9 de mat\u00e9riel public existe-t-il ? Quels processus de transfert financier sont vuln\u00e9rables ? \u00c0 partir de cette analyse, des protocoles de v\u00e9rification seront d\u00e9finis, des outils de d\u00e9tection \u00e9valu\u00e9s et des formations \u00e0 la sensibilisation d\u00e9ploy\u00e9es. Les co\u00fbts restent modestes compar\u00e9s \u00e0 ceux d\u2019une attaque r\u00e9ussie. Arup a perdu 25,6 millions de dollars. Un programme complet de protection contre les deepfakes pour une PME co\u00fbte une fraction de ce montant.<\/p>\n Les attaquants utilisent du mat\u00e9riel audio et vid\u00e9o public relatif aux cadres dirigeants afin de reproduire, gr\u00e2ce \u00e0 l\u2019intelligence artificielle, leur voix et leur visage. Ce mat\u00e9riel est ensuite utilis\u00e9 dans des appels vid\u00e9o en temps r\u00e9el ou des messages vocaux afin de manipuler les employ\u00e9s pour obtenir des virements ou la divulgation de donn\u00e9es. La qualit\u00e9 atteinte est si \u00e9lev\u00e9e qu\u2019elle \u00e9chappe \u00e0 toute d\u00e9tection humaine, aussi bien visuelle qu\u2019auditive.<\/p>\n<\/details>\n Trois secondes d\u2019enregistrement audio suffisent pour g\u00e9n\u00e9rer une copie vocale fid\u00e8le \u00e0 85 %. Des enregistrements plus longs am\u00e9liorent la qualit\u00e9. Sources : interviews, podcasts, discours inauguraux lors de conf\u00e9rences, vid\u00e9os LinkedIn et webinaires enregistr\u00e9s.<\/p>\n<\/details>\n Des logiciels sp\u00e9cialis\u00e9s atteignent des taux de d\u00e9tection compris entre 85 et 95 %. La d\u00e9tection humaine est nettement plus difficile. Signes r\u00e9v\u00e9lateurs : mouvements buccaux anormaux, d\u00e9calage entre l\u2019image et le son, absence de r\u00e9action \u00e0 des questions impr\u00e9vues, changements inhabituels d\u2019\u00e9clairage. Toutefois, la meilleure d\u00e9fense ne repose pas sur la d\u00e9tection, mais sur des protocoles de v\u00e9rification rigoureux.<\/p>\n<\/details>\n L\u2019application stricte du principe des \u00ab quatre yeux \u00bb pour tous les transferts financiers d\u00e9passant un seuil d\u00e9fini, combin\u00e9e \u00e0 un rappel sur un num\u00e9ro fixe pr\u00e9alablement enregistr\u00e9. Aucun virement ne doit \u00eatre effectu\u00e9 sur la seule base d\u2019un appel vid\u00e9o ou d\u2019un message vocal, quelle que soit la cr\u00e9dibilit\u00e9 apparente de la personne.<\/p>\n<\/details>\n Oui, surtout les PME. Les structures hi\u00e9rarchiques plates, avec un acc\u00e8s direct du CFO aux syst\u00e8mes de virement, l\u2019absence d\u2019autorisation double pour les transactions inf\u00e9rieures \u00e0 100 000 euros, et une culture o\u00f9 les ordres des sup\u00e9rieurs sont rarement remis en question, font des PME allemandes des cibles id\u00e9ales pour la fraude \u00ab CEO-Fraud \u00bb par deepfake.<\/p>\n<\/details>\n Source de l’image : g\u00e9n\u00e9r\u00e9e par IA (November 2026)<\/em><\/p>\n","protected":false},"excerpt":{"rendered":" 4 min de lecture Le groupe britannique d\u2019ing\u00e9nierie Arup a perdu 25,6 millions de dollars lors d\u2019un seul appel vid\u00e9o falsifi\u00e9 par intelligence artificielle. L\u2019attaquant avait reproduit \u00e0 l\u2019aide d\u2019une IA le directeur financier (CFO) et des coll\u00e8gues. Un employ\u00e9 des finances a effectu\u00e9 15 virements en une seule journ\u00e9e. Ce cas n\u2019est plus isol\u00e9 […]<\/p>\n","protected":false},"author":114,"featured_media":36197,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"deepfakes","_yoast_wpseo_title":"Deepfakes: Prot\u00e9gez votre r\u00e9putation de dirigeant","_yoast_wpseo_metadesc":"Protection contre les deepfakes : Prot\u00e9gez votre entreprise des fraudes d'IA. D\u00e9couvrez les risques et agissez maintenant.","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"featured_post_sortierung":0,"featured_post":0,"pre_headline":"","bildquelle":"","teasertext":"","language":"de","_evm_slot_owner":"","_evm_translation_lang":"","_wp_old_slug":[],"footnotes":""},"categories":[705],"tags":[],"class_list":["post-15000","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersecurite","entry"],"wpml_language":"fr","wpml_translation_of":12800,"yoast_head":"\nL’essentiel<\/h2>\n
\n
Le cas Arup : anatomie d\u2019une attaque par deepfake<\/h2>\n
Les chiffres : pourquoi 2026 sera l\u2019ann\u00e9e des attaques par deepfake<\/h2>\n
\nMeredith Whittaker, pr\u00e9sidente de Signal (SXSW, mars 2025)<\/cite>\n<\/p><\/blockquote>\nPourquoi les cadres dirigeants sont particuli\u00e8rement expos\u00e9s<\/h2>\n
Quatre niveaux de protection contre les attaques par deepfake<\/h2>\n
Ce que les CIO doivent inscrire imm\u00e9diatement \u00e0 leur ordre du jour<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Comment fonctionne une attaque par deepfake contre une entreprise ?<\/strong><\/summary>\n
Quelle quantit\u00e9 de mat\u00e9riel audio un attaquant a-t-il besoin pour cr\u00e9er une copie vocale ?<\/strong><\/summary>\n
Les deepfakes peuvent-ils \u00eatre d\u00e9tect\u00e9s pendant un appel vid\u00e9o en temps r\u00e9el ?<\/strong><\/summary>\n
Quelle est la mesure de protection imm\u00e9diate la plus efficace contre la fraude \u00ab CEO-Fraud \u00bb par deepfake ?<\/strong><\/summary>\n
Les entreprises des pays DACH sont-elles particuli\u00e8rement vuln\u00e9rables ?<\/strong><\/summary>\n
Lectures recommand\u00e9es par la r\u00e9daction<\/h2>\n
\n
Plus d\u2019articles du r\u00e9seau m\u00e9dia MBF<\/h2>\n
\n