Les deepfakes alimentés par l’IA sont devenus difficiles à détecter, rendant la réduction de l’empreinte numérique essentielle pour prévenir les fraudes.
Un visage, une voix ou une vidéo ne suffisent plus pour vérifier une identité. Les imitations inondent la toile, gagnent en réalisme. Une sophistication qui brouille les repères habituels et fragilise les réflexes de vérification des entreprises comme des particuliers. Pour Yann Jaigu, directeur produit chez Orange Business, et Philippe Luc, PDG d’ANOZR WAY, la prévention doit prendre le pas sur la seule détection. Leurs analyses montrent comment les cybercriminels exploitent l’empreinte numérique pour construire des attaques toujours plus crédibles. « Mettre en place des outils de détection, c’est une partie de la solution, mais c’est loin d’être la solution unique. »
Deepfakes indétectables, une menace industrialisée
cyber-securite.fr : La fraude par IA semble s’industrialiser à une vitesse alarmante. Quel est le réel impact de ces nouvelles menaces sur les entreprises et les particuliers ?
Yann Jaigu : Les analystes estiment que 86 % des arnaques cette année et l’année prochaine vont appliquer des outils d’IA, notamment les deepfakes. Cela transforme des scénarios de science-fiction en une réalité opérationnelle implacable. Désormais, on ne peut plus faire confiance à l’apparence, ni à la voix.
La falsification numérique a atteint un niveau de sophistication tel que les contenus générés par algorithmes sont devenus extrêmement difficiles à distinguer de la réalité. Lors d’une démonstration, j’ai d’ailleurs illustré la facilité avec laquelle une identité visuelle peut être clonée avec un simple logiciel libre et une webcam.
Les cybercriminels ciblent spécifiquement les salariés, les dirigeants ou les clients des entreprises, pour des extorsions allant de quelques milliers à des millions d’euros.
Ingénierie sociale et OSINT, les ressorts de l’illusion
cyber-securite.fr : La sophistication technique des deepfakes est une chose, mais vous mentionnez que l’ingénierie sociale reste la clé de leur succès. Comment ces attaques sont-elles orchestrées ?
Philippe Luc : Un deepfake, même parfait, échoue si le discours est incohérent. C’est pourquoi l’ingénierie sociale est impliquée dans 80 % des compromissions cyber. La méthodologie qu’utilisent ces criminels, c’est ce qui s’appelle l’OSINT (Open Source Intelligence). Il s’agit d’une phase de reconnaissance méticuleuse, consistant à fouiller le web visible, le Deep Web, le Dark Web et les réseaux sociaux pour accumuler des détails intimes ou professionnels sur la cible.
Chaque photo, information personnelle ou projet en cours devient une brique essentielle pour bâtir un récit crédible. Ce tissage entre l’illusion visuelle ou vocale et la narration contextualisée permet de forger des fraudes au président ou des campagnes de phishing ultra-ciblées. C’est une attaque par ruse qui prend de l’information pour vous tromper, vous ou vos proches.
Limites de la protection deepfake en entreprise
cyber-securite.fr : Face à ces menaces, la technologie propose des outils de détection d’attaques d’ingénierie sociale. Sont-ils suffisants pour contrer l’avancée des deepfakes et garantir une protection deepfake en entreprise efficace ?
Yann Jaigu : Nous travaillons avec des partenaires comme Reality Defender pour intégrer des solutions omnicanales dans des plateformes comme Teams ou nos centres de contacts Genesis. Ces systèmes scrutent des dizaines de paramètres – incohérences de compression, absence de micro-mouvements physiologiques, clignements d’yeux anormaux, fréquences vocales impossibles, métadonnées, standard C2PA – pour identifier une falsification.
Ils revendiquent une fiabilité autour de 98 à 99 %. Cependant, le pourcent et les 2 % qui restent, ce ne sont pas des gens qui passent à travers les mailles du filet, ce sont des gens pour lesquels on devra faire une vérification un peu plus poussée. La technologie ne constitue donc qu’un indicateur de confiance, imposant le rôle central de l’utilisateur.
Mettre en place des outils de détection, c’est une partie de la solution, mais c’est loin d’être la solution unique. Plus fondamentalement, il est irréaliste de vouloir scanner l’intégralité des flux numériques mondiaux pour des raisons techniques, économiques et écologiques.
Réduire l’empreinte numérique dirigeant
cyber-securite.fr : Si la technologie seule ne suffit pas, quelle est l’approche la plus efficace pour se prémunir contre ces menaces ? Comment réduire l’empreinte numérique du dirigeant et celle des collaborateurs ?
Philippe Luc : La stratégie la plus efficace consiste à priver les attaquants de leur matière première : les données. Notre outil chez ANOZR WAY permet à chacun de cartographier son empreinte numérique et de mesurer son exposition aux risques de deepfake. De simples photos publiques et informations de contact peuvent facilement alimenter des scénarios d’usurpation. Il est essentiel d’anticiper en limitant la matière première exploitable par les cybercriminels.
Yann Jaigu : La sensibilisation et la formation des utilisateurs sont une priorité absolue. 86 % des attaques par deepfake réussissent en raison d’une faille humaine – la crédulité ou le manque de vérification. Il est essentiel d’instaurer une culture du doute systématique et de la vérification croisée.
Cela passe par des actions individuelles robustes : profils de réseaux sociaux privés, acceptation limitée des contacts, fourniture de fausses informations pour les champs non essentiels, filigranage systématique des pièces d’identité et adoption de gestionnaires de mots de passe dédiés.
Solutions anti-usurpation d’identité et hygiène numérique
cyber-securite.fr : Quelles sont les solutions antiusurpation d’identité concrètes que les entreprises et les individus peuvent mettre en œuvre pour se protéger ?
Yann Jaigu : Notre approche est un entonnoir : d’abord, la sensibilisation et la formation. Ensuite, l’utilisation d’outils comme ceux d’ANOZR WAY pour connaître son risque. Puis, des dispositifs tiers de confiance pour la vérification multi-facteur, comme le Live Identity Wallet d’Orange Business lié à France Identité, qui permettent de vérifier l’identité de manière quasi irréfutable.
Enfin, en dernier recours, la détection de deepfake sur des usages ciblés. La technologie seule ne peut tout résoudre ; c’est un problème de société et d’éducation.
Philippe Luc : Une bonne hygiène numérique implique de ne pas tout donner en ligne. Pour les formulaires, si l’information n’est pas nécessaire, ne la mettez pas ou mettez une fausse information.
Quand vous envoyez une pièce d’identité, utilisez un système de filigrane officiel. Sur les réseaux sociaux, passez en mode privé et n’acceptez comme amis que des personnes que vous connaissez réellement. Ne mettez pas votre CV complet sur LinkedIn. Toutes ces pratiques simples réduisent considérablement la matière première disponible pour les attaquants.
