La menace des deepfakes : protéger la sécurité des entreprises à l'ère de l'IA

« Voir, c'est croire » n'est plus un principe de sécurité valable.

Avec l'explosion de l'IA générative, la fabrication de faux audio et vidéo hyperréalistes — les deepfakes — est passée du domaine des studios hollywoodiens à la portée de quiconque possède un ordinateur portable. Pour la sécurité des entreprises, cela ouvre une nouvelle frontière particulièrement inquiétante.

L'évolution de la fraude au président (BEC)

La compromission de messagerie d'entreprise (Business Email Compromise, BEC) a coûté des milliards aux entreprises. Traditionnellement, elle reposait sur des e-mails usurpant l'identité du PDG pour réclamer un virement. Les formations de sensibilisation apprenaient aux collaborateurs à les repérer : vérifier l'adresse de l'expéditeur, guetter le sentiment d'urgence, appeler pour confirmer.

Les deepfakes font sauter la défense du « appeler pour confirmer ».

En 2024, un collaborateur du service financier d'une multinationale a versé 25 millions de dollars à des escrocs à l'issue d'une visioconférence. Il avait d'abord eu des soupçons, mais ceux-ci se sont dissipés lorsqu'il a rejoint un appel vidéo où il a vu son directeur financier et plusieurs autres collègues — tous des deepfakes — lui donner l'ordre d'effectuer le virement.

Les différents types de menaces deepfake

1. Deepfakes audio (vishing)

L'IA peut cloner une voix à partir de 3 secondes d'enregistrement seulement. Les attaquants appellent les help desks en se faisant passer pour des collaborateurs ayant « perdu leur téléphone » et demandant une réinitialisation de MFA. Ou bien ils appellent les services financiers pour autoriser des paiements urgents.

2. Deepfakes vidéo

L'échange de visage en temps réel permet aux attaquants d'usurper l'identité de dirigeants lors d'appels Zoom ou Teams. Cette technique reste coûteuse en calcul pour obtenir une qualité élevée, mais elle se banalise rapidement.

3. Contournement de la vérification d'identité

De nombreux dispositifs de connaissance client (Know Your Customer, KYC) reposent sur un selfie vidéo réalisé par l'utilisateur. Les deepfakes permettent de créer des identités synthétiques pour ouvrir des comptes bancaires frauduleux ou contourner l'authentification biométrique.

Se défendre contre le synthétique

Détecter techniquement les deepfakes est une course aux armements. À mesure que les algorithmes de détection progressent, les algorithmes de génération évoluent pour les prendre en défaut. La défense doit donc s'appuyer sur le processus et le contexte.

1. Mettre en place des protocoles de vérification sécurisés

Dès lors qu'une demande implique un mouvement de fonds ou des données sensibles, la vérification par la voix ou la vidéo ne suffit plus.

Défi-réponse : utiliser un « mot de passe convenu » ou une « phrase du jour » établie hors ligne.
Vérification hors bande : si la demande arrive par appel vidéo, la confirmer via un système de messagerie interne ou un numéro de mobile connu.
Validation à plusieurs : exiger deux signatures pour les transactions significatives.

2. Filigrane et traçabilité d'origine

Recourir à des technologies comme le C2PA (Coalition for Content Provenance and Authenticity) pour signer cryptographiquement les médias de l'entreprise. Cela permet de valider qu'une vidéo provient bien du compte ou de l'appareil vérifié du PDG.

3. Renforcer la sensibilisation à la sécurité

Apprendre aux collaborateurs que l'audio et la vidéo peuvent être falsifiés.

Repérer les « anomalies » : synchronisation labiale approximative, clignements d'yeux non naturels ou incohérences d'éclairage.
Se méfier de la manipulation émotionnelle : les deepfakes sont souvent employés dans des scénarios de forte pression pour court-circuiter l'esprit critique.

Analyser l'infrastructure

Les campagnes de deepfake, comme toute cyberattaque, s'appuient sur une infrastructure. Les e-mails de phishing qui déclenchent l'appel, les domaines utilisés pour les faux liens de réunion et les adresses IP impliquées laissent tous une empreinte.

isMalicious surveille l'infrastructure employée par les groupes de menace persistante avancée (APT) connus pour recourir aux outils d'IA. Même si la vidéo est parfaite, le domaine qui héberge le lien de réunion peut être un typosquat fraîchement enregistré. Détecter l'infrastructure est souvent plus simple que de détecter le deepfake lui-même.

Conclusion

L'ère des deepfakes impose un changement d'état d'esprit. La confiance doit s'ancrer dans la preuve cryptographique et dans des processus vérifiés de façon indépendante, et non seulement dans nos yeux et nos oreilles. À mesure que les médias générés gagnent en qualité, des protocoles de vérification stricts deviennent un contrôle indispensable en entreprise.