Comment Reconnaître un Deepfake avant qu’il ne Coûte Cher à votre Entreprise

Sommaire

1. Du gadget au braquage numérique : ce qui a changé
2. Pourquoi les entreprises suisses sont des cibles de choix
3. Les trois visages de l’arnaque deepfake
4. Les signaux qui trahissent une imitation
5. Le protocole anti-deepfake à instaurer dès demain
6. Former vos équipes : le pare-feu humain
7. Conclusion
8. FAQ

Imaginez la scène. Votre responsable financier reçoit une invitation à une visioconférence confidentielle. À l’écran, le directeur financier du groupe, entouré de plusieurs collègues connus. Les visages sont justes, les voix aussi. On lui demande d’exécuter une série de virements urgents. Il s’exécute. Sauf que personne, dans cette réunion, n’était réel. Ce scénario n’a rien d’hypothétique. Il s’est produit, et il a coûté 25 millions de dollars. Pendant ce temps, beaucoup d’entreprises romandes voient encore le deepfake comme un divertissement pour réseaux sociaux. Cette insouciance est exactement ce sur quoi comptent les fraudeurs. La bonne nouvelle ? Reconnaître un deepfake reste possible. Encore faut-il savoir où regarder et, surtout, installer quelques réflexes simples. Décortiquons la menace, puis construisons votre défense.

Du gadget au braquage numérique : ce qui a changé

Le 4 février 2024, la police de Hong Kong révèle une affaire qui fera date. Un employé du bureau local d’Arup vire 200 millions de dollars de Hong Kong à des escrocs. Cela représente environ 25,6 millions de dollars américains, envolés en quinze virements sur une seule journée. La victime ? Le groupe d’ingénierie britannique qui a signé l’opéra de Sydney. Le levier ? Une visioconférence entière reconstituée par IA, comme l’a détaillé CNN. Le directeur financier et plusieurs collègues présents à l’écran étaient des deepfakes. Les fraudeurs les avaient fabriqués à partir de vidéos publiques. Les fonds n’ont jamais été retrouvés.

Ce cas emblématique n’est pas isolé. Deloitte a sondé plus de 1 100 dirigeants et cadres sur le sujet. Résultat : 25,9 % des organisations ont déjà subi au moins un incident deepfake visant leurs données financières ou comptables sur douze mois. La moitié des répondants s’attendait en outre à une hausse de ces attaques. Autrement dit, un quart des entreprises interrogées a déjà croisé cette menace. Le deepfake a quitté le rayon des curiosités. Il fait désormais partie de l’arsenal standard de la fraude au président.

Pourquoi les entreprises suisses sont des cibles de choix

La Suisse cumule les facteurs qui attirent les fraudeurs. Les entreprises y sont solvables, les flux financiers internationaux et les montants élevés. Le tissu économique repose en outre sur des PME où les contrôles restent souvent informels. Les chiffres officiels confirment la pression. L’Office fédéral de la cybersécurité a reçu près de 65 000 annonces de cyberincidents en 2025. Surtout, la fraude au CEO progresse nettement : 970 signalements en 2025, contre 719 l’année précédente. Cette hausse d’un tiers en un an donne la tendance.

Or, cette fraude au président change précisément de visage avec l’IA. Hier, il s’agissait d’un simple courriel imitant la signature du patron. Aujourd’hui, l’OFCS décrit des campagnes bien plus sophistiquées. Des personnalités connues y apparaissent dans de fausses interviews, entièrement générées par IA, pour vanter des placements miracles. La même mécanique s’applique aux dirigeants d’entreprise. Quelques minutes de prise de parole publique suffisent à cloner une voix et un visage. Une keynote, un podcast ou une vidéo LinkedIn fournissent toute la matière première nécessaire. De ce fait, plus votre direction est visible, plus votre entreprise devient facile à imiter. Les PME ne sont pas épargnées, bien au contraire. Elles sont visées en priorité, car leurs validations de paiement reposent souvent sur la confiance plutôt que sur des procédures écrites.

Les trois visages de l’arnaque deepfake

Toutes les attaques par deepfake ne se ressemblent pas. En pratique, trois scénarios dominent largement le terrain. Chacun a son canal et sa cible privilégiée.

Le premier scénario, celui d’Arup, reste le plus spectaculaire. Le deuxième est toutefois le plus fréquent, car il demande moins de préparation. Trente secondes de voix suffisent à entraîner un clone convaincant. L’attaque arrive souvent par un message vocal WhatsApp, un canal peu surveillé par les équipes de sécurité. Le troisième scénario ne vise pas votre caisse directement, mais votre réputation. Vos clients perdent de l’argent en croyant répondre à votre dirigeant, et votre marque paie les dégâts. Dans les trois cas, le mode opératoire combine urgence, confidentialité et autorité hiérarchique. C’est ce triangle qu’il faut apprendre à repérer.

Les signaux qui trahissent une imitation

Les générateurs progressent vite, mais ils laissent encore des traces. Votre œil et votre oreille peuvent les capter, à condition de savoir quoi chercher.

Les indices visuels en visioconférence

Observez d’abord les zones que les modèles gèrent mal. Le contour du visage flotte parfois lors des mouvements rapides. La synchronisation entre les lèvres et le son décale d’une fraction de seconde. Les clignements d’yeux paraissent trop réguliers, ou manquent carrément. Les lunettes, les boucles d’oreilles et les cheveux fins produisent souvent des scintillements. Par ailleurs, demandez un geste imprévu à votre interlocuteur. Tourner la tête de profil ou passer la main devant le visage fait décrocher la plupart des systèmes en temps réel.

Les indices audio au téléphone

Une voix clonée présente fréquemment une prosodie légèrement plate. Les émotions arrivent en retard ou tombent à côté. Méfiez-vous aussi des latences inhabituelles entre vos questions et les réponses. Des respirations absentes et des bruits de fond trop propres complètent le tableau. En cas de doute, changez brusquement de sujet. Vous pouvez aussi poser une question personnelle inattendue : les scripts frauduleux supportent mal l’improvisation.

Les indices comportementaux, les plus fiables

Finalement, les signaux les plus robustes ne sont ni visuels ni sonores. Méfiez-vous d’un dirigeant qui exige un virement immédiat et impose le secret absolu. S’il refuse en plus tout rappel sur un canal officiel, toutes les cases de la fraude sont cochées, avec ou sans IA. L’urgence artificielle reste la signature de l’escroquerie. La technologie change, le levier psychologique demeure.

Le protocole anti-deepfake à instaurer dès demain

En juillet 2024, un cadre de Ferrari reçoit des messages WhatsApp au nom du directeur général Benedetto Vigna. Un appel suit, avec la voix du patron, accent du sud de l’Italie compris. Cette voix générée par IA évoque une acquisition confidentielle et presse le cadre de signer. Ce dernier flaire pourtant l’anomalie. Il pose alors une question dont seul le vrai dirigeant connaît la réponse : le titre du livre recommandé quelques jours plus tôt. L’escroc raccroche aussitôt, comme le raconte la MIT Sloan Management Review. Une question a suffi là où des millions étaient en jeu.

Ce réflexe s’industrialise. Voici le protocole minimal à déployer, applicable même dans une PME de dix personnes :

• Le rappel systématique. Toute demande de paiement reçue par téléphone, visio ou messagerie se vérifie par un rappel. Utilisez le numéro officiel connu, jamais celui affiché par l’appelant ;
• La double validation. Aucun virement au-dessus d’un seuil défini ne part sans l’accord de deux personnes. Le niveau hiérarchique du demandeur n’y change rien ;
• La question de contrôle. À la manière de Ferrari, convenez en équipe de questions dont les réponses ne figurent nulle part en ligne ;
• Le canal refuge. Définissez à l’avance le canal officiel où toute demande sensible doit être confirmée par écrit ;
• Le droit au doute. Inscrivez noir sur blanc qu’aucun collaborateur ne sera sanctionné pour avoir retardé une opération le temps d’une vérification.

Remarquez un point essentiel : aucune de ces mesures n’exige un outil de détection coûteux. La défense la plus efficace contre une technologie de pointe reste une procédure simple, connue de tous et appliquée sans exception.

Et si le doute persiste malgré tout ?

Il arrive qu’aucun signal ne soit flagrant et que la pression monte. Dans ce cas, appliquez la règle d’or : suspendre, vérifier, documenter. Suspendez l’opération, même si l’interlocuteur menace ou s’impatiente. Vérifiez ensuite par un second canal, en contactant la personne réelle sur son numéro habituel. Documentez enfin la demande : capture d’écran, numéro appelant, horaire. En cas de tentative avérée, signalez l’incident à l’OFCS et prévenez votre banque. Une alerte précoce protège aussi les autres entreprises de votre secteur.

Former vos équipes : le pare-feu humain

Un protocole n’a de valeur que si chacun comprend pourquoi il existe. Or, le sondage Deloitte cité plus haut révèle un déficit inquiétant. Un dirigeant sur cinq n’a aucune confiance dans la capacité de son organisation à répondre à une attaque deepfake. Ce fossé ne se comble pas avec une note interne. Il se comble par la sensibilisation, la démonstration et la répétition.

Concrètement, une demi-journée suffit pour changer la donne. Faites écouter de vraies voix clonées à vos équipes. Décortiquez ensemble les cas Arup et Ferrari, puis répétez le protocole de vérification sur des scénarios réalistes. Les collaborateurs qui ont entendu un clone une fois ne l’oublient plus. Cette montée en compétence rejoint d’ailleurs une obligation plus large. Comme nous l’expliquions dans notre article sur l’AI Act et les entreprises suisses, la formation des collaborateurs à l’IA est déjà exigée pour toute entreprise active sur le marché européen. Faire d’une pierre deux coups, conformité et sécurité, rend l’investissement d’autant plus rentable. Pour aller plus loin, notre catalogue de formations en intelligence artificielle couvre la sensibilisation comme la gouvernance.

Conclusion

Le deepfake a changé de camp. Il n’amuse plus les réseaux sociaux : il pille les comptes des entreprises. Arup a perdu 25 millions de dollars face à une visioconférence truquée. En Suisse, la fraude au CEO a progressé d’un tiers en un an. Pourtant, la parade tient en trois couches complémentaires. Des yeux entraînés repèrent les artefacts. Un protocole de vérification ferme les portes, sans exception ni passe-droit. Des équipes formées osent douter, même face à la voix du patron. Ferrari l’a démontré : une seule bonne question vaut mieux que le meilleur détecteur du marché. La question n’est donc pas de savoir si votre entreprise sera visée un jour. Elle est de savoir si la personne qui décrochera saura quoi faire. À vous de faire en sorte que la réponse soit oui.

FAQ : reconnaître un deepfake en entreprise

Qu’est-ce qu’un deepfake exactement ?

Un deepfake est un contenu audio, photo ou vidéo généré par IA qui imite une personne réelle de façon crédible. Quelques minutes d’enregistrements publics suffisent aujourd’hui à cloner une voix ou un visage.

Comment reconnaître un deepfake en visioconférence ?

Surveillez la synchronisation labiale, les contours du visage en mouvement et les clignements d’yeux. Demandez un geste imprévu, comme tourner la tête de profil : les systèmes en temps réel décrochent souvent.

Les PME suisses sont-elles vraiment concernées ?

Oui. L’OFCS a enregistré 970 signalements de fraude au CEO en 2025, en forte hausse. Les PME sont visées en priorité, car leurs validations de paiement reposent souvent sur la confiance plutôt que sur des procédures écrites.

Existe-t-il des outils de détection automatique des deepfakes ?

Des solutions existent, mais aucune n’est infaillible face aux générateurs récents. La défense la plus fiable reste procédurale : rappel sur canal officiel, double validation des paiements et questions de contrôle convenues en interne.

Que faire si mon entreprise a été victime d’un deepfake ?

Bloquez immédiatement les virements auprès de votre banque et conservez toutes les preuves. Déposez plainte à la police, puis annoncez l’incident à l’OFCS. Informez enfin vos équipes pour éviter une seconde vague.