Deepfake et usurpation d’identité : comment détecter une fraude ?

Vous recevez un appel vidéo d’un proche qui vous demande de l’argent, ou votre directeur vous réclame un virement urgent pendant une visioconférence. Le visage et la voix semblent authentiques. Pourtant, il peut s’agir d’un deepfake utilisé pour usurper une identité et préparer une fraude.

Grâce à l’intelligence artificielle (IA), des fraudeurs peuvent désormais imiter l’apparence, la voix ou les expressions d’une personne à partir de photos, de vidéos ou d’enregistrements audio accessibles en ligne. Ces contenus truqués peuvent servir à escroquer des particuliers, tromper des collaborateurs ou porter atteinte à la réputation d’une victime.

Comment reconnaître un deepfake, quels sont les risques pour votre identité numérique et que faire face à une vidéo ou un appel suspect ?

Qu’est-ce qu’un deepfake ?

Le terme deepfake associe les mots anglais deep learning (apprentissage profond) et fake (faux). Il désigne un contenu audio, visuel ou vidéo créé ou modifié à l’aide de l’intelligence artificielle afin d’imiter une personne réelle ou de lui faire tenir des propos qu’elle n’a jamais prononcés.

Un deepfake peut notamment prendre trois formes :

• Le clonage vocal : une voix artificielle reproduit celle d’une personne pour lui faire prononcer un message frauduleux.
• La vidéo truquée : le visage, les expressions ou les mouvements des lèvres sont modifiés pour faire croire qu’une personne a participé à une scène ou tenu certains propos.
• L’image générée ou modifiée : une photographie réaliste est fabriquée ou détournée pour représenter une personne dans une situation fictive.

Ces contenus peuvent être utilisés à des fins légitimes, notamment pour la création audiovisuelle. Le risque apparaît lorsque leur utilisation vise à tromper, à escroquer, à harceler ou à porter atteinte à la vie privée d’une personne.

La CNIL détaille les risques liés aux hypertrucages et les moyens de s’en protéger.

Deepfake et fraude à l’identité : les principales techniques utilisées

1. Le faux appel d’un proche en difficulté

Un fraudeur vous appelle avec une voix qui ressemble à celle de votre enfant, de votre conjoint ou d’un autre membre de votre famille. Il affirme être en difficulté et réclame une aide financière immédiate : accident, vol de papiers, arrestation à l’étranger ou urgence médicale.

Le clonage vocal peut rendre cette histoire particulièrement convaincante. Le fraudeur joue sur l’émotion pour vous empêcher de réfléchir et vous pousser à effectuer un virement avant d’avoir vérifié la situation.

Le bon réflexe : raccrochez et rappelez votre proche sur son numéro habituel. Vous pouvez également utiliser un autre canal de communication ou une question convenue à l’avance. Ne transférez jamais d’argent sur la seule base d’un appel urgent, même si la voix vous paraît familière.

Cette technique s’inscrit dans les nombreuses formes d’usurpation impliquant l’entourage, décrites dans notre article sur l’usurpation d’identité par un proche.

2. Les fausses visioconférences et les entretiens d’embauche truqués

Les fraudeurs peuvent également utiliser un visage ou une voix synthétique pendant un appel vidéo. Ils cherchent alors à se faire passer pour un recruteur, un collaborateur ou un responsable d’entreprise afin d’obtenir des informations confidentielles.

Lors d’un faux entretien de recrutement, la victime peut être invitée à transmettre une pièce d’identité, son numéro de sécurité sociale ou ses coordonnées bancaires. Elle peut aussi recevoir un prétendu logiciel de test à installer, qui dissimule en réalité un programme malveillant.

Pour limiter les risques, vérifiez que l’offre d’emploi figure sur le site officiel de l’entreprise et que votre interlocuteur utilise un canal professionnel cohérent. Ne payez jamais de frais de recrutement et n’installez pas de logiciel fourni par un interlocuteur dont vous n’avez pas vérifié l’identité.

Retrouvez également nos conseils sur les fausses offres d’emploi utilisées pour usurper une identité.

3. La fraude au président à l’aide d’un deepfake

Dans les entreprises, les deepfakes peuvent renforcer la fraude au président. Un employé reçoit une demande de virement présentée comme provenant d’un dirigeant ou d’un responsable financier. Une vidéo ou un appel audio truqué peut alors servir à renforcer l’apparence de légitimité de la demande.

En février 2024, une entreprise de Hong Kong a ainsi perdu environ 200 millions de dollars hongkongais, soit près de 24 millions d’euros, après qu’un employé a participé à une visioconférence dans laquelle plusieurs participants étaient des reproductions générées par IA.

Ce cas montre qu’une visioconférence ne constitue pas, à elle seule, une preuve suffisante de l’identité d’un interlocuteur. La validation des opérations financières doit suivre des procédures internes, même lorsque la demande semble venir d’un dirigeant connu.

Pour en savoir plus sur les techniques d’usurpation visant les dirigeants, consultez notre témoignage sur une tentative d’usurpation impliquant un dirigeant et l’intelligence artificielle.

Pour une entreprise, les mesures les plus efficaces restent simples : confirmation d’un virement par un second canal, double validation des opérations importantes et interdiction de contourner les procédures au motif qu’une demande serait urgente ou confidentielle.

4. Les faux profils, la désinformation et les contenus compromettants

Un visage ou une voix peuvent également être détournés pour fabriquer une fausse déclaration, créer un faux profil ou diffuser un contenu destiné à nuire à la réputation d’une personne. Les contenus politiques truqués illustrent notamment la manière dont un deepfake peut être utilisé pour faire croire qu’une personnalité a tenu des propos inventés.

Les deepfakes peuvent aussi servir au chantage ou au cyberharcèlement. Des images intimes fabriquées sans consentement, parfois à partir de photos publiques, peuvent être diffusées pour humilier une victime ou lui réclamer de l’argent en échange de leur retrait.

Ces pratiques peuvent toucher les adultes comme les mineurs. Consultez notre article dédié aux deepfakes à caractère sexuel et à leurs conséquences chez les jeunes pour approfondir ce sujet spécifique.

Les faux profils sur les réseaux sociaux constituent une autre voie d’exploitation de l’image et de l’identité. Pour comprendre les risques associés à ces plateformes, retrouvez notre guide sur l’usurpation d’identité sur les réseaux sociaux.

Comment détecter un deepfake ?

Aucun détail visuel ou sonore ne permet à lui seul de prouver qu’un contenu est authentique ou truqué. Les deepfakes de bonne qualité peuvent être difficiles à repérer, tandis qu’une vidéo authentique peut présenter des défauts dus à la compression ou à une mauvaise connexion.

Certains indices peuvent néanmoins éveiller les soupçons :

• Les mouvements du visage : expressions étranges, déformations ponctuelles ou synchronisation imparfaite entre les lèvres et la voix.
• La voix : intonation inhabituellement mécanique, variations peu naturelles ou ruptures dans le rythme de la parole.
• L’image : contours flous autour du visage, éclairage incohérent ou changements visuels entre deux mouvements.
• Le contexte : propos surprenants, demande d’argent urgente ou instruction inhabituelle qui ne correspond pas aux pratiques habituelles de la personne.
• La source : absence de publication sur les canaux officiels de la personne ou de l’organisation concernée, ou diffusion initiale par un compte difficile à identifier.

Ces indices ne constituent pas une méthode de détection infaillible. Une vidéo peut sembler parfaitement naturelle tout en étant falsifiée. À l’inverse, un défaut d’image ne suffit pas à conclure qu’il s’agit d’un deepfake.

La vérification la plus utile consiste souvent à examiner l’origine du contenu et à contacter la personne supposée l’avoir publié. Si une vidéo demande une action urgente, vérifiez-la par un autre moyen avant d’agir ou de la partager.

Des outils de détection automatisée existent, mais leurs résultats doivent être interprétés avec prudence. Ils peuvent produire des faux positifs ou ne pas repérer un contenu artificiel. Ils ne remplacent ni la vérification de la source ni les procédures de contrôle de l’identité.

Que faire si vous êtes victime d’un deepfake ?

Si votre visage ou votre voix ont été utilisés sans votre accord, ou si vous découvrez une vidéo truquée destinée à vous escroquer ou à nuire à votre réputation, agissez rapidement :

1. Conservez les preuves : enregistrez l’URL, la date, le nom du compte, les captures d’écran et les messages associés. Gardez une copie des fichiers si vous pouvez le faire sans les diffuser davantage.
2. Signalez le contenu à la plateforme : utilisez les mécanismes de signalement prévus pour les contenus trompeurs, harcelants ou publiés sans consentement.
3. Prévenez les personnes concernées : si un deepfake est utilisé pour réclamer de l’argent ou diffuser de fausses consignes, avertissez les proches ou les collaborateurs concernés par un canal fiable.
4. Signalez les faits aux autorités : vous pouvez contacter la police ou la gendarmerie et, pour les contenus illicites accessibles en ligne, effectuer un signalement sur PHAROS.
5. En cas d’utilisation abusive de vos données personnelles : consultez la procédure de plainte auprès de la CNIL. Cette démarche ne remplace pas un dépôt de plainte pénale lorsque les faits le justifient.

Si le deepfake a servi à vous soutirer de l’argent, contactez immédiatement votre banque pour signaler les opérations concernées. En cas de chantage, ne payez pas dans la précipitation et conservez les preuves des demandes reçues.

Que dit la loi française sur les deepfakes ?

Le droit français prévoit plusieurs sanctions selon la nature du contenu et l’usage qui en est fait. Le cadre juridique ne signifie pas que tout contenu généré par IA est illégal : la qualification dépend notamment du consentement, du caractère du contenu et de sa diffusion.

L’article 226-8 du Code pénal réprime notamment la diffusion, sans consentement et dans les conditions prévues par le texte, d’un montage utilisant les paroles ou l’image d’une personne, ainsi que certains contenus visuels ou sonores générés par algorithme. Les peines prévues sont d’un an d’emprisonnement et de 15 000 € d’amende, portées à deux ans et 45 000 € lorsque l’infraction est commise en utilisant un service de communication au public en ligne.

Les contenus à caractère sexuel font l’objet d’une disposition spécifique. L’article 226-8-1 du Code pénal prévoit jusqu’à deux ans d’emprisonnement et 60 000 € d’amende pour la diffusion d’un montage sexuel réalisé sans consentement, y compris lorsqu’il est généré par traitement algorithmique. Les peines peuvent atteindre trois ans d’emprisonnement et 75 000 € d’amende lorsque l’infraction est commise en utilisant un service de communication au public en ligne.

Selon les faits, d’autres infractions peuvent également être retenues, notamment l’escroquerie, l’usurpation d’identité ou le harcèlement. En cas de doute sur une situation concrète, conservez les preuves et rapprochez-vous des autorités ou d’un professionnel du droit.

Comment limiter les risques d’usurpation par deepfake ?

Il est impossible de garantir qu’une photo, un enregistrement vocal ou une vidéo ne sera jamais détourné. Quelques habitudes permettent toutefois de réduire les risques et de rendre les tentatives de fraude plus difficiles.

• Maîtrisez la diffusion de vos images : limitez l’accès public aux photos et vidéos personnelles lorsque cela est possible, notamment celles des enfants.
• Vérifiez toute demande inhabituelle par un second canal : rappelez la personne à un numéro connu ou confirmez la demande via une messagerie déjà utilisée.
• Adoptez des procédures de validation : pour un virement ou la transmission de données confidentielles, exigez une confirmation indépendante de l’appel ou de la visioconférence.
• Sécurisez vos comptes : utilisez des mots de passe uniques et activez l’authentification multifacteur, en particulier pour votre messagerie.
• Ne partagez pas immédiatement un contenu choquant : vérifiez sa provenance avant de le relayer, afin d’éviter d’amplifier une manipulation ou de nuire à une victime.

Pour les entreprises, ces réflexes doivent être complétés par des procédures écrites de validation des virements, des contrôles internes et une sensibilisation des collaborateurs aux fraudes par ingénierie sociale.

ID Protect : mieux protéger son identité numérique

Les deepfakes exploitent souvent des informations personnelles, des images ou des documents disponibles en ligne. ID Protect propose des outils complémentaires pour aider à limiter certains risques liés à l’identité numérique, sans se substituer à un logiciel spécialisé de détection des vidéos générées par IA.

• Kuma vous aide à analyser une situation ou un message suspect et à identifier les démarches adaptées.
• ID Filigrane permet d’ajouter un filigrane à une copie de document d’identité avant de la transmettre, afin de limiter les risques de réutilisation détournée.
• ID Locker permet de partager des documents avec un accès contrôlé et limité dans le temps.
• ID Tracker détecte certaines utilisations de votre identité au sein de son réseau de partenaires couverts.

Ces outils ne permettent pas de confirmer à eux seuls qu’une vidéo est authentique ou truquée. Ils contribuent en revanche à mieux protéger les documents d’identité, à analyser certaines sollicitations suspectes et à détecter certaines utilisations de votre identité.

Découvrez les solutions ID Protect pour prévenir les risques d’usurpation d’identité.

FAQ : deepfake et usurpation d’identité

Un détecteur de deepfake peut-il certifier qu’une vidéo est authentique ?

Non. Les outils automatisés fournissent des indices ou une estimation, mais peuvent se tromper. Pour vérifier une vidéo, examinez également sa source, recherchez une confirmation indépendante et contactez la personne concernée par un autre canal si une action vous est demandée.

Peut-on utiliser l’image ou la voix d’une personne pour créer un deepfake sans son accord ?

La situation dépend de l’usage et de la diffusion du contenu. En France, les articles 226-8 et 226-8-1 du Code pénal sanctionnent certaines diffusions de montages ou de contenus générés par IA représentant une personne sans son consentement, avec des règles spécifiques pour les contenus à caractère sexuel.

Que faire si un deepfake utilise mon visage ou ma voix ?

Conservez les preuves, signalez le contenu à la plateforme et contactez la police ou la gendarmerie si vous pensez être victime d’une infraction. Selon la situation, un signalement sur PHAROS ou une plainte auprès de la CNIL peut également être pertinent.