En bref
- Les deepfakes sont des contenus audio, vidéo ou images générés par IA qui imitent une personne réelle. Le coût est passé de « studio hollywoodien » à « application gratuite sur téléphone » en deux ans. Ton oreille et ton œil ne suffisent plus — la défense est une petite habitude, pas une meilleure détection.
- Le deepfake le plus dommageable aujourd'hui est un clone vocal de 20 secondes d'un proche ou de ton patron, utilisé au téléphone pour demander de l'argent ou un code. « Maman, j'ai eu un accident, il me faut du liquide tout de suite. »
- Deux habitudes battent presque tous les deepfakes grand public : un mot-code familial pour vérifier toute demande vocale ou vidéo urgente, et un rappel lent via le numéro que tu avais déjà — jamais un numéro affiché à l'écran.
- Les enfants de personnalités publiques, les victimes d'anciennes fuites de données et les personnes avec beaucoup d'audio ou de vidéo publics — podcasteurs, dirigeants, influenceurs, élus — sont les plus exposés. Leurs familles aussi.
- L'abus basé sur l'image — les deepfakes intimes non consentis — est une catégorie à part qui a besoin de sa propre réponse. Des services mondiaux (StopNCII.org, Take It Down) peuvent retirer ces images sans que tu aies à les téléverser où que ce soit.
- « Je ne me ferai pas avoir » est ce que croyait chaque personne qui s'est fait avoir.
De quoi s'agit-il ?
Un deepfake est n'importe quel média synthétique — audio, image ou vidéo — qui imite une personne réelle de façon assez convaincante pour être utilisé comme s'il était réel. Trois catégories actuelles :
- Clones vocaux. Construits à partir de seulement 5 à 10 secondes de la voix d'une personne — un extrait de podcast, un TikTok, un message vocal, une interview YouTube, un enregistrement Zoom. Le clone peut lire n'importe quel nouveau texte avec la voix de la personne, avec l'intonation.
- Échange de visage et synchronisation labiale. Une courte vidéo de référence du visage de la cible plaquée sur le corps de quelqu'un d'autre, ou une vidéo existante de la cible ré-doublée avec un nouvel audio. La qualité varie mais devient moins chère chaque mois.
- Images fixes générées par IA. Une photo d'une personne réelle placée dans un décor où elle n'a jamais été — parfois intime, parfois politiquement compromettant, parfois pour de l'arnaque sentimentale ou de l'usurpation d'identité.
Ils sont utilisés principalement de cinq façons :
- Appels vocaux « urgence familiale » — l'arnaque au faux petit-enfant, en version évoluée.
- Fausses demandes du PDG ou du directeur financier au personnel — la fraude au président, en version évoluée.
- Arnaque sentimentale avec « preuve » vidéo — l'escroc apparaît brièvement dans un appel pour prouver qu'il est réel.
- Désinformation politique — clips audio ou vidéo coordonnés diffusés avant des élections.
- Abus basé sur l'image — deepfakes intimes ciblant de façon disproportionnée les femmes et les mineurs.
La technologie n'est plus exotique. Les outils sont accessibles au public, majoritairement légaux à utiliser, et s'améliorent rapidement. Traiter cela comme quelque chose qui arrive « aux autres » est la même erreur que celle commise à propos de l'hameçonnage en 2015.
Comment le repérer ?
Le vieux conseil — « cherche le flou au niveau de la mâchoire, compte les doigts » — est aujourd'hui largement obsolète. Les générations récentes d'outils de deepfake ne laissent plus ces traces. Les signaux fiables sont passés de l'artefact au contexte.
Lors d'un appel téléphonique :
- La voix est correcte mais la conversation est superficielle. L'appelant ne fait référence à aucun souvenir commun, ne peut pas répondre à « de quoi avons-nous parlé le week-end dernier », ne peut pas être entraîné sur des détails que seule la vraie personne connaîtrait.
- L'urgence est forte. Toujours l'urgence. « Ne le dis à personne — j'ai des ennuis. »
- Le moyen de paiement est inhabituel. Cartes cadeaux. Crypto. Virement sur un compte inconnu. Les vrais proches qui empruntent de l'argent ne te demandent normalement pas d'envoyer des cartes cadeaux Apple.
- L'appelant veut sortir la conversation du canal d'origine — « rappelle-moi sur ce numéro WhatsApp, mon téléphone est cassé. »
Lors d'un appel vidéo :
- Le visage bouge légèrement moins que les vrais visages — les micro-expressions semblent subtilement fausses.
- Les yeux ne suivent pas naturellement quand tu demandes à la personne de regarder autour de la pièce.
- L'éclairage sur le visage ne correspond pas tout à fait à l'éclairage de l'arrière-plan.
- Un test simple : demande-lui de se tourner de côté et de passer lentement une main devant son visage. Les deepfakes en temps réel actuels échouent encore là-dessus — la main disparaît, le visage a des ratés, la synchro labiale glisse.
Sur une image fixe :
- Fais une recherche d'image inversée. Les visages générés par IA n'ont généralement aucune autre apparition en ligne ; les vraies personnes, si.
- Les mains et les oreilles restent les zones les plus sujettes aux erreurs sur les images fixes.
- L'arrière-plan est trop propre ou étrangement incohérent — une fenêtre sans vue, un mur sans ombre, un logo qui est presque un vrai logo.
Le plus fiable : ignore les artefacts. Vérifie par un autre canal. Toujours.
Que faire ?
Si une voix ou une vidéo suspecte vient de te contacter :
- Arrête la conversation. Poliment ou non. « Je te rappelle. » Raccroche. Ferme le chat.
- Vérifie par un canal connu. Appelle la personne sur le numéro que tu as pour elle depuis des années. Si elle ne répond pas, appelle un proche qui saurait où elle est. Ne rappelle pas le numéro qui vient de te contacter.
- Utilise le mot-code familial. Décrit plus bas. Si tu n'en as pas encore, c'est le moment d'en inventer un.
- Si on a demandé de l'argent, n'envoie rien — même si tu es sûr à 90 % que c'était elle. Le cas à 10 % peut être catastrophique ; l'attente est réversible.
- Si on a insisté sur le secret — « ne le dis pas à ta mère » — cela confirme l'arnaque. Les vraies urgences ne sont pas secrètes.
Si tu découvres le deepfake après coup (argent envoyé, message cru, image partagée) :
- Appelle ta banque immédiatement. Les virements internationaux peuvent parfois être rappelés dans les 24 heures ; après, c'est bien plus difficile.
- Sauvegarde tout. Captures d'écran, messages vocaux, journaux d'appels, fils de messages, confirmations de transaction. Le dossier compte même si tu ne récupères jamais l'argent — il aide la victime suivante.
- Signale à la police. L'unité cybercriminalité de ton pays et la plateforme d'où vient le contact. Dans l'UE, préviens aussi ton autorité de protection des données si ton image ou ta voix a été utilisée — c'est en soi une violation de données personnelles.
- Préviens ton entourage. La même opération vise probablement ensuite ta famille et tes contacts, avec la crédibilité que tu leur as prêtée sans le savoir.
- Si des images intimes sont impliquées, utilise immédiatement un service de retrait — voir plus bas.
Mets en place un mot-code familial maintenant, tant que tout le monde est calme.
- Un mot ou une phrase courte que seul ton foyer connaît. Pas un anniversaire, pas un nom d'animal (ça se trouve sur les réseaux sociaux).
- « Citrouille-coucher-de-soleil », « écrevisse bleue », « mardi Yvonne ». Tout ce qui est mémorable mais ingooglable.
- Quiconque appelle avec urgence doit produire le mot. Aucune exception.
- Dis-le par écrit aux proches âgés. Certains ne se souviendront pas de la règle sous pression ; un aimant de frigo aide.
Ce qu'il ne faut PAS faire
- Ne te fie pas à « je reconnaîtrais sa voix » ou « c'est tout à fait lui ». Cette reconnaissance est exactement ce que la technologie est conçue pour exploiter.
- Ne discute pas avec le deepfake. Toute interaction confirme tes coordonnées et fournit plus de voix pour l'entraînement.
- Ne publie pas de vidéos d'enfants avec leur nom complet et leur école. Voix et visage — les deux ingrédients d'un clone — sont récoltés sur les publications publiques.
- Ne paie pas de rançon pour un « nu deepfake » de toi ou de ton enfant. Payer confirme une cible qui paie ; la demande revient. Sauvegarde les preuves, signale, et utilise les services de retrait.
- N'essaie pas de piéger l'appelant avec des questions pièges. Les opérations sophistiquées sont scriptées avec des réponses préparées. Les mots-codes marchent mieux que les énigmes.
- Ne fais pas confiance à l'authentification biométrique — visage ou voix — pour quoi que ce soit d'important, sauf couplée à un second facteur. Un clone vocal peut vaincre l'authentification vocale de certaines banques ; certains systèmes de reconnaissance faciale sont trompés par une vidéo de bonne qualité.
- Ne te blâme pas. Des gens intelligents se font avoir tous les jours. La technologie est conçue pour exploiter la confiance normale.
Utiliser l'IA pour t'aider
Deux prompts à copier et adapter. Mets ta situation entre crochets. Ne colle pas de mots de passe ni de codes à deux facteurs.
Analyser un clip suspect :
« J'ai reçu ce clip audio (ou vidéo / image) et je ne suis pas sûr s'il est authentique ou un deepfake. Voici le contexte — qui l'a envoyé, ce qu'il prétend, ce qu'on m'a demandé. Analyse : (a) les signaux d'alerte que tu vois dans la situation (pas l'artefact — suppose que le média lui-même est convaincant), (b) la vérification que je pourrais faire dans les dix prochaines minutes pour confirmer ou infirmer, (c) ce que je ne dois surtout PAS faire avant d'avoir vérifié, et (d) sur une échelle de 1 à 10, la probabilité que ce soit une attaque par deepfake, avec ton raisonnement.
Contexte : [coller]"
Planifier une routine de vérification familiale :
« Je veux protéger ma famille — dont [liste les âges et l'aisance technique, ex. ados, mes parents âgés] — contre les attaques par clone vocal et deepfake vidéo. Donne-moi (a) une routine de vérification familiale d'une page incluant un système de mot-code qu'une personne de 80 ans peut suivre sous stress, (b) les scénarios précis que je devrais passer en revue avec chaque membre ce soir (l'appel « maman j'ai eu un accident », l'appel « le PDG a besoin d'un virement urgent » à mon conjoint au travail, l'e-mail « j'ai ta photo nue et je vais l'envoyer à tout le monde » à un ado), et (c) ce que je devrais changer dans nos habitudes de publication sur les réseaux sociaux pour réduire le risque futur. »
Un rappel : l'IA peut se tromper avec assurance sur les lois de ton pays concernant les médias synthétiques, sur la question d'impliquer la police, et sur les voies de signalement. Utilise-la pour planifier ; vérifie les démarches formelles avec ta banque, ta police locale et ton autorité de protection des données.
Qui appeler ?
L'ordre : la plateforme où le deepfake est apparu, ta banque si de l'argent a bougé, les services de retrait si des images intimes sont impliquées, la police pour usage criminel.
Trouver les coordonnées les plus récentes pour ton pays avec l'IA :
« Je suis en/au [ton pays]. Liste les canaux officiels à contacter pour un incident de deepfake — l'organisme national de signalement de la cybercriminalité, l'autorité de protection des données (pour usage non autorisé de mon image ou de ma voix), la ligne de fraude financière si de l'argent a bougé, et tout service public ou ONG traitant spécifiquement de l'abus par médias synthétiques (surtout l'abus d'image intime). Pour chacun, donne le site officiel et le numéro de téléphone public, et dis-moi lequel contacter en premier selon que (a) de l'argent a bougé, (b) mon image a servi à escroquer d'autres personnes, (c) des images intimes de moi ou de mon enfant ont été créées ou partagées, ou (d) le deepfake est de nature politique ou électorale. Cite la source officielle pour chaque. Signale ce qui pourrait être obsolète. »
Une courte liste (pour le plus récent, préfère le prompt IA ci-dessus) :
- Abus basé sur l'image — services de retrait mondiaux (NE téléverse PAS l'image) :
- StopNCII.org — génère une empreinte sur ton appareil ; les plateformes participantes (Meta, TikTok, Reddit, OnlyFans, Pornhub, Bumble, X, et plus) bloquent les téléversements correspondants sans jamais recevoir l'image elle-même.
- Take It Down (opéré par le NCMEC, USA) — même approche, spécialement pour les moins de 18 ans ; accepte aussi les adultes concernés par d'anciennes images.
- France — Pharos (internet-signalement.gouv.fr) ; Cybermalveillance.gouv.fr ; arretonslesviolences.gouv.fr.
- Belgique — Safeonweb.be ; Child Focus pour les mineurs.
- Suisse (FR) — NCSC (ncsc.admin.ch) ; aide-aux-victimes.ch.
Quand aller au-delà du chat
- De l'argent a été envoyé et la conversation continue — appelle la ligne de fraude de la banque dans la minute, pas dans l'heure. Les fenêtres de rappel internationales sont courtes.
- Un deepfake intime de toi ou d'un enfant a été créé ou menacé — utilise StopNCII ou Take It Down aujourd'hui ; signalement police en parallèle. Ne paie aucune extorsion.
- Un deepfake sert à escroquer des gens de ton réseau — ton visage ou ta voix dans un faux appel du PDG à ton personnel, par exemple — alerte les RH, l'informatique ou un avocat immédiatement. Il peut y avoir une dimension de responsabilité d'entreprise.
- Un deepfake politique de toi circule — vérifie avec ton équipe de communication ou un avocat avant de réagir publiquement ; les démentis non coordonnés peuvent amplifier l'original.
- Un ado de ta famille est victime de sextorsion avec une image nue générée par IA — c'est un délit dans la plupart des pays même si l'image a été générée plutôt que réelle. Take It Down du NCMEC, plus la police, plus l'école si des camarades sont impliqués.
- Tu es en détresse psychologique — l'arnaque, l'abus d'image et la perte d'identité peuvent chacun pousser en crise. Suisse : 143 (La Main Tendue). France : 3114 (numéro national de prévention du suicide). Belgique : 0800 32 123.
Sources et lectures complémentaires
- Stanford Internet Observatory — recherche publique continue sur les médias synthétiques
- Witness.org — organisation de la société civile mondiale sur la réponse aux deepfakes
- Cyber Civil Rights Initiative — recherche sur l'abus basé sur l'image et le soutien aux victimes
- StopNCII.org / NCMEC Take It Down — infrastructure publique de retrait
- Règlement européen sur l'IA (AI Act) — dispositions sur la divulgation des médias synthétiques
- US Federal Trade Commission — réglementation en cours sur la fraude par deepfake