Arnaques aux deepfakes par IA : quand la voix au téléphone n'est pas celle qu'on croit

Reconnaître la voix ou le visage de quelqu'un suffisait autrefois comme vérification. Ce n'est plus le cas. Un court extrait audio peut suffire à imiter la voix d'une personne, et une vidéo en direct peut placer un visage familier sur quelqu'un d'autre. Les escrocs utilisent ces outils dans un seul but : faire passer une demande d'argent urgente pour celle d'une personne en qui vous avez confiance.

Voici les scénarios les plus courants, les habitudes qui les déjouent et ce qu'un portefeuille peut faire ou non.

Les scénarios à reconnaître

La technologie est nouvelle ; les scénarios sont anciens. Quatre reviennent sans cesse autour de la crypto :

• L'urgence familiale. Un appel ou un message vocal qui ressemble à la voix de votre enfant, d'un parent ou de votre conjoint. Il a des ennuis — un accident, une arrestation, un téléphone volé — et a besoin que vous envoyiez de la crypto tout de suite, à une adresse qu'il vous donnera. Souvent, il vous demande de n'en parler à personne.
• Le dirigeant en visioconférence. Un employé rejoint un appel avec ce qui semble être des cadres supérieurs. Une opération confidentielle exige un virement de trésorerie aujourd'hui, en contournant la procédure habituelle « pour cette fois seulement ».
• Le direct du fondateur. Un fondateur connu, diffusé sur une chaîne piratée ou imitée, annonce un « giveaway » : envoyez des jetons et recevez le double en retour. Le compte est souvent volé ; les comptes piratés explique comment cela fonctionne.
• Le chat d'assistance. Un « agent » fluide et patient — souvent rédigé par une IA — qui vous pousse à révéler votre phrase de récupération ou à approuver une transaction que vous ne comprenez pas.

Leur point commun : l'urgence, le secret et une demande d'envoi de fonds vers une adresse que vous n'avez jamais vue.

Pourquoi repérer le faux n'est pas la bonne défense

On est tenté de chercher les défauts : un clignement étrange, des lèvres désynchronisées, un ton monocorde. Parfois, ils sont là. Mais les outils progressent sans cesse, une mauvaise ligne masque beaucoup de choses, et une personne sous pression n'examine pas les pixels. Une défense qui repose sur la détection du faux finira par échouer.

La défense fiable est procédurale : partez du principe que n'importe quelle voix ou n'importe quel visage peut être falsifié, et faites dépendre vos décisions de quelque chose que l'escroc ne contrôle pas.

Défenses pratiques pour les particuliers et les familles

Raccrochez et rappelez sur un numéro que vous connaissez déjà. Pas le numéro qui vous a appelé, mais celui enregistré dans votre téléphone avant que tout cela commence. Cette seule habitude déjoue la plupart des arnaques au clonage de voix.

Convenez d'un mot de passe familial. Choisissez un mot ou une question qui n'a jamais été publié en ligne et que seul votre foyer connaît. Toute personne qui demande de l'argent en urgence devrait pouvoir le donner. C'est une conversation un peu gênante, mais qui vaut la peine d'être eue une fois. La crypto au sein du foyer détaille comment organiser cela avant d'en avoir besoin.

Considérez l'urgence comme le signal d'alarme. Les vraies urgences supportent dix minutes de délai pour vérifier. Les arnaques, non. Une demande qui exige que vous agissiez avant de vérifier, ou que vous gardiez le secret, doit vous ralentir.

Connaissez la règle du giveaway. Personne de légitime ne double vos jetons. Un giveaway qui vous demande d'envoyer d'abord est toujours une arnaque, aussi réelle que paraisse la vidéo.

Ne saisissez jamais votre phrase de récupération dans un chat. Aucune équipe d'assistance, humaine ou IA, n'en a besoin. Si une conversation amicale glisse vers votre phrase ou vers une nouvelle plateforme d'investissement, lisez les arnaques « pig butchering ».

Défenses pour les équipes : écrivez la politique

Les deepfakes de dirigeants fonctionnent parce qu'ils exploitent l'autorité. La parade est une politique de paiement écrite qu'aucune voix ne peut contourner :

• Deux personnes approuvent chaque paiement sortant, et la seconde n'est pas celle qui a reçu la demande.
• Les paiements ne vont qu'à des adresses connues et enregistrées. Une nouvelle adresse est ajoutée lors d'une étape distincte et confirmée par un autre canal — par exemple en appelant le destinataire sur un numéro déjà enregistré.
• Aucune exception par téléphone ou en vidéo. Personne, quel que soit son rang, ne peut lever la politique lors d'un appel ; ainsi, un collaborateur junior n'a jamais à décider s'il doit contredire « le PDG ».

La politique de trésorerie pour les petites équipes explique pas à pas comment en rédiger une.

Là où SSP aide, et là où il n'aide pas

SSP Wallet est un multisig 2 sur 2 : une transaction doit être approuvée à la fois par SSP Wallet dans votre navigateur et par SSP Key sur votre téléphone. SSP Key décode la transaction sur l'appareil et vous montre le montant et la destination avant que vous approuviez.

Cela protège contre un navigateur compromis, un ordinateur portable volé ou une seule clé divulguée. Cela ne détecte pas un deepfake. Si quelqu'un vous convainc que votre fille a besoin de fonds envoyés à une adresse précise, vous approuverez sur les deux appareils, et la transaction sera valide. Deux appareils détenus par une seule personne restent le jugement d'une seule personne. Ce que la vérification sur l'appareil vous apporte, c'est un moment de calme pour lire l'adresse et le montant, et vous demander si vous avez réellement vérifié.

Pour les équipes, les coffres SSP Enterprise sont des multisig M sur N : chaque signataire possède sa propre paire SSP Wallet et SSP Key, et une transaction doit être approuvée par M des N signataires. Avec un seuil de deux ou plus, une seule personne trompée lors d'une visioconférence ne peut pas déplacer les fonds seule — l'escroc doit tromper plusieurs personnes indépendamment. Cela n'aide que si les autres signataires vérifient eux-mêmes la demande au lieu d'approuver parce qu'un collègue l'a demandé. Le seuil est le choix de l'équipe ; c'est la politique qui lui donne son sens.

Le résumé honnête

Reconnaître une voix ou un visage ne prouve plus l'identité de quelqu'un. Les défenses ne dépendent pas de la détection du faux : rappelez sur un numéro connu, convenez d'un mot de passe familial, traitez l'urgence et le secret comme des signaux d'alarme, et souvenez-vous que personne de légitime ne double vos jetons.

Pour les équipes, rédigez une politique de paiement avec deux approbateurs et des adresses connues, et précisez qu'aucun appel ne peut la contourner. L'approbation à deux appareils de SSP ne vous dira pas qu'une demande est fausse : si vous êtes convaincu, vous approuverez. Un coffre M sur N signifie que plus d'une personne doit être convaincue, ce qui est un vrai obstacle, mais seulement si chaque signataire vérifie par lui-même.