Les arnaques vocales utilisant l’IA ne sont plus aussi marginales qu’auparavant. La technologie est à la fois peu coûteuse et convaincante : une combinaison inquiétante qui permet à davantage d’escrocs de se lancer. Selon un rapport publié par Hiya en mars, un Américain sur quatre affirme avoir reçu un appel utilisant une voix truquée par l’IA au cours des douze derniers mois. Près d’un quart (24 %) déclarent ne pas savoir faire la différence.

La même étude révèle que les Américains sont deux fois plus nombreux à penser que les escrocs prennent le dessus sur les opérateurs mobiles dans la lutte contre les voix clonées. Mais rien n’est joué. Si la technologie peut impressionner, une technique simple pourrait mettre les escrocs en échec : un mot de sécurité convenu à l’avance.

Comment les escrocs utilisent-ils les deepfakes ?

Nous pensons tous pouvoir reconnaître la voix d’un proche. Pourtant, les technologies de clonage vocal progressent à une vitesse vertigineuse. Quelques secondes d’enregistrement suffisent aux escrocs pour créer un deepfake convaincant. Cet extrait peut être récupéré dans nos publications sur les réseaux sociaux si nous n’en avons pas limité l’accès dans les paramètres de confidentialité, ou dans des contenus professionnels publiés en ligne.

Une fois la voix clonée, qu’en font-ils ?

L’une des arnaques les plus connues consiste à appeler un membre de la famille à l’improviste et à lui faire écouter un enregistrement truqué pour lui faire croire que son proche a été enlevé. Ces arnaques au faux enlèvement peuvent sembler encore plus crédibles lorsque les escrocs citent des détails personnels recueillis sur les mêmes comptes de réseaux sociaux. Ils peuvent également surveiller le profil de la victime sur les réseaux sociaux, ou ceux de ses proches, pour choisir le meilleur moment pour agir. Une personne en déplacement à l’étranger, et donc moins susceptible de consulter son téléphone pour répondre aux appels, peut leur faciliter la tâche.

Pour les fraudeurs, l’essentiel est de maintenir les proches dans l’incertitude et la détresse. Ils n’utilisent donc la voix clonée que quelques secondes à la fois, y mêlent des sanglots et ajoutent parfois des bruits de fond pour rendre la scène plus crédible et chaotique.

Qu’est-ce qu’un mot de sécurité et pourquoi y avoir recours ?

Dans ce contexte, l’un des moyens les plus simples et les plus efficaces de déjouer une arnaque consiste à convenir d’un mot de sécurité avec les membres de votre famille. Il doit s’agir d’un mot ou d’une phrase facile à retenir, qu’un proche peut vous demander de prononcer s’il pense que votre voix a pu être imitée par un deepfake. Un escroc n’aurait aucun moyen de connaître ce mot de sécurité, ce qui permettrait de démasquer une tentative visant à faire payer une rançon à votre famille.

Ce mot doit bien sûr être mémorable, mais aussi inhabituel. Il ne doit pas pouvoir être découvert en consultant vos publications sur les réseaux sociaux ou d’autres sources d’information accessibles au public (OSINT). Écartez donc d’emblée le nom de votre animal de compagnie ou de votre équipe sportive préférée.

Comment le mettre en place sans inquiéter vos proches ?

La manière d’aborder le sujet compte. L’objectif n’est pas d’alarmer votre famille, mais de lui faire comprendre que la technologie a évolué et que des personnes malveillantes sont prêtes à en tirer parti.

Vous pouvez préciser qu’il est peu probable que vous ayez un jour besoin d’utiliser ce mot. Présentez néanmoins quelques situations dans lesquelles il serait utile de le demander. Par exemple, lors d’un appel inattendu et inquiétant, au cours duquel une personne imitant votre voix tente d’obtenir de l’argent ou des informations.

Que faire si quelqu’un oublie le mot de sécurité ?

Il est important de prévoir une solution de secours si quelqu’un ne se souvient plus du mot de sécurité. Le mieux est d’encourager vos proches à raccrocher, puis à vous rappeler au numéro enregistré dans leur répertoire, ou à vous envoyer un message dans un groupe de discussion que vous utilisez déjà ensemble. Ils pourront ainsi vérifier immédiatement si vous êtes réellement en difficulté.

Ils peuvent aussi poser une autre question dont seul un membre de la famille connaît la réponse. Celle-ci ne doit pas pouvoir être trouvée en ligne. Vos proches doivent également savoir qu’il ne faut jamais envoyer d’argent ni communiquer d’informations personnelles si quelque chose leur semble suspect.

Que faire si vous avez été victime d’une arnaque par deepfake ?

N’en ayez pas honte. Les technologies de deepfake deviennent chaque jour plus convaincantes. Si vous ou l’un de vos proches avez été victime d’une arnaque :

  • Cessez immédiatement tout échange avec l’escroc.
  • Contactez votre banque pour expliquer ce qui s’est passé et demander s’il est possible de bloquer le paiement ou de récupérer les sommes versées.
  • Modifiez les mots de passe qui ont pu être divulgués sur tous les comptes concernés. C’est aussi le bon moment pour activer l’authentification à deux facteurs (2FA) et choisir, pour chaque compte, un mot de passe robuste et unique, conservé dans un gestionnaire de mots de passe.
  • Conservez tous les éléments de preuve utiles, comme les numéros de téléphone et les enregistrements.
  • Signalez l’arnaque aux autorités compétentes, à la Gendarmerie, sur THESEE ou obtenez de l’aide auprès du dispositif national 17Cyber.

Gardez à l’esprit que les escrocs n’ont aucun scrupule. Méfiez-vous de ceux qui pourraient ensuite vous promettre de récupérer votre argent contre rémunération ou de sécuriser vos comptes. Ils mentent. Les payer ne ferait qu’alourdir vos pertes.