Voix et visages deepfake dans la fraude : ce que l’on sait en 2026

L'essentiel

Les fraudes qui font appel à des voix et à des vidéos synthétiques sont passées de l'exception à la routine en moins de dix ans. La plupart relèvent encore de l'ingénierie sociale classique : un récit crédible, l'urgence et une demande de transfert d'argent. Une voix clonée ou un visage truqué rend cette demande plus convaincante. Les pertes que les forces de l'ordre peuvent confirmer sont élevées, mais elles ne représentent encore qu'une faible part de l'ensemble des fraudes. Beaucoup des chiffres de croissance alarmants qui circulent émanent d'entreprises qui vendent des produits de détection et de vérification d'identité.

Comment fonctionne la technologie

Un clone vocal est un modèle entraîné à copier la voix d'une personne. Les systèmes actuels n'ont besoin que de quelques secondes à quelques minutes d'audio de bonne qualité, souvent disponible sur les réseaux sociaux, dans des podcasts, lors de conférences sur les résultats financiers ou dans les messages d'accueil de messageries vocales. Dans son avis d'intérêt public de décembre 2024 (I-120324-PSA), le FBI affirme que les criminels « génèrent de courts extraits audio contenant la voix d'un proche pour se faire passer pour un parent proche en situation de crise ».[1] Les clones de synthèse vocale lisent tout ce que l'escroc tape au clavier. Les convertisseurs de voix à voix transforment en temps réel la voix d'un interlocuteur en direct en celle de la cible.

Les deepfakes vidéo fonctionnent de manière similaire. Les logiciels d'échange de visage plaquent, image par image, le visage de la cible sur la tête d'un acteur. Certains outils sont assez rapides pour des appels vidéo en direct. D'autres produisent des séquences préenregistrées qui sont diffusées dans une réunion ou publiées sous forme de publicité. Les mouvements des lèvres, l'éclairage sur le contour du visage et les rotations brusques de la tête sont les points où ces outils tendent encore à échouer, même si ces défauts deviennent plus difficiles à repérer.

Ces outils sont bon marché. Dans un entretien publié en 2025 par l'ICAEW, Oli Buckley, professeur de cybersécurité, relevait que les applications payantes de clonage vocal ne coûtent que 5 à 10 dollars par mois et que de nombreuses plateformes sont gratuites.[2] Le rapport de l'ONUDC d'octobre 2024 sur le crime organisé en Asie du Sud-Est a recensé plus de dix éditeurs de logiciels de deepfake ciblant spécifiquement les groupes criminels de cette région. Il a aussi enregistré, entre février et juin 2024, une hausse de 600 % des mentions liées aux deepfakes dans les canaux Telegram criminels et les forums clandestins surveillés.[3][4]

Comment les criminels s'en servent

Usurpation d'identité de dirigeants et compromission de messagerie professionnelle. Le cas le plus connu est celui d'Arup. En janvier 2024, un employé du service financier du bureau hongkongais du groupe d'ingénierie a effectué 15 virements totalisant 200 millions de dollars de Hong Kong (environ 25,6 millions de dollars) vers cinq comptes bancaires locaux.[5][6] Il l'a fait à l'issue d'une visioconférence à laquelle semblaient participer le directeur financier de l'entreprise, basé au Royaume-Uni, et d'autres collègues. La police de Hong Kong a indiqué que tous les autres participants étaient faux.[6][7] Le surintendant principal par intérim Baron Chan a déclaré aux journalistes que les escrocs avaient trouvé « des vidéos et des enregistrements audio accessibles au public des personnes à usurper, sur YouTube », et que les vidéos étaient préenregistrées et n'impliquaient aucune véritable interaction avec la victime.[8] L'employé avait d'abord soupçonné un courriel d'hameçonnage ; l'appel a dissipé ses doutes.[6] Arup a confirmé être la victime en mai 2024.[9] La police n'a signalé aucune arrestation à l'époque.[8]

Des affaires plus anciennes avaient déjà posé ce schéma. En 2019, le Wall Street Journal a rapporté que des fraudeurs avaient utilisé la voix clonée du directeur général d'une maison mère allemande pour amener le responsable d'une filiale énergétique britannique à virer environ 220 000 euros.[2] Début 2020, la voix clonée d'un directeur d'entreprise et des courriels d'un avocat fictif ont servi à déplacer environ 35 millions de dollars (voir La fraude à la voix deepfake de 35 millions de dollars aux Émirats arabes unis).[10] Le rapport 2025 du FBI sur la criminalité sur Internet indique que les générateurs de texte peuvent produire des « courriels à l'apparence officielle imitant le directeur général d'une entreprise » et que le clonage vocal sert à demander des virements. Il recense aussi plus de 30 millions de dollars de pertes liées à la compromission de messagerie professionnelle en 2025 pour lesquelles un lien avec l'IA a été signalé.[11] Cela représente environ 1 % des 3,05 milliards de dollars de pertes totales dues à ce type de fraude sur l'année.

Fausses urgences familiales et « escroqueries aux grands-parents ». Une voix clonée d'un petit-enfant, d'un enfant ou d'un ami affirme être en prison, à l'hôpital ou enlevé, et demande de l'argent rapidement. Le rapport 2025 du FBI recense plus de 5 millions de dollars de pertes dues à ces escroqueries « de détresse ».[12] Il note qu'elles « évoluent pour imiter d'autres membres de la famille ou des amis proches dans différents scénarios d'urgence ». En décembre 2025, le FBI a aussi averti que des criminels utilisaient des photos et des vidéos « preuves de vie » modifiées dans des escroqueries à la rançon fondées sur de faux enlèvements.[11]

Escroqueries sentimentales. De faux profils de rencontre utilisent des photos générées par IA. Les conversations sont rédigées ou traduites par des agents conversationnels. L'échange de visage permet à un escroc d'apparaître en vidéo sous les traits de la personne du profil. Le FBI a fait état de plus de 19 millions de dollars de pertes en 2025 dans la catégorie des escroqueries à la confiance et sentimentales, avec un lien probable avec l'IA.[11] Ce chiffre modeste sous-estime presque certainement le problème, car les victimes savent rarement que l'IA est en cause.

Escroqueries à l'investissement exploitant des personnalités publiques truquées par deepfake. De fausses vidéos de célébrités, de chefs d'entreprise et de commentateurs financiers faisant la promotion de plateformes de trading ou de « clubs d'investissement » circulent sous forme de publicités sur les réseaux sociaux. Le FBI affirme que ces clubs « emploient des vidéos et des voix de célébrités, de dirigeants ou de personnalités de confiance générées par IA ». Il a recensé en 2025 plus de 632 millions de dollars de pertes liées à des fraudes à l'investissement avec un lien signalé avec l'IA, de loin la plus importante catégorie liée à l'IA. Le FBI a relevé que les pertes totales dues aux investissements dépassaient 8 milliards de dollars, ce qui « montre que de nombreuses victimes ne se rendent pas compte de l'étendue du rôle que l'IA peut jouer ».[11]

Usurpation d'identité de responsables publics. Le 15 mai 2025, le FBI a averti (I-051525-PSA) que depuis avril 2025, « des acteurs malveillants se sont fait passer pour de hauts responsables américains » au moyen de SMS et de « messages vocaux générés par IA » afin de gagner la confiance de leurs cibles, puis de prendre le contrôle de leurs comptes. Beaucoup de cibles étaient des responsables fédéraux et d'États, en poste ou anciens, ainsi que leurs contacts.[13][14] Le FBI a publié une nouvelle alerte le 19 décembre 2025, indiquant que la campagne se poursuivait.[11]

Sextorsion. Les criminels utilisent des outils d'échange de visage et de « déshabillage numérique » pour créer des images explicites à partir de photos ordinaires, puis exigent de l'argent. Ils recourent parfois à des images synthétiques pour rendre crédible un faux personnage. Le FBI a reçu plus de 75 000 signalements de sextorsion en 2025.[11] Une note technique de l'ONUDC de septembre 2025 faisait état d'« indices selon lesquels des centres d'escroquerie en Asie du Sud-Est exploitent l'IA pour mener des opérations de sextorsion ».[15]

Contournement des vérifications d'identité (KYC). Les banques, les plateformes d'échange de cryptomonnaies et les applications de technologie financière demandent aux nouveaux clients de téléverser une pièce d'identité et de prendre un selfie ou une courte vidéo. Les fraudeurs répondent par des documents générés par IA, des visages synthétiques ou des « attaques par injection », qui envoient une vidéo deepfake directement au logiciel de vérification au lieu de passer par la caméra du téléphone. En novembre 2024, le Financial Crimes Enforcement Network américain a émis l'alerte FIN-2024-Alert004.[16] Il y indiquait avoir constaté depuis 2023 une hausse des déclarations d'activité suspecte décrivant des contenus deepfake, « en particulier l'utilisation de faux documents d'identité pour contourner la vérification d'identité ».[17][18] Le FinCEN a demandé aux banques d'étiqueter ces déclarations « FIN-2024-DEEPFAKEFRAUD ».[19] Le rapport 2025 du FBI décrit aussi des entretiens d'embauche dans lesquels « les gestes et les mouvements des lèvres de la personne interrogée à la caméra ne sont pas entièrement synchronisés avec le son », une tactique liée à la fraude au télétravail, notamment aux montages impliquant des informaticiens nord-coréens.[11]

Ampleur : ce que les chiffres montrent et ne montrent pas

Les chiffres les plus fiables proviennent des forces de l'ordre et des régulateurs, et ils sont partiels.

FBI IC3, 2025 : 22 364 plaintes comportant une référence à l'IA, pour 893,3 millions de dollars de pertes ajustées.[11][20][21] C'était la première année où ce descripteur figurait dans le rapport annuel.[22] Il ne couvre que les cas où le plaignant a mentionné l'IA (voir Ce que disent les données du FBI sur la fraude, les escroqueries et l'IA).
FinCEN : confirme une hausse des déclarations d'activité suspecte liées aux deepfakes depuis 2023, mais n'a publié aucun chiffre.[23]
ONUDC : fait état de la hausse de 600 % des mentions liées aux deepfakes dans les canaux criminels début 2024. Son rapport d'octobre 2024 cite aussi une augmentation de 1 530 % de la criminalité liée aux deepfakes dans la région Asie-Pacifique entre 2022 et 2023, d'après des données du secteur.[24][25]

Les chiffres du secteur sont plus élevés et moins sûrs. Chacun provient d'une entreprise qui vend des produits de détection, de vérification d'identité ou de sécurité. Chacun ne décrit que ce que les propres clients de cette entreprise ont observé.

Le rapport 2026 d'Entrust sur la fraude à l'identité, fondé sur plus d'un milliard de vérifications d'identité, a trouvé des deepfakes dans une tentative de fraude biométrique sur cinq. Il fait état d'une hausse de 58 % des selfies deepfake et de 40 % des attaques par injection. Cela mesure les tentatives au sein du réseau d'Entrust, non la fraude dans l'ensemble de l'économie.[26]
L'indice de fraude à l'identité de Shufti projette une hausse de 495 % de la fraude à l'identité par deepfake en 2026 et de 3 892 % des documents deepfake. Ce sont des projections annualisées à partir de cinq mois de ses propres données, et non des résultats annuels observés.[27][28][29]
Le rapport 2025 de Pindrop sur l'intelligence et la sécurité vocales, publié en juin 2025 et fondé sur plus de 1,2 milliard d'appels de clients, indique que les tentatives de fraude par deepfake visant ses clients de centres d'appels ont augmenté de plus de 1 300 % en 2024, passant d'environ une par mois à sept par jour.[23]
Le rapport 2024 de Signicat, The Battle Against AI-Driven Identity Fraud, une enquête auprès de plus de 1 200 décideurs chargés de la lutte contre la fraude dans l'UE et au Royaume-Uni, a constaté que la part des deepfakes dans les tentatives de fraude était passée de 0,1 % à 6,5 % en trois ans, soit une hausse de 2 137 %. Ce chiffre est largement repris sans mention de sa source.
Le rapport de Resemble AI sur la menace des deepfakes, S1 2026 a vérifié 821 attaques parmi 1 760 articles de presse en six mois.[26]
Surfshark, à partir de bases de données publiques d'incidents, a estimé les pertes mondiales documentées dues à la fraude par deepfake à 2,19 milliards de dollars (dans une édition antérieure) et à au moins 3,7 milliards de dollars de janvier 2020 à juin 2026 (dans une édition plus récente). L'entreprise précise que la plupart de ces pertes ont été enregistrées à partir de 2025.[30][31] Les deux éditions divergent parce qu'elles couvrent des périodes différentes. Toutes deux ne comptent que les pertes rendues publiques.

Ces sources vont dans le même sens : plus de tentatives, plus de pertes et des faux de meilleure qualité. Leurs pourcentages ne doivent être ni comparés ni additionnés. Les taux de croissance très élevés reflètent souvent de faibles valeurs de départ, des changements dans ce que les outils d'un éditeur peuvent détecter, ou la croissance de la clientèle de cet éditeur. Certaines affirmations très partagées, comme celle selon laquelle « moins de 5 % des victimes de clonage vocal portent plainte »,[20] circulent sans source primaire identifiable et doivent être considérées comme non vérifiées.

Détection et défense

Il existe des logiciels de détection pour la voix synthétique, les échanges de visage et les attaques par injection, et les banques les exigent de plus en plus. Ils ne sont pas fiables à eux seuls. Les détecteurs entraînés sur une génération d'outils passent à côté de la suivante. Dans une étude d'iProov publiée en février 2025, seuls 0,1 % de 2 000 consommateurs britanniques et américains, pourtant prévenus qu'ils devaient chercher des deepfakes, ont identifié correctement tous les contenus, réels et truqués, qui leur étaient présentés : le jugement humain n'est donc pas non plus un filet de sécurité fiable.

Les défenses les plus efficaces sont procédurales :

Vérifier par un autre canal. Rappelez la personne à un numéro déjà enregistré, et non à celui indiqué dans le message. Dans l'affaire Arup, c'est l'appel vidéo lui-même qui constituait la fausse étape de vérification.[32]
Exiger l'approbation de deux personnes pour les paiements importants ou inhabituels, et n'autoriser aucune exception pour les opérations « confidentielles » ou les demandes urgentes émanant de hauts dirigeants.
Utiliser un mot de code familial. Le FBI recommande de convenir avec ses proches d'un mot ou d'une phrase secrets pour les situations d'urgence.[12]
Limiter les contenus audio et vidéo publics lorsque c'est possible, et mettre ses comptes de réseaux sociaux en mode privé. Le FBI recommande les deux.[33]
Renforcer la vérification : contrôles de vivacité résistants aux attaques par injection, authentification multifacteur résistante à l'hameçonnage, et traitement de l'authentification vocale comme un moyen peu fiable. Le FinCEN cite les contrôles de vérification en direct et l'authentification multifacteur résistante à l'hameçonnage parmi les pratiques qu'il recommande.[34]
Signaler rapidement. L'équipe de récupération d'avoirs du FBI a gelé 679 millions de dollars sur 1,16 milliard de dollars de tentatives de vol en 2025, soit un taux de réussite de 58 %.[11][35] Son efficacité dépend de la rapidité avec laquelle un signalement lui parvient.

Réponses réglementaires

En février 2024, la Commission fédérale des communications (FCC) américaine a jugé que les voix générées par IA dans les appels automatisés sont « artificielles » au sens du Telephone Consumer Protection Act, ce qui rend illégaux, sans consentement, les appels automatisés non sollicités utilisant une voix d'IA. Le TAKE IT DOWN Act, promulgué en mai 2025, érige en infraction fédérale la publication d'images intimes non consenties, y compris celles générées par IA, et oblige les plateformes à les retirer sur demande. L'alerte du FinCEN a fixé des attentes en matière de déclaration pour les banques, mais n'a créé aucune nouvelle obligation légale.[18] Dans l'Union européenne, les règles de transparence du règlement sur l'IA exigent que les contenus deepfake soient signalés comme tels ; elles s'appliquent à partir d'août 2026. Ailleurs, les réponses sont surtout passées par les lois existantes sur la fraude, la cybercriminalité et la protection des données, par des avertissements publics et par des règles bancaires qui s'éloignent des codes à usage unique par SMS et de la vérification vocale. Les mesures prises aux Émirats arabes unis sont présentées dans La fraude à la voix deepfake de 35 millions de dollars aux Émirats arabes unis.

Ce qui est établi et ce qui ne l'est pas

Il est établi que le clonage vocal et les deepfakes vidéo ont servi dans des fraudes avérées, dont certaines portent sur des dizaines de millions de dollars. Les outils sont bon marché et largement accessibles. Les forces de l'ordre aux États-Unis, à Hong Kong, aux Émirats arabes unis et ailleurs ont documenté des cas précis. Que la fraude par deepfake progresse de plusieurs centaines, voire de plusieurs milliers de pour cent par an relève de l'estimation ; cela repose surtout sur des données d'éditeurs. La part des pertes totales dues à la fraude qui revient réellement à l'IA reste incertaine, car presque aucun système de signalement ne peut dire si un escroc a utilisé l'IA, sauf si la victime l'a remarqué.