Deepfake awareness training : un guide rapide

En février 2024, un employé du service financier du cabinet d'ingénierie Arup a participé à un appel vidéo avec ce qui semblait être, tant par son apparence que par sa voix, le directeur financier de l'entreprise et plusieurs de ses collègues. Toutes les personnes présentes lors de cet appel, à l'exception de cet employé, étaient des « deepfakes ». À la fin de la semaine, 25,6 millions de dollars américains avaient été transférés aux pirates.

Voici la réalité de la fraude par deepfake en 2026 : elle ne se présente plus sous la forme d’une vidéo de célébrité mal synchronisée. Elle prend plutôt la forme de votre PDG sur Teams, vous demandant quelque chose d’urgent. Ce guide explique ce que sont les deepfakes, comment ils sont utilisés contre les entreprises, quelles règles de vérification permettent réellement de les contrer, et quelles plateformes de formation à la sensibilisation aux deepfakes vous pouvez utiliser pour préparer vos collaborateurs.

Que sont les deepfakes et pourquoi sont-ils dangereux ?

Les « deepfakes » sont des contenus multimédias synthétiques (vidéo ou audio) générés ou manipulés à l'aide de l'intelligence artificielle afin de donner l'impression que des personnes disent ou font des choses qu'elles n'ont en réalité jamais dites ni faites. Il est possible d'échanger des visages et de cloner des voix pour obtenir un résultat d'un réalisme troublant. Un « deepfake » peut amener d'autres personnes à croire qu'une personne a dit ou fait des choses qu'elle n'a jamais dites ni faites.

Au fil des ans, nous avons tous appris à ne pas toujours croire ce que nous lisons. En revanche, les gens n’ont pas encore appris à se méfier de tout ce qu’ils voient et entendent. Les cybercriminels exploitent actuellement cette faiblesse. Qu’il s’agisse d’une fausse vidéo montrant un PDG tenant des propos controversés ou d’une voix clonée demandant de toute urgence des informations sensibles, les « deepfakes » peuvent causer de réels préjudices.

Les risques clés des deepfakes pour les organisations

Les deepfakes créent des menaces multicouches pour les entreprises. Les principaux risques incluent :

Fraude au PDG et pertes financières

Une menace majeure est la fraude au PDG basée sur les deepfakes. Les criminels utilisent une voix ou une vidéo clonée d'un cadre supérieur pour inciter les employés à effectuer des transferts d'argent. Ces attaques sont déjà une réalité. Par exemple :

• En 2019, une entreprise énergétique britannique a perdu 243 000 dollars suite à un appel vocal deepfake émanant d'un « PDG ».
• En 2020, des fraudeurs ont utilisé la technologie vocale deepfake pour dérober 35 millions de dollars.
• En 2024, une entreprise d'ingénierie britannique a perdu plus de 20 millions de livres sterling suite à un faux appel vidéo usurpant l'identité d'un cadre supérieur.

Les employés ont naturellement tendance à obéir aux demandes urgentes de la direction, surtout sous pression. Les deepfakes exploitent cet instinct, contournant les procédures de vérification habituelles.

Atteinte à la réputation et désinformation

Les deepfakes peuvent également être utilisés comme armes pour détruire des réputations. Imaginez une fausse vidéo de votre PDG faisant des remarques racistes, ou de fausses preuves que votre produit est dangereux, devenant virales en ligne. Même si elles sont démenties par la suite, les dommages à la confiance et à la perception publique peuvent être irréversibles.

Europol avertit que les deepfakes pourraient être utilisés pour diffuser de fausses informations sur les entreprises, provoquant la panique des actionnaires, des boycotts de clients, ou même des enquêtes réglementaires.

Phishing ciblé et ingénierie sociale

Les deepfakes élèvent l'ingénierie sociale à un tout autre niveau. Au lieu d'un e-mail suspect, imaginez recevoir un appel vidéo convaincant de votre « service informatique » vous demandant de vous connecter à une page de phishing. Ou un message vocal de votre « directeur financier » demandant des informations confidentielles urgentes.

• Le vishing (hameçonnage vocal) et le hameçonnage vidéo sont des menaces croissantes.
• Les attaquants n'ont besoin que d'un court extrait audio (par exemple, provenant des réseaux sociaux) pour cloner la voix d'une personne de manière convaincante.

Les deepfakes créent une authenticité émotionnelle, rendant plus difficile pour les employés de détecter la fraude par simple instinct.

Dans la vie privée, de nombreuses personnes ont déjà été ciblées par des deepfakes de leurs enfants ou parents. Si la voix inimitable de votre fils vous dit qu'il est en danger et a besoin d'argent maintenant, êtes-vous assez calme et conscient pour vérifier son identité ?

Trois véritables attaques par « deepfake » contre des entreprises (et ce qui a permis d'en déjouer deux)

Arup, Hong Kong, 2024. Un employé du service financier a reçu un e-mail concernant une « transaction confidentielle », puis a rejoint un appel vidéo au cours duquel le directeur financier et d’autres collègues apparaissaient en direct. Tous étaient générés par l’IA. L’employé a effectué 15 virements pour un montant total de 200 millions de HK$ (environ 25,6 millions de dollars américains). Aucun élément de la pile technologique n’a failli ; l’attaque a fonctionné parce que l’appel vidéo a été considéré comme une preuve d’identité.

Ferrari, 2024. Un cadre a reçu des messages WhatsApp, puis un appel téléphonique d’une personne dont la voix ressemblait à celle du PDG Benedetto Vigna, y compris son accent du sud de l’Italie, au sujet d’une acquisition confidentielle. Le cadre a posé une question à laquelle seul le véritable PDG pouvait répondre (le titre d’un livre qu’il avait recommandé quelques jours plus tôt). Son interlocuteur a raccroché. Coût : zéro.

WPP, 2024. Des pirates ont organisé une réunion sur Microsoft Teams en utilisant une photo publique du PDG Mark Read, une voix clonée et des séquences vidéo tirées de YouTube, et ont tenté de convaincre un dirigeant de l'agence de mettre en place une « nouvelle activité » et de leur communiquer des informations financières et personnelles. La victime a eu des soupçons et a signalé l'incident. Coût : zéro.

Le schéma est toujours le même : un visage ou une voix familière, une raison invoquée pour justifier le secret, et une contrainte de temps. Ce n’est pas la capacité à détecter les irrégularités qui a fait la différence entre une perte de 25 millions de dollars et l’absence de perte. Ce qui a fait la différence, c’est le fait que l’employé ait ou non vérifié les faits par un deuxième canal avant d’agir.

Pourquoi la Security Awareness Training traditionnelle n'est plus suffisante

La plupart des entreprises proposent une Security Awareness Training annuelle, couvrant le phishing, l'hygiène des mots de passe et l'hygiène cyber de base. Mais cela n'est plus suffisant face aux deepfakes :

• Les deepfakes sont une nouvelle menace en rapide évolution. Les employés doivent apprendre à remettre en question même les sources fiables, telles que les vidéos et les appels téléphoniques.
• La plupart des programmes de formation traditionnels ne mentionnent même pas les deepfakes.
• Des études montrent que même après avoir été averties des deepfakes, les personnes peinent à les détecter.
• La formation en sécurité traditionnelle est statique, tandis que les techniques de deepfake évoluent chaque mois.
• Les incidents de deepfake exigent de nouvelles réponses procédurales, telles que la vérification des appels suspects via des canaux alternatifs et la mise en place de mécanismes de signalement clairs.

Sans une formation spécifique sur la sensibilisation aux deepfakes, les employés peuvent être victimes d'attaques parce qu'ils sous-estiment à quel point les médias synthétiques peuvent être convaincants.

Le protocole de vérification des deepfakes : cinq règles qui permettent de contrer la quasi-totalité des attaques

On ne peut pas attendre des employés qu’ils repèrent un « deepfake » de bonne qualité. Les clones audio (voir « vishing ») ne nécessitent désormais que quelques secondes d’échantillon audio, et les « deepfakes » vidéo en direct fonctionnent sur du matériel grand public. La formation doit donc passer de la détection à la vérification. Ces cinq règles couvrent la grande majorité des incidents réels :

1. Rappelez le numéro que vous connaissez. Toute demande concernant de l'argent, des identifiants, des données personnelles ou des droits d'accès, qu'elle vous parvienne par appel, appel vidéo ou message vocal, doit être vérifiée en rappelant la personne au numéro déjà enregistré dans votre répertoire ou votre liste de contacts. Ne rappelez jamais au numéro indiqué dans le message.
2. Convenez d'un mot de passe pour les demandes urgentes. La direction et le service financier s'accordent sur une phrase de passe simple, qui n'est jamais consignée par e-mail ni dans une conversation en ligne. Si un « PDG » n'est pas en mesure de la fournir, la conversation prend fin.
3. Chaque paiement et chaque modification des coordonnées bancaires sont contrôlés par deux personnes. Aucun employé ne peut à lui seul effectuer un virement dépassant un seuil défini ni modifier le compte bancaire d’un fournisseur. Les « deepfakes » ciblent des individus ; la présence d’un deuxième validateur permet de déjouer l’attaque.
4. L’urgence associée au secret est un signal d’alerte. « N’en parle à personne » et « ça doit se faire aujourd’hui » sont les deux phrases qui reviennent dans presque tous les cas de fraude par deepfake. Formez vos collaborateurs à considérer cette combinaison comme un signal d’alerte les incitant à marquer une pause, et non à agir.
5. Changez de canal de communication. La demande a été faite par vidéo ? Confirmez-la par téléphone. Elle a été faite par téléphone ? Confirmez-la en personne ou via le chat de l'entreprise. Les pirates contrôlent rarement deux canaux à la fois.

Consignez ces cinq règles sur une seule page, faites-la signer par la direction et intégrez-la au processus d'intégration des nouveaux collaborateurs. Un protocole que la direction applique de manière visible a plus de valeur que n'importe quel conseil en matière de détection.

Conseils pratiques : préparer les employés aux incidents de deepfake

Voici comment les organisations peuvent commencer à se préparer dès aujourd'hui :

• Campagnes de sensibilisation à l'aide d'exemples concrets : présentez aux employés des exemples concrets de « deepfakes ». Comparer des vidéos authentiques à des vidéos falsifiées permet de développer un scepticisme salutaire. La clé réside ici dans la répétition. Une formation annuelle est oubliée au bout de quelques semaines seulement.
• Enseigner les compétences de détection : Formez le personnel à repérer les incohérences subtiles (par exemple, des mouvements labiaux désynchronisés, un éclairage étrange, des voix monocordes).
• Définir des procédures de signalement claires : Les employés doivent savoir comment vérifier les requêtes inhabituelles et signaler les suspicions sans crainte de reproches.
• Utiliser des outils techniques : Explorez les logiciels capables de détecter les médias synthétiques ou mettez en œuvre la vérification à deux facteurs pour les requêtes sensibles.

Formation de sensibilisation aux deepfakes par fonction : qui a besoin de quoi ?

Un module générique du type « les deepfakes existent » ne change pas grand-chose. Il faut cibler les personnes qui sont réellement victimes d'attaques :

Finances et comptabilité fournisseurs

Scénarios : virements urgents, modification des coordonnées bancaires d’un fournisseur, paiements liés à une « acquisition confidentielle ». Entraînez-vous à appliquer la règle de recoupement et le principe du double contrôle jusqu’à ce qu’elles deviennent des réflexes. Effectuez au moins une simulation de clonage vocal par trimestre.

Ressources humaines et paie

Scénarios : modifications du compte salaire, intégration de « nouveaux collaborateurs » à l’aide d’identités fictives, faux candidats lors d’entretiens vidéo. Former les équipes RH à vérifier les pièces d’identité dans le cadre d’une interaction en direct et non préparée, et à confirmer les modifications de compte via un deuxième canal.

Cadres supérieurs et assistants de direction

Les cadres sont les personnes dont la voix est la plus souvent imitée au sein de l’entreprise, car leurs enregistrements audio sont accessibles à tous. Apprenez aux assistants à considérer toute demande inhabituelle « venant du patron » comme non vérifiée, et formez les cadres à accepter d’être rappelés sans s’irriter. Ce protocole ne fonctionne que si les dirigeants jouent le jeu.

L'informatique et le service d'assistance

Scénarios : réinitialisations de mot de passe et d’authentification multifactorielle (MFA) demandées par « un employé » lors d’un appel, demandes d’accès à distance émanant d’un « fournisseur ». La violation de données subie par MGM Resorts en 2023 a débuté par un appel au service d’assistance. Il est nécessaire de mettre en place des étapes de vérification d’identité qui ne peuvent être validées par la seule voix.

Comment proposer un Security Awareness Training efficace contre les deepfakes

Guardey aide les organisations à développer une cyber-résilience durable grâce à un Security Awareness Training gamifié et convivial qui inclut la sensibilisation aux deepfakes :

• Gamification : Les employés gagnent des points, des badges et participent à des classements amicaux, rendant l'apprentissage amusant et mémorable.
• Apprentissage continu : Au lieu d'une session annuelle unique, Guardey propose un micro-apprentissage hebdomadaire ou mensuel, aidant les employés à rester informés à mesure que les menaces de deepfake évoluent.
• Contenu pertinent : Guardey adapte les scénarios au secteur de chaque client, rendant les leçons très pertinentes.

Le modèle continu et gamifié de Guardey encourage les employés à développer un esprit critique face à ce qu'ils voient et entendent, créant ainsi des habitudes durables de scepticisme.

→ En savoir plus sur Guardey lors d'une démo

Comparaison des plateformes et outils de formation à la sensibilisation aux deepfakes

La plupart des plateformes de sensibilisation à la sécurité intègrent désormais un module dédié aux deepfakes. Les différences résident dans le degré de réalisme des simulations, dans le fait de savoir si la formation porte à la fois sur la voix et la vidéo, et dans le fait de savoir s'il s'agit d'une formation continue ou d'une formation ponctuelle.

Quelle que soit la plateforme que vous choisissiez, vérifiez trois points : permet-elle de simuler des situations de communication vocale ou vidéo (et pas seulement par e-mail) ? La formation est-elle dispensée en continu plutôt qu’une fois par an ? Et pouvez-vous voir, pour chaque employé, qui a validé la formation et qui ne l’a pas fait ? Si la réponse à cette dernière question est « non », vous ne pourrez pas évaluer l’efficacité de la formation.

Liste de contrôle pour sensibiliser votre organisation aux « deepfakes »

• Protocole de vérification consigné par écrit, signé par la direction, faisant partie intégrante du processus d'intégration
• Les numéros à rappeler de tous les cadres et du personnel financier, répertoriés dans un annuaire que les employés utilisent réellement
• Mot de passe convenu entre la direction, le service financier et les assistants de direction
• La règle des « quatre yeux » est configurée dans le système de paiement, et pas seulement dans la politique
• Modules attribués en fonction des rôles : finances, RH, cadres dirigeants, informatique
• Au moins un clone vocal ou une simulation vidéo par trimestre
• Un moyen de signaler les appels suspects plus rapide que l'envoi d'un e-mail
• Examen des enregistrements audio et vidéo publics mettant en scène des dirigeants (ce qui est accessible au public peut être reproduit)
• Guide d'intervention : qui contacter dans les 30 premières minutes suivant un transfert suspect de « deepfake »
• Indicateurs suivis : taux de vérification dans les simulations, délai de signalement, non-achèvement de la formation

Questions fréquentes

Qu'est-ce qu'une formation de sensibilisation aux deepfakes ?

Une formation qui explique aux employés comment les voix, les vidéos et les images générées par l'IA sont utilisées à des fins frauduleuses, et qui leur fournit des règles de vérification à respecter avant de donner suite à toute demande semblant provenir d'une personne connue.

Existe-t-il une formation sur les deepfakes destinée aux salariés ?

Oui. La plupart des plateformes de sensibilisation à la sécurité proposent un module ou une formation sur les deepfakes ; Guardey aborde les deepfakes, le vishing et l’usurpation d’identité du PDG dans ses défis hebdomadaires, en complément de sa formation à la sensibilisation à l’IA. Une formation autonome est un bon début, mais les formations ponctuelles tombent dans l’oubli en quelques semaines. Ce sont les formations courtes et continues, accompagnées de simulations, qui permettent de changer les comportements.

Qu'est-ce qu'une formation à la lutte contre le phishing par deepfake ?

Une formation associée à des simulations au cours desquelles les employés reçoivent des appels, des messages vocaux ou des invitations vidéo de type « deepfake », réalistes mais inoffensifs, afin de vous permettre d'évaluer qui vérifie et qui passe à l'action.

À quelle fréquence les employés devraient-ils suivre une formation sur les deepfakes ?

Une formation concise tous les mois, et une simulation au moins une fois par trimestre pour les postes à haut risque. Les techniques de « deepfake » évoluent si rapidement qu’un module annuel est déjà obsolète avant même d’être terminé.

Conclusion : agissez maintenant pour garder une longueur d'avance

Les deepfakes ne sont plus de la science-fiction. De toutes parts, les cybercriminels tentent de tromper les employés pour qu'ils commettent des actions pouvant nuire aux finances ou à la réputation de votre organisation. Investir dans une formation récurrente est la seule option pour préparer vos employés.