- Apparition du terme
- 2017 (Reddit, fusion deep learning + fake)
- Cloner une voix
- 30 s à 3 min d'audio suffisent (2026)
- Cas majeur documenté
- Arup Hong Kong, 25 M$ (février 2024)
- Loi française
- Loi SREN (mai 2024), art. 226-8-1 du Code pénal
- Défense principale
- Procédure de vérification, pas détection technique
01 — DéfinitionQu'est-ce qu'un deepfake ?
Un deepfake — contraction de deep learning et fake — est un contenu synthétique (audio, vidéo, image ou texte) généré par intelligence artificielle pour imiter une personne réelle de manière suffisamment convaincante pour tromper le destinataire.
Le terme est né sur Reddit fin 2017 avec les premiers détournements de visages dans des vidéos. Depuis, la technologie a connu une accélération massive. Ce qui nécessitait plusieurs jours de calcul et des heures de matériel source en 2018 se fait aujourd'hui en quelques minutes avec quelques secondes d'audio ou d'image.
Le terme officiel français, recommandé par la Commission d'enrichissement de la langue française, est hypertrucage. Il reste rarement utilisé dans les usages professionnels et médiatiques, où deepfake domine.
Le passage à l'échelle industrielle de 2023-2024 a fait basculer le deepfake d'une curiosité technique à une menace opérationnelle de première importance pour la cybersécurité.
02 — FormesLes différentes formes de deepfake
Deepfake audio (clonage vocal)
Génération d'une voix synthétique imitant une personne réelle. C'est actuellement la forme la plus accessible et la plus dangereuse en contexte professionnel. Les outils grand public (ElevenLabs, Play.ht, Murf) produisent des clones convaincants en quelques minutes à partir d'un échantillon de 30 secondes. Des modèles open source (Tortoise TTS, XTTS, OpenVoice) permettent la même chose sans traçabilité.
Deepfake vidéo (face swap)
Remplacement d'un visage par un autre dans une vidéo, ou génération complète d'une vidéo où une personne dit ou fait quelque chose de synthétique. Les outils historiques (DeepFaceLab, FaceSwap) demandaient des compétences techniques et du matériel puissant. Les outils modernes (HeyGen, Synthesia, D-ID) sont accessibles à n'importe qui via une interface web.
Deepfake en visioconférence temps réel
La menace la plus récente et la plus préoccupante : génération de deepfake en direct pendant un appel Zoom, Teams ou Google Meet. L'attaquant apparaît visuellement et vocalement comme quelqu'un d'autre, en réagissant en temps réel aux interactions. Le cas Arup (février 2024) a démontré que la technologie était déjà opérationnelle à ce niveau.
Deepfake image statique
Création d'images photoréalistes avec Stable Diffusion, Midjourney, DALL-E. Utilisé pour fabriquer de faux documents (pièce d'identité, justificatif de domicile, facture), de faux profils de réseaux sociaux, ou des images compromettantes.
Deepfake textuel
Imitation du style d'écriture d'une personne par les modèles de langage. Moins spectaculaire mais très efficace pour alimenter les campagnes de spear phishing et de fraude au président : un email rédigé dans le ton exact du PDG à partir d'échantillons publics.
03 — TechniqueComment les deepfakes sont produits
Les techniques évoluent rapidement. Deux grandes familles d'approches coexistent en 2026.
GAN (Generative Adversarial Networks)
Architecture historique (2014). Deux réseaux neuronaux s'affrontent : l'un génère des contenus, l'autre tente de distinguer les faux des vrais. Par itération, le générateur apprend à produire des contenus indétectables. Domine encore dans le domaine du face swap vidéo.
Modèles de diffusion
Approche plus récente (2020+) qui domine désormais la génération d'images et progresse rapidement en vidéo. Modèles connus : Stable Diffusion, DALL-E, Midjourney, SORA. Meilleure qualité pour les images statiques, extension rapide aux vidéos courtes.
Modèles de voix neuronaux
Architectures spécifiques au clonage vocal : VALL-E (Microsoft), Tortoise TTS, les modèles propriétaires d'ElevenLabs. Reposent sur l'apprentissage à partir de vastes corpus vocaux, avec une étape de fine-tuning sur la voix cible.
Ressources nécessaires
L'accessibilité a radicalement baissé :
- Clone vocal convaincant : quelques minutes et 0 à 5 €.
- Deepfake vidéo court : quelques heures avec un GPU grand public, ou quelques dizaines d'euros via un service en ligne.
- Deepfake temps réel en visio : ordinateur puissant + logiciel spécifique, encore technique mais à portée d'un groupe motivé.
04 — UsagesUsages malveillants en cybersécurité
Fraude au président amplifiée
Le clone vocal sert à « confirmer » par téléphone une instruction envoyée par email. La DAF qui a un doute et appelle le PDG entend bien la voix du PDG qui confirme le virement. C'est l'exploitation la plus courante en 2025-2026.
Arnaque familiale
Un parent reçoit un appel de ce qui semble être son enfant en détresse : accident, kidnapping, besoin urgent d'argent. La voix est clonée à partir de vidéos publiques sur les réseaux sociaux. Cible souvent les seniors.
Usurpation de dirigeant en visioconférence
Un cadre est invité à une visio avec « le directeur financier » et d'autres. La visio se déroule, des décisions sont prises, un virement est validé. Tous les participants sauf la victime sont des deepfakes. Scénario prouvé fonctionnel par le cas Arup 2024.
Manipulation d'informations
Création de fausses déclarations attribuées à un dirigeant, à un politique, à une personnalité publique. Peut servir à des manipulations boursières (fausse annonce avant publication de résultats), du discrédit personnel, ou de la désinformation.
Contournement d'authentification biométrique
Certains systèmes d'authentification par vidéo (banques à distance, ouverture de compte en ligne, onboarding KYC) peuvent être trompés par un deepfake vidéo. Les systèmes modernes ajoutent du liveness detection (mouvements de tête demandés en direct), qui freine mais ne bloque pas totalement l'attaque.
Harcèlement et deepfake intime
Création de contenus sexuels ou humiliants utilisant le visage d'une personne sans son consentement. Forme particulièrement destructrice qui cible majoritairement les femmes. Désormais pénalement sanctionnée en France.
05 — ExemplesCas documentés
Cas emblématique du déploiement industriel du deepfake en cybersécurité. Un employé de la filiale hongkongaise d'Arup, groupe britannique d'ingénierie, est invité à une visioconférence avec son directeur financier et d'autres cadres. Tous sont des deepfakes vidéo et vocaux. L'employé, mis en confiance par la présence reconnaissable de multiples collègues, effectue 15 virements successifs totalisant 25 millions de dollars avant que la fraude ne soit découverte.
Une ETI française de 400 salariés reçoit plusieurs appels prétendument du PDG en déplacement. La voix est parfaitement clonée à partir d'un podcast où il était intervenu. La DAF, qui reconnaît sans hésiter la voix, exécute trois virements successifs pour un total de 1,1 million d'euros. La fraude n'est détectée qu'au retour du PDG.
Premier deepfake politique d'ampleur. Vidéo falsifiée diffusée sur des sites ukrainiens piratés, montrant le président Zelensky annonçant la capitulation de l'Ukraine. Qualité technique médiocre, détection rapide, impact finalement limité — mais démonstration opérationnelle qu'une désinformation par deepfake peut être déployée en contexte de guerre.
Un grand-parent reçoit un appel de son petit-fils, reconnaissable à la voix, expliquant qu'il a eu un accident et a besoin d'argent immédiatement. L'appel est souvent suivi par un « avocat » ou « policier » qui gère les détails. Le clonage vocal est alimenté par les publications du petit-fils sur TikTok ou Instagram. Des dizaines de cas documentés en France et en Belgique en 2024-2025.
06 — DétectionPeut-on détecter un deepfake ?
Pour un humain non formé
De plus en plus difficile, souvent impossible en 2026. Les signaux résiduels diminuent à chaque nouvelle génération :
- Clignements d'yeux non naturels (en régression).
- Micro-désynchronisations labiales (résiduelles en temps réel).
- Éclairage ou ombres incohérents (quasi disparus en vidéo de qualité).
- Artefacts visuels autour des cheveux, des oreilles, du contour du visage.
- Respirations manquantes ou aberrantes dans les clones vocaux.
- Ton un peu trop lisse, absence de hésitations humaines (se réduit).
Conclusion : on ne peut pas compter sur la détection humaine comme ligne de défense principale.
Outils de détection technique
- Intel FakeCatcher — analyse les signaux physiologiques (flux sanguin dans les pixels du visage).
- Microsoft Video Authenticator — score de confiance sur les vidéos.
- Reality Defender — plateforme commerciale de détection temps réel.
- Sensity AI — détection de deepfakes vidéo et image.
- Deepware Scanner — outil plus accessible, tier gratuit.
Limites communes : course permanente entre attaque et défense, efficacité variable selon la qualité du deepfake, pas de solution universellement fiable.
Watermarking et provenance
Approche complémentaire : au lieu de détecter le faux, garantir l'authenticité du vrai. Initiatives :
- C2PA (Coalition for Content Provenance and Authenticity) — standard de signature des contenus authentiques, adopté par Adobe, Microsoft, Sony, les principales agences de presse.
- Watermark SynthID de Google, intégré aux contenus générés par ses IA.
- Loi européenne AI Act — oblige à marquer les contenus générés par IA destinés au public.
07 — ProtectionComment se défendre en entreprise
La défense ne peut pas reposer sur la détection. Elle repose sur des procédures organisationnelles robustes qui rendent le deepfake sans effet, même s'il n'est pas reconnu comme tel.
- Mot-code ou phrase de sécurité convenu à l'avance, connu uniquement des personnes autorisées. Demandé systématiquement pour toute décision inhabituelle, même si la voix ou le visage correspond parfaitement.
- Double validation obligatoire pour tout virement, changement d'IBAN ou décision financière sensible. Un deuxième canal vérifié est indispensable, jamais le même que celui de la demande initiale.
- Canal de rappel sur un numéro connu, jamais celui donné dans l'appel suspect.
- Règle absolue : aucune instruction urgente et confidentielle ne se valide en direct, il y a toujours un délai de carence minimum.
- Sensibilisation des profils les plus exposés : direction, DAF, trésorier, comptable, RH, IT, assistant de direction.
- Démonstration de la qualité actuelle des deepfakes — beaucoup sous-estiment sans avoir vu.
- Simulations régulières incluant des scénarios deepfake vocal et visio.
- Culture du doute valorisée : vérifier n'est jamais une offense, aucune sanction pour un faux positif.
- Audit de l'exposition vocale publique des dirigeants (conférences, podcasts, interviews) — savoir ce qui peut servir à un clonage.
- Limitation raisonnée des vidéos publiques longues des membres du comex.
- Sensibilisation des proches des dirigeants à l'exposition de contenu familial sur les réseaux sociaux.
- Pour les profils très exposés : surveillance de l'usage frauduleux d'identité via services spécialisés.
- MFA FIDO2 sur tous les accès sensibles — même si un deepfake convainc l'utilisateur, il ne peut pas signer cryptographiquement.
- Watermarking des communications officielles de l'entreprise (C2PA) pour faciliter l'authentification.
- Plateformes de visio avec liveness detection et authentification forte des participants sur les réunions sensibles.
- Surveillance médiatique pour repérer rapidement les deepfakes publics impliquant l'entreprise.
08 — FAQQuestions fréquentes
Tous les deepfakes sont-ils malveillants ?
Non. La technologie sous-jacente (modèles génératifs) a d'innombrables usages légitimes : doublage cinématographique, vieillissement de personnages, post-production, accessibilité (voix de synthèse pour personnes ayant perdu la parole), éducation, art. Le terme deepfake désigne en principe un usage trompeur, mais le grand public l'utilise parfois pour tous les contenus IA.
Mon entreprise est-elle une cible probable ?
Plus que jamais si elle a des procédures financières exposées et des dirigeants avec du contenu vocal public (conférences, podcasts, LinkedIn vidéo). Toute ETI ou PME dont le PDG est médiatiquement visible est aujourd'hui une cible potentielle de fraude au président assistée par deepfake.
La cyber-assurance couvre-t-elle les pertes par deepfake ?
Généralement oui, sous les mêmes garanties que la fraude au président classique (garantie fraude/BEC). Mais les assureurs exigent de plus en plus la preuve que des procédures de vérification adaptées étaient en place. L'absence de ces procédures peut réduire ou annuler la couverture.
Les deepfakes peuvent-ils tromper la reconnaissance faciale ?
Les systèmes basiques, oui. Les systèmes modernes avec liveness detection active (mouvements demandés, lumière projetée, analyse de profondeur) résistent mieux mais ne sont pas invincibles. Pour un accès critique, préférer FIDO2 (clé physique) à la reconnaissance faciale seule.
Quelle évolution attendre en 2026-2027 ?
Les tendances dominantes : déploiement à plus grande échelle (automatisation des campagnes), amélioration continue de la qualité (disparition des derniers signaux détectables humainement), intégration dans des agents conversationnels IA capables de conduire des conversations entières en direct. La course technologique ne va pas ralentir ; les défenses devront se reposer de plus en plus sur des procédures humaines et organisationnelles.