Confiance vérifiée contre les deepfakes

L'appel qui n'était pas réel

Début 2024, un employé financier de la société d'ingénierie Arup a participé à ce qui semblait être un appel vidéo tout à fait ordinaire. Le directeur financier était là. Des collègues étaient là. Des instructions ont été données, et l'employé les a suivies, transférant 200 millions de HK$ — environ 25 millions de dollars US — du bureau de l'entreprise à Hong Kong. Aucune des personnes présentes lors de cet appel n'était réelle. Chaque visage et chaque voix avaient été synthétiquement reconstruits. L'argent avait disparu avant que quiconque ne réalise que la réunion elle-même était une fraude.

Cet incident unique a davantage concentré l'attention des dirigeants que des années de briefings abstraits sur la cybersécurité. Il a démontré que la fraude par deepfake ne nécessite plus une cible crédule ou un script grossier. Elle ne nécessite qu'un appel vidéo convaincant et une instruction plausible. Pour les dirigeants de la finance, du juridique et de l'expérience client, Arup est devenu un raccourci : le cas qui a prouvé que l'usurpation d'identité était passée de la nouveauté à la menace opérationnelle.

Pourquoi la vérification est désormais un problème de conception

La vérification d'identité était auparavant une infrastructure de fond — mots de passe, questions de sécurité, rappel occasionnel. Elle se situait derrière l'expérience, invisible à moins que quelque chose ne tourne mal. La fraude par deepfake brise ce modèle car ce qui est falsifié n'est plus une information d'identification. C'est une personne. Une voix. Un visage sur un écran disant des choses que cette personne dirait plausiblement.

Cela transforme la vérification d'un contrôle technique en une couche conçue de l'expérience client et employé. Le défi n'est pas simplement de détecter la fraude — il s'agit de décider quand et comment demander à quelqu'un de prouver son identité, sans lui donner l'impression d'être accusé. Les étapes de vérification qui ressemblent à un interrogatoire érodent la confiance qu'elles sont censées protéger. Un directeur financier qui doit prouver à plusieurs reprises qu'il est bien le directeur financier, même à son propre personnel, perçoit le contrôle comme une friction et une suspicion plutôt qu'une protection.

Le problème créé par les deepfakes n'est pas que les gens sont dupés. C'est que tout le monde, y compris l'authentique, doit maintenant prouver qu'il n'est pas faux.

Les outils sont déjà entre les mains des consommateurs

Ce qui fait du cas Arup un signal plutôt qu'une anomalie, c'est en partie l'accessibilité. Les logiciels commerciaux de clonage vocal peuvent désormais reproduire les schémas de parole d'une personne à partir d'un court échantillon audio — quelques secondes, pas des heures. Cela abaisse la barrière pour les escroqueries par usurpation d'identité visant les centres d'appels, les membres de la famille et les assistants de direction. Une escroquerie qui nécessitait autrefois des compétences et de la planification ne nécessite plus qu'un enregistrement et un logiciel standard.

Cette accessibilité est importante pour la conception de l'expérience client car elle signifie que la menace ne se limite pas à la fraude au niveau des conseils d'administration. Les mêmes techniques qui ont fabriqué un directeur financier lors d'un appel vidéo peuvent fabriquer la voix d'un client sur une ligne d'assistance, ou la voix d'un membre de la famille lors d'un appel de détresse. Tout canal qui repose sur la reconnaissance d'une voix ou d'un visage comme preuve d'identité est désormais exposé.

La réglementation rattrape son retard, lentement

Les régulateurs financiers et les organismes de normalisation de plusieurs marchés ont lancé des consultations en 2024 et 2025 sur la fraude aux médias synthétiques. Cela indique une direction : les obligations de vérification qui sont actuellement laissées à la discrétion des entreprises individuelles deviendront probablement des exigences formalisées. Les organisations qui traitent aujourd'hui la vérification en couches comme une amélioration volontaire risquent de la voir imposée demain, selon un calendrier qui n'est pas le leur.

Pour les entreprises, le calcul est déjà clair sans attendre la réglementation. Une seule fraude par deepfake réussie peut coûter des dizaines de millions et causer des dommages durables à la confiance des partenaires et des clients dans les processus opérationnels et financiers. La perte d'Arup n'était pas seulement un coût direct — c'était une démonstration, pour tous les observateurs, que les processus de vérification de l'entreprise avaient une lacune suffisamment grande pour laisser passer un directeur financier fabriqué.

Concevoir une protection sans friction

La réponse pratique est une vérification en couches, à faible friction, concentrée sur les moments à risque réellement élevé : paiements importants, changements de compte, approbations de direction, escalades au centre d'appels. La biométrie comportementale, les protocoles de rappel via des canaux vérifiés indépendamment, et la confirmation multicanal peuvent chacun ajouter une couche d'assurance sans transformer chaque interaction en point de contrôle.

Les organisations les plus susceptibles de réussir ne déploieront pas la vérification partout en même temps. Elles piloteront des contrôles en couches aux points de contact où la fraude est la plus importante, apprendront comment les clients et les employés vivent ces contrôles, et n'étendront le système qu'une fois que la friction aura été éliminée par la conception plutôt que par l'ajout. Une vérification bien faite devrait donner l'impression d'une entreprise qui prend votre protection au sérieux — et non d'une entreprise qui vous doute par défaut.