Deepfakes: comment les reconnaître et se protéger en 2026

En février 2024, un employé d’une multinationale à Hong Kong a viré 25 millions de dollars après avoir participé à une visioconférence avec ce qu’il pensait être son directeur financier et plusieurs collègues. Tous étaient des deepfakes générés en temps réel. Ce cas emblématique illustre une réalité que les PME françaises ne peuvent plus ignorer : les deepfakes ne sont plus une curiosité technologique, ils sont devenus une arme de fraude à grande échelle. Voici comment les reconnaître et vous en protéger.

Qu’est-ce qu’un deepfake ?

Un deepfake est un contenu audiovisuel, vidéo, photo ou enregistrement vocal, généré ou manipulé par intelligence artificielle pour faire dire ou faire à une personne réelle quelque chose qu’elle n’a jamais dit ni fait. Le terme vient de la contraction de deep learning (apprentissage profond) et fake (faux).

Les techniques les plus courantes en 2026 sont :

• Le face swap : remplacement du visage d’une personne dans une vidéo par celui d’une autre, avec synchronisation des expressions faciales.
• Le voice cloning : clonage vocal à partir de quelques secondes d’audio. Des outils comme ElevenLabs permettent de recréer une voix convaincante à partir de 30 secondes d’enregistrement.
• Le lip sync : modification des mouvements des lèvres pour faire correspondre un discours fabriqué au visage d’une personne réelle.
• Les avatars IA temps réel : visioconférences entièrement générées par IA, remplaçant en direct le visage et la voix de l’attaquant par ceux d’une personne de confiance.

Comment les deepfakes sont-ils utilisés contre les entreprises ?

La fraude au président vocale

C’est l’arnaque deepfake la plus répandue dans les PME françaises. Un appel téléphonique arrive au directeur financier ou au comptable, imitant parfaitement la voix du PDG : « Je suis en réunion confidentielle, j’ai besoin que tu effectues un virement urgent de 50 000 euros avant ce soir, ne contacte personne d’autre pour le moment. » Le ton, les expressions habituelles, même les petits tics de langage sont reproduits. En 2025, plusieurs PME françaises ont été victimes de « la fraude au président« , pour des montants allant de 30 000 à plusieurs centaines de milliers d’euros. Notre article sur les fraudes BEC utilisant des deepfakes vocaux pour usurper l’identité des dirigeants montre comment des PME en sont déjà victimes.

Les fausses visioconférences professionnelles

Des attaquants s’insèrent dans une réunion Teams ou Zoom en remplaçant leur identité visuelle et sonore par celle d’un partenaire commercial, d’un banquier ou d’un consultant de confiance. Ils profitent de la réunion pour obtenir des informations confidentielles, valider une transaction frauduleuse, ou pousser à partager des accès système.

Le chantage par deepfake compromettant

Des vidéos deepfake à caractère compromettant mettant en scène des dirigeants sont utilisées pour exercer un chantage : « Payez X euros en cryptomonnaies, sinon nous diffusons cette vidéo à vos clients, actionnaires et employés. » Même si la victime sait que la vidéo est fausse, la menace de diffusion publique peut être paralysante.

La manipulation boursière et concurrentielle

Pour les entreprises cotées ou connues médiatiquement, des deepfakes de dirigeants annonçant de fausses décisions stratégiques (abandon d’un produit, résultats catastrophiques, démission) peuvent provoquer des dommages réputationnels et économiques considérables avant que le démenti soit publié.

Les 6 techniques pour détecter un deepfake

1. Analyser les mouvements oculaires et les clignements

Les premiers modèles de deepfake clignaient anormalement peu ou pas du tout, les yeux restaient fixes d’une manière non naturelle. Les modèles actuels ont corrigé ce problème, mais les mouvements oculaires restent souvent légèrement désynchronisés ou mécaniques. Observez si le regard semble « flotter » sans fixer d’objet réel dans l’environnement.

2. Surveiller les bords du visage et les transitions

Dans une vidéo deepfake, les contours du visage, particulièrement au niveau des oreilles, de la mâchoire et des cheveux, peuvent présenter des artefacts visuels : flou anormal, distorsion légère, « halo » autour de la tête. Ces imperfections sont plus visibles lors des mouvements rapides de tête ou dans des conditions d’éclairage contrasté.

3. Détecter les incohérences d’éclairage

La lumière dans un deepfake est appliquée sur le visage inséré à partir du visage source, pas forcément cohérente avec l’environnement de la scène. Si les ombres sur le visage ne correspondent pas aux sources lumineuses de la pièce, ou si le teint semble artificiellement uniforme, c’est un signal d’alerte.

4. Écouter les artefacts audio dans un deepfake vocal

Un clone vocal présente souvent des imperfections subtiles : respiration artificielle ou absente, transitions entre les mots légèrement trop nettes, absence des petits « hésitations » naturelles du locuteur réel, qualité audio trop uniforme. Une voix clonée sonne souvent légèrement « trop propre », paradoxalement, cette perfection est un signal suspect.

5. Poser des questions de vérification personnalisées

Si vous suspectez un deepfake lors d’un appel ou d’une visioconférence, posez une question dont seule la vraie personne peut connaître la réponse : un détail d’une conversation récente, le prénom d’un enfant, le lieu d’un dernier déjeuner ensemble. Un deepfake en temps réel ne peut pas répondre à des questions imprévisibles portant sur des informations privées.

6. Utiliser des outils de détection automatisée

Des outils spécialisés analysent les vidéos et audios suspects à la recherche de traces de manipulation IA : Microsoft Video Authenticator, Sensity AI, Intel FakeCatcher. Ces outils analysent des micro-expressions imperceptibles à l’œil nu ou détectent des incohérences dans les fréquences audio. Ils ne sont pas infaillibles mais constituent un filet de sécurité supplémentaire.

Comment protéger votre PME contre les arnaques deepfake

Mettre en place des procédures de vérification hors bande

C’est la mesure la plus efficace. Pour tout ordre de virement, changement de coordonnées bancaires, ou demande d’accès exceptionnel, imposez une vérification systématique via un canal différent de celui utilisé pour la demande initiale. Si la demande arrive par email, vérifiez par téléphone. Si elle arrive par téléphone, vérifiez par message direct sur Teams. Ce « double canal » est quasiment impossible à compromettre simultanément.

Établir un mot de passe ou code secret interne

Définissez un mot ou une phrase secrète connu uniquement des personnes autorisées à valider des transactions sensibles. Toute demande urgente de virement ou d’accès doit inclure ce code pour être considérée comme légitime. Simple, efficace, et totalement imperméable aux deepfakes.

Réduire l’empreinte vocale et visuelle publique des dirigeants

Les deepfakes nécessitent des données sources pour s’entraîner. Limitez la diffusion publique de vidéos et d’enregistrements audio de vos dirigeants : évitez les interviews non nécessaires, protégez l’accès aux enregistrements de conférences, soyez prudent avec les contenus publiés sur LinkedIn et YouTube. Moins de données sources signifie un deepfake de qualité moindre.

Former et sensibiliser vos équipes

Organisez des démonstrations pratiques de deepfakes avec vos collaborateurs pour qu’ils comprennent concrètement la menace. Diffusez des exemples d’arnaques réelles. Créez une culture où « rappeler pour vérifier » est valorisé plutôt que perçu comme une marque de méfiance. L’employé qui prend 2 minutes pour vérifier un ordre inhabituel est un atout, pas une contrainte.

Que faire si vous êtes victime d’une arnaque deepfake ?

• Contactez immédiatement votre banque pour tenter de bloquer ou rappeler les virements frauduleux ; les premières heures sont décisives.
• Déposez plainte auprès de la police ou de la gendarmerie, en mentionnant explicitement l’usage de deepfake.
• Contactez le 3018 (numéro national de lutte contre le cyberharcèlement) si des deepfakes compromettants vous concernent personnellement.
• Signalez le contenu aux plateformes concernées (YouTube, LinkedIn, etc.) pour demander le retrait en urgence.
• Faites appel à un avocat spécialisé en cybercriminalité pour évaluer les recours civils et pénaux disponibles.

La meilleure protection contre les deepfakes reste une combinaison de procédures strictes et d’une culture de la vérification au sein de votre organisation. La technologie de détection progresse, mais l’IA de génération progresse tout aussi vite. Dans ce contexte, le facteur humain, la capacité à douter, à vérifier, à s’organiser, reste votre meilleure ligne de défense.