Fraude numérique : l’explosion des deepfakes et l’impuissance des banques

L’automatisation à l’échelle industrielle. La fraude passe des attaques uniques de grande valeur à des attaques automatisées et volumétriques . Les escroqueries par usurpation d’identité ont augmenté de plus de 1 400 % en 2025 seulement . Ce changement est si prononcé que le nombre de victimes augmente même lorsque les pertes totales stagnent — la marque d’une fraude industrialisée et automatisée par l’IA, optimisée pour le volume .

La fraude à l’identité synthétique. Elle a coûté au secteur mondial des services financiers environ 22 milliards de dollars en 2024, 31 milliards en 2025, et devrait dépasser les 40 milliards en 2026 — la technologie deepfake étant le principal moteur . La fraude sophistiquée utilisant des identités générées par IA a augmenté de 180 % sur un an .

Les deepfakes représentent désormais 11 % de toute l’activité frauduleuse mondiale, selon des données compilées par Vectra AI . La fraude à l’identité par deepfake devrait enregistrer une augmentation de 495 % en 2026 par rapport à 2025 . Rien que dans les services financiers, les tentatives de fraude par deepfake ont bondi de 2 137 % depuis 2022 .

Comment les « Boss Scams » utilisent le clonage vocal et la vidéo synthétique

Dans un Boss Scam, les fraudeurs se font passer pour un cadre dirigeant — PDG, directeur général ou directeur financier — afin d’inciter les équipes financières à approuver des virements urgents. Les techniques se répartissent en plusieurs catégories :

Clonage vocal par IA. Les criminels utilisent un court échantillon audio (souvent issu de conférences téléphoniques publiques, de réunions enregistrées ou de clips sur les réseaux sociaux) pour synthétiser une voix convaincante . La voix clonée est utilisée dans des appels téléphoniques ou des messages vocaux ordonnant à un subordonné d’effectuer un transfert de fonds. En janvier 2026, un entrepreneur suisse a perdu plusieurs millions de francs suisses après une série d’appels téléphoniques utilisant une voix clonée par IA imitant un partenaire commercial de confiance .

Visioconférences deepfake. L’affaire Arup est l’exemple le plus célèbre, mais elle n’est pas isolée. En mars 2025, un directeur financier à Singapour a autorisé des virements d’environ 42 millions de dollars après avoir reçu des instructions de ce qui semblait être le directeur financier de son entreprise lors d’un appel vidéo . Les attaquants ont utilisé des répliques vidéo et audio générées par IA du directeur financier et d’autres cadres .

Usurpation d’identité d’un membre de la famille. Une variante parallèle utilise le clonage vocal pour imiter un proche — souvent un enfant ou un petit-enfant — qui prétend avoir eu un accident de voiture, avoir été arrêté, enlevé ou avoir une urgence médicale, afin d’exiger des paiements urgents . Les pertes documentées liées aux escroqueries deepfake impliquant des urgences familiales dépassent 5 millions de dollars .

Tactiques multicanal. Les escrocs utilisent WhatsApp, les e-mails, Microsoft Teams et les appels téléphoniques pour créer un sentiment d’autorité et d’urgence. Ils recherchent souvent des informations publiquement disponibles pour rendre l’usurpation d’identité plus convaincante, et font pression sur les victimes avec une fausse urgence et des exigences de confidentialité . En juillet 2026, les procureurs fédéraux américains ont inculpé 14 personnes dans le cadre d’un système de fraude par deepfake de 47 millions de dollars qui a ciblé plus de 1 200 personnes âgées en se faisant passer pour des agents bancaires et des membres de la famille .

Pourquoi les systèmes de vérification d’identité des banques échouent

Les banques et les fintechs ont passé la dernière décennie à construire une vérification d’identité à distance autour d’un schéma simple : présenter une pièce d’identité officielle, prendre un selfie, peut-être effectuer un court test de vivacité. En 2026, ce modèle échoue de manière mesurable.

La vérification KYC « document + selfie » est contournée. La vérification standard par document et selfie est battue par les outils d’échange de visage et d’injection de caméra. Les attaques par injection — où les attaquants introduisent une vidéo deepfake pré-enregistrée directement dans le flux de la caméra en direct — ont augmenté de 783 % en 2024 seulement . Les échanges de visage deepfake contournent les contrôles de vivacité standard dans 58 % des cas .

Les identités synthétiques contournent l’intégration. Les fraudeurs modifient les photos sur les cartes d’identité perdues ou volées et utilisent des deepfakes pour réussir les contrôles de vérification à distance. Ils ouvrent ensuite des comptes utilisés pour des prêts, des fraudes à la carte de crédit et du blanchiment d’argent . Une tentative de vérification sur cent implique désormais une forme de deepfake .

Les attaques par injection et par rejeu sont devenues des commodités. Les attaquants utilisent des outils comme OBS Virtual Camera ou des pilotes personnalisés pour acheminer un flux vidéo pré-enregistré ou généré par IA dans une session de vérification . Ces logiciels sont désormais vendus comme des outils standard .

L’échelle est écrasante. Les tentatives de fraude par deepfake aux États-Unis ont augmenté de 1 100 % au premier trimestre 2025 seulement . On estime que 85 % des cas de fraude à l’identité utilisent désormais des outils d’IA générative . Le rapport 2026 sur la fraude à l’identité d’Entrust a révélé que les deepfakes sont liés à une tentative de fraude biométrique sur cinq, et que les selfies deepfakés ont augmenté de 58 % en 2025 .

L’avertissement de l’AMF (SEBI) sur les Boss Scams (juillet 2026)

Le régulateur indien des marchés financiers, le SEBI (Securities and Exchange Board of India), a publié un avis officiel le 17 juillet 2026 (communiqué de presse n° 40/2026) mettant en garde toutes les sociétés cotées et entités réglementées contre le Boss Scam . Points clés de l’avis :

• Le SEBI a déclaré que les fraudeurs déploient le clonage vocal par deepfake et les appels vidéo générés par IA pour usurper l’identité de cadres dirigeants et inciter les services financiers à transférer des fonds .
• L’avis a été déclenché par des alertes du Centre indien de coordination de la cybercriminalité (I4C) .
• Le SEBI a exhorté les entreprises à mettre en œuvre des processus de vérification plus stricts pour tous les transferts de fonds, y compris une confirmation hors bande (par exemple, rappeler sur un numéro connu et vérifié de manière indépendante) et une approbation multipersonne pour les paiements dépassant certains seuils .
• Le régulateur a averti que les escrocs recherchent des informations publiquement disponibles pour élaborer des usurpations d’identité convaincantes et font souvent pression sur les victimes avec une fausse urgence et des exigences de confidentialité .

L’avis du SEBI s’inscrit dans une tendance plus large. Au quatrième trimestre 2025, le réseau de lutte contre la criminalité financière (FinCEN) des États-Unis a publié un avis avertissant les institutions financières de l’utilisation des deepfakes dans la fraude à l’identité . Le Parlement européen, INTERPOL et de nombreux régulateurs nationaux ont émis des alertes similaires .

Ce que les entreprises peuvent faire maintenant

Les régulateurs et les experts en sécurité recommandent systématiquement le même ensemble de mesures :

• Vérification hors bande. N’approuvez jamais un virement bancaire uniquement sur la base d’un appel téléphonique, d’un appel vidéo ou d’un e-mail. Rappelez la personne sur un numéro connu et vérifié de manière indépendante — pas le numéro qui vous a appelé .
• Approbation multipersonne. Exigez qu’au moins deux personnes approuvent les paiements au-dessus d’un certain seuil .
• Plafonds de transaction. Fixez des limites quotidiennes ou par transaction qui nécessitent une escalade .
• Formation du personnel. Les équipes financières doivent savoir qu’une voix ou un visage familier lors d’un appel n’est plus une preuve fiable d’identité .
• KYC continu. L’ancien modèle « vérifier une fois à l’intégration » ne suffit plus. La surveillance continue de l’identité et du comportement devient nécessaire .

Comme l’a déclaré un observateur du secteur : « La confiance est devenue une arme à l’ère numérique. Avec le clonage vocal, les technologies deepfake et les plateformes de fraude en tant que service devenant facilement accessibles, les enquêteurs ont besoin de plateformes médico-légales intégrées, de partage d’informations en temps réel et de nouveaux cadres de preuve » .

La leçon est simple mais dérangeante : les indices sensoriels sur lesquels nous nous sommes toujours appuyés pour savoir à qui nous parlons — une voix familière, un visage reconnaissable — ne sont plus fiables. Les organisations doivent construire des processus de vérification qui partent du principe que chaque canal de communication peut être compromis.