Le directeur financier apparaît à l’écran. Même voix, mêmes lunettes, même façon de réclamer une décision rapide. Autour de lui, plusieurs collègues semblent approuver. Faut-il exécuter le virement ? Cette scène résume le piège des deepfakes en visioconférence : transformer une présence audiovisuelle familière en preuve d’identité. À l’horizon de septembre 2026, le défi n’est pas seulement de reconnaître une image truquée, mais d’empêcher qu’une imitation convaincante suffise à déclencher une action irréversible.
Une fraude qui exploite surtout la confiance
Le cas devenu emblématique remonte à 2024. À Hong Kong, un salarié a effectué des transferts totalisant environ 200 millions de dollars hongkongais, soit quelque 25 millions de dollars américains, après une visioconférence mettant en scène de faux responsables et collègues. Le groupe d’ingénierie Arup a ensuite confirmé être l’entreprise victime. Selon les éléments rendus publics par la police, la réunion utilisait des imitations numériques de personnes connues du salarié.
Cette affaire ne démontre pas que n’importe quel escroc peut fabriquer une réunion parfaite. Elle montre quelque chose de plus important : la multiplication des visages à l’écran ne constitue pas une validation indépendante. Si toute la scène est contrôlée par l’attaquant, les signes d’approbation ne sont qu’un décor. Les faits connus établissent ce risque ; les scénarios envisagés ici pour septembre 2026 relèvent de la prospective, pas d’un bilan d’incidents vérifié à cette date.
L’attaque combine généralement plusieurs ingrédients : informations publiques sur les dirigeants, extraits de voix, vidéos, prétexte crédible et pression temporelle. Un organigramme, une conférence publiée en ligne et des habitudes de travail exposées sur les réseaux sociaux peuvent fournir la matière première. Le deepfake ne remplace pas l’ingénierie sociale : il lui donne un visage.
Pourquoi regarder plus attentivement ne suffit pas
Un contour de bouche instable, une synchronisation imparfaite, des lunettes qui se déforment : ces anomalies peuvent alerter. Mais une mauvaise connexion, la compression vidéo ou un filtre esthétique produisent aussi des défauts. À l’inverse, une imitation peut sembler convaincante dans une petite fenêtre, surtout pendant une conversation courte. L’absence d’anomalie visible n’est donc pas une preuve d’authenticité.
Demander de tourner la tête ou de passer une main devant le visage peut perturber certains systèmes. Cela ne constitue toutefois pas un test universel. Un dispositif plus performant peut gérer ces mouvements ; un fraudeur peut aussi invoquer une caméra défectueuse. Même une réponse spontanée prouve surtout qu’un interlocuteur réagit en direct, pas qu’il possède l’identité affichée.
La voix présente la même ambiguïté. Accent, rythme et intonation sont des indices familiers, mais pas des secrets. Une question personnelle peut aider, à condition que sa réponse ne soit ni publique ni accessible dans une messagerie compromise. Il faut donc déplacer la vérification vers un élément que l’attaquant ne contrôle pas.
La bonne question : quelle action faut-il autoriser ?
Toutes les réunions ne justifient pas le même niveau de contrôle. Une présentation commerciale et un changement de coordonnées bancaires n’exposent pas l’entreprise au même risque. Le point de départ consiste à recenser les actions sensibles : paiement, transmission de fichiers confidentiels, réinitialisation d’accès, ajout d’un administrateur ou modification d’un fournisseur.
Pour ces opérations, la visioconférence doit rester un canal de discussion, jamais devenir à elle seule un mécanisme d’autorisation. Une procédure utile tient en quelques règles simples :
- Rappeler par un canal établi, avec un numéro provenant de l’annuaire interne ou du dossier fournisseur, jamais de la demande reçue.
- Faire confirmer l’opération dans l’outil métier, en affichant son montant, son bénéficiaire ou la nature exacte des droits accordés.
- Exiger une seconde validation indépendante pour les opérations à fort impact.
- Suspendre toute exception urgente jusqu’à vérification, même lorsqu’elle semble venir de la direction.
Le rappel n’est pas magique : une ligne téléphonique peut aussi être détournée, et une voix imitée. Sa force vient de l’indépendance du canal et de sa combinaison avec d’autres contrôles. Deux approbations obtenues dans la même réunion suspecte ne valent pas deux validations réalisées séparément dans un circuit maîtrisé.
Authentifier le compte, puis sécuriser la décision
L’authentification multifacteur protège contre une partie des prises de contrôle de comptes. Les clés de sécurité et les passkeys fondées sur FIDO2/WebAuthn offrent notamment une résistance au phishing que n’apportent pas les simples codes recopiés. Pour les comptes sensibles, cette protection réduit le risque qu’un fraudeur rejoigne une réunion avec une identité professionnelle légitime.
Mais il faut distinguer trois choses : le compte connecté, la personne qui l’utilise et l’action qu’elle autorise. Une session peut être détournée ; un poste peut être compromis. Un badge de participant authentifié ne certifie donc pas que le visage transmis est réel. L’autorisation finale doit rester liée à une opération explicite, traçable et vérifiable.
Les réglages de la plateforme comptent aussi : limiter les invités, contrôler les admissions, restreindre le partage d’écran et vérifier les participants inattendus. Ces mesures ferment des portes sans résoudre, à elles seules, l’usurpation audiovisuelle. Elles fonctionnent mieux avec des terminaux administrés, des mises à jour régulières et une surveillance des connexions inhabituelles.
Les détecteurs : une alarme, pas un verdict
Les outils de détection recherchent notamment des incohérences entre son et image, des traces de génération ou des caractéristiques inhabituelles du signal. Leur utilité dépend fortement des conditions d’essai. Une performance mesurée sur des vidéos préparées ne garantit pas le même résultat sur un flux compressé, sombre, instable ou produit par un modèle inconnu.
Avant d’acheter, une entreprise devrait demander quels types de manipulations sont testés, comment sont mesurés les faux positifs et ce qui se passe quand l’outil hésite. Un score de suspicion doit déclencher une vérification, pas une accusation. Inversement, un résultat rassurant ne doit jamais permettre de contourner une double validation.
Le déploiement soulève aussi des questions de confidentialité : où passent les flux, sont-ils conservés, qui y accède ? L’analyse des visages et des voix exige d’associer sécurité, juridique et protection des données. Les mécanismes de provenance signée peuvent apporter des indices sur l’origine d’un contenu, mais ne prouvent pas automatiquement l’identité ni la sincérité de la personne filmée.
Apprendre à interrompre sans accuser
Le réflexe décisif est organisationnel : permettre à chacun de dire « je vérifie par notre procédure habituelle ». Les exercices doivent entraîner ce geste plutôt que transformer les salariés en experts des pixels. En cas de doute, on suspend l’action, on contacte la sécurité par un canal connu et on conserve les éléments disponibles conformément aux règles internes. La direction doit accepter ces contrôles pour elle-même.
Et maintenant ? Le scénario plausible pour septembre 2026 est celui d’imitations plus accessibles et d’indices visuels moins fiables, sans que chaque fraude devienne indétectable. Les entreprises les mieux préparées ne seront pas celles qui promettent de reconnaître tous les faux visages. Ce seront celles où une vidéo, même convaincante, ne suffit jamais à déplacer de l’argent, divulguer un secret ou ouvrir un accès critique.
