Escroqueries par deepfake et clonage vocal : défenses pour le foyer

Traiter l’identité et les instructions comme des questions séparées

Une voix qui ressemble à celle de votre enfant est la preuve que quelqu’un peut produire cette voix ; ce n’est pas la preuve que votre enfant a passé l’appel. La même règle s’applique à un visage familier dans une fenêtre vidéo, à un message provenant d’un compte connu, ou à un identifiant d’appelant affichant le numéro d’un proche. La FTC avertit que les escrocs qui simulent une urgence familiale peuvent utiliser un court extrait audio trouvé en ligne et un logiciel de clonage vocal, tandis que l’identifiant d’appelant peut être usurpé. La tâche défensive n’est donc pas de devenir un expert en détection de deepfakes. C’est de vérifier la personne et l’action demandée par une voie indépendante.

Comment se développe une usurpation d’urgence

Les détails varient, mais le schéma de pression est reconnaissable. Un appelant ou un message affirme qu’un proche a été arrêté, enlevé, blessé, bloqué, ou placé d’une autre manière en danger urgent. Une seconde personne peut se faire passer pour un avocat, un policier, un médecin, un coursier, ou un employé du gouvernement. On demande à la cible de garder le secret et de payer immédiatement par virement, transfert bancaire, cryptomonnaie, application de paiement, espèces, ou carte-cadeau. Ces méthodes sont attrayantes parce que la récupération peut être difficile.

Le criminel peut connaître des détails réels recueillis dans des publications publiques, des données piratées, des services de recherche de personnes, ou une conversation antérieure. Cette connaissance peut rendre une fausse histoire crédible. Une voix synthétique ou une image modifiée ajoute une force émotionnelle, mais de nombreuses escroqueries réussissent par le jeu d’acteur, l’usurpation de l’identifiant d’appelant, ou la simple compromission d’un compte. Concevez un protocole qui fonctionne contre toutes ces méthodes.

Ne vous fiez pas à une affirmation figée sur le nombre exact de secondes d’audio nécessaires à chaque système de clonage. La longueur d’échantillon requise et la qualité du résultat varient selon l’outil, le locuteur, le bruit, la langue, et le réalisme recherché. La conclusion exacte pour le foyer est plus simple : un audio public peut suffire à alimenter une usurpation, et une voix convaincante ne devrait plus être acceptée comme preuve d’identité.

Construire une phrase de vérification, sans en faire une clé maîtresse

Le FBI conseille aux familles de créer un mot ou une phrase secrète. Choisissez-la en personne quand c’est possible. Elle ne doit pas être le nom d’un animal de compagnie, un anniversaire, la mascotte de l’école, une équipe préférée, ou un autre fait qui apparaît en ligne. Les enfants et les adultes doivent pouvoir s’en souvenir sous le stress sans la stocker sous une étiquette évidente dans une note partagée en ligne.

Utilisez la phrase comme un signal parmi d’autres, non comme une autorité pour libérer de l’argent ou des identifiants. Elle peut être surprise, révélée par accident, obtenue par hameçonnage lors d’un contact antérieur, ou trouvée sur un appareil compromis. Ne la révélez jamais à un appelant qui dit : « Dites-moi le mot pour que je puisse prouver que c’est réel. » La personne qui prétend être cette identité doit la fournir en réponse à une question neutre.

Ajoutez une seconde couche : raccrochez et contactez le proche via un numéro ou une application déjà enregistrés avant l’incident. Si le proche est injoignable, appelez quelqu’un physiquement proche de lui — un conjoint, un colocataire, l’école, le lieu de travail, un aidant, ou un voisin — en utilisant des coordonnées stockées de façon indépendante. Pour une demande financière importante ou inhabituelle, exigez la confirmation d’un second adulte. La phrase répond à « est-ce peut-être notre proche ? » ; le rappel et la seconde vérification répondent à « devrions-nous entreprendre cette action ? »

Les foyers avec de jeunes enfants peuvent utiliser une règle simple : un adulte qui demande à quelqu’un d’autre d’aller chercher l’enfant doit connaître le mot de récupération, mais les politiques de l’école et des aidants gardent le dernier mot. Changez le mot après usage, en cas de divulgation suspectée, ou après un changement dans le foyer. Ne demandez pas à un enfant effrayé d’enquêter sur un appelant menaçant.

Utiliser un script calme sous pression

Le stress rétrécit l’attention. Placez ce script près du téléphone fixe et dans le plan familial imprimé :

1. Faire une pause. « Je n’effectue pas de paiements d’urgence pendant un appel entrant. »
2. Demander. Réclamez la phrase de vérification sans donner d’indices. Posez une question personnelle seulement si la réponse n’est pas publique, mais ne vous y fiez pas seule.
3. Mettre fin au contact. Ne cliquez sur aucun lien, ne transférez pas l’appel, et n’appelez pas un numéro fourni par l’appelant.
4. Vérifier de façon indépendante. Appelez la personne et des contacts proches en utilisant des informations connues.
5. Escalader en toute sécurité. Si le danger peut être réel, contactez directement les services d’urgence ou l’institution concernée.
6. Documenter et signaler. Conservez le numéro, les messages, les instructions de paiement, et l’heure, sans poursuivre l’échange.

Un escroc peut interdire de raccrocher, prétendre que la police surveille la ligne, menacer de conséquences en cas de contact avec la famille, ou faire entendre des pleurs et du bruit de fond. Le secret associé à l’urgence est une raison de s’arrêter, pas de se plier. La FTC identifie ces deux éléments comme des tactiques récurrentes des escroqueries d’urgence.

Ne pas faire de la détection votre défense principale

Des artefacts tels qu’un clignement d’yeux étrange, des erreurs de synchronisation labiale, des détails déformés, une cadence non naturelle, ou un éclairage incohérent peuvent éveiller les soupçons. Ce ne sont pas des tests de validation fiables. Une vraie vidéo peut être compressée ou retardée ; un média synthétique peut être propre. Un appelant en direct peut aussi diffuser un véritable enregistrement volé ou montrer brièvement un média authentique. « Ça avait l’air normal » ne devrait jamais l’emporter sur la règle de vérification indépendante.

Essayez une demande physique en direct pendant un appel vidéo suspect — tourner la tête, se déplacer dans une autre pièce, faire un geste de la main changeant — mais ne traitez le résultat que comme une preuve supplémentaire. Un montage sophistiqué ou une personne réelle contrainte peut réussir le test. Terminez la session et lancez vous-même votre propre contact.

Réduire le matériel source exploitable sans blâmer les victimes

Examinez quels comptes exposent des enregistrements longs et clairs de membres de la famille, des noms de relations, des écoles, des lieux habituels, des voyages, et des listes de contacts. Restreignez les audiences quand c’est possible, supprimez les champs de profil public inutiles, et demandez aux proches de ne pas publier les voix et les localisations des enfants sans consentement. Changez les messages d’accueil de messagerie vocale publics qui révèlent un nom complet ou un large échantillon de voix propre.

Cela réduit le matériel disponible ; cela ne garantit pas la sécurité. D’autres personnes peuvent déjà posséder des enregistrements, et les informations personnelles peuvent provenir de fuites ou de registres publics. Une personne ciblée malgré une confidentialité soignée n’a pas causé le crime. Consacrez plus d’efforts aux règles de transaction et à la récupération qu’à tenter d’effacer chaque image d’internet.

Cas particuliers : enlèvement, autorité, et demandes professionnelles

Lors d’un appel d’enlèvement virtuel, ne vous déplacez pas pour rencontrer l’appelant et n’envoyez pas d’argent tout en restant en ligne. Utilisez discrètement un autre appareil, si disponible, pour contacter la prétendue victime et les forces de l’ordre. Le FBI a documenté des criminels utilisant des images publiques modifiées comme fausse preuve de vie, et recommande un mot de code, un contact indépendant, et la préservation des communications et des informations de paiement. Son alerte sur l’enlèvement virtuel fournit des conseils de signalement à jour.

Un numéro de plaque, un numéro de dossier, ou un document d’apparence officielle ne constituent pas une vérification. Trouvez vous-même le numéro public de l’agence et demandez à être mis en relation. Les tribunaux, la police, les agences fiscales, et les services publics ne doivent pas être crus simplement parce qu’un appel entrant prétend venir d’eux. N’installez jamais de logiciel d’accès à distance sur instruction d’un appelant non sollicité.

Pour une demande qui semble provenir d’un employeur ou d’une entreprise familiale, vérifiez de façon indépendante toute nouvelle instruction bancaire. Traitez un bénéficiaire modifié, une nouvelle destination de paiement, ou une demande de contourner le processus d’approbation habituel comme une condition d’arrêt. Utilisez le numéro connu du fournisseur ou du collègue, pas celui inscrit dans la signature du message suspect.

Si de l’argent ou des informations ont été envoyés

Pour la séquence complète de récupération de la première heure, voir Que faire après une escroquerie assistée par l’IA. La rapidité compte, mais aucun résultat de récupération n’est garanti. Contactez immédiatement la banque, l’émetteur de la carte, l’application de paiement, le service de virement, l’émetteur de la carte-cadeau, ou la plateforme de cryptomonnaie. Dites que la transaction résulte d’une fraude et demandez si elle peut être arrêtée, rappelée, gelée, ou annulée. La page de récupération de la FTC par type de paiement explique qui contacter. Si des informations de connexion ou d’identité ont été divulguées, changez les identifiants concernés depuis un appareil de confiance et suivez un plan de récupération d’IdentityTheft.gov.

Signalez la tentative sur ReportFraud.ftc.gov et, pour un crime lié à internet ou une perte substantielle, sur IC3.gov. Les forces de l’ordre locales peuvent aussi être appropriées. Conservez l’audio original, la messagerie vocale, les en-têtes d’e-mail, les journaux de chat, les adresses de portefeuille, les numéros de compte, les reçus, et les identifiants de transaction. Ne modifiez pas la seule copie existante.

Méfiez-vous d’une seconde vague : des criminels peuvent contacter les victimes en se faisant passer pour des enquêteurs, des avocats, ou des spécialistes de la récupération d’actifs. Des frais d’avance, une exigence de cryptomonnaie, une demande de code de récupération, ou une promesse de récupération garantie sont d’autres signaux d’alerte.

S’entraîner sans effrayer les gens

Organisez un exercice de cinq minutes deux fois par an : un adulte simule une demande urgente, le destinataire fait une pause, demande la phrase, raccroche, et appelle un numéro connu. Incluez les grands-parents, les aidants, et les adolescents susceptibles de recevoir le premier contact. Expliquez que le protocole n’est pas une méfiance envers la famille ; c’est la manière dont la famille se protège mutuellement quand les voix, les images, les numéros, et les comptes peuvent tous être imités.

La meilleure mesure de préparation n’est pas de savoir si tout le monde peut identifier un deepfake. C’est de savoir si quelqu’un dans le foyer peut ralentir une demande urgente, la vérifier de façon indépendante, et refuser une action irréversible tant qu’une autre personne de confiance ne l’a pas confirmée.