Observer un visage ne suffit plus pour authentifier une vidéo ou une voix. Une vérification solide combine indices visuels et sonores, outils d’analyse et procédure humaine avant toute demande sensible.
Ce qu'est un deepfake, sans jargon
Le terme vient de deep learning + fake. Un deepfake exploite des modèles d'IA génératifs pour superposer le visage d'une personne sur une autre, cloner une voix à partir de quelques secondes d'enregistrement, ou générer une séquence vidéo entière à partir d'une simple photo.
Les outils de création et de manipulation de médias sont devenus plus accessibles. Le FBI indique que des applications grand public peuvent produire des contenus synthétiques réalistes à partir de contenus publiés en ligne. La quantité de matériau nécessaire varie selon le type de média et l’outil : ne retenez pas un nombre unique de photos ou de secondes comme seuil de sécurité.
Les usages malveillants les plus fréquents :
- Fraude au président : un faux CEO en visio demande à un comptable de valider un virement urgent
- Clonage vocal : la voix d'un manager demande par téléphone les accès d'un collaborateur
- Manipulation d'opinion : une personnalité politique tient un discours qu'elle n'a jamais prononcé
- Harcèlement ciblé : le visage d'une personne inséré dans un contenu non consenti et diffusé en ligne
Les signaux visuels et sonores pour détecter un deepfake
Aucune méthode à l’œil nu ne suffit à authentifier un contenu. Le FBI cite néanmoins des incohérences visuelles, sonores ou de mouvement comme signaux d’alerte. Un signal déclenche une vérification ; il ne prouve pas à lui seul qu’un média est faux.
Sur le visage
- Bords du visage qui glissent sur l'arrière-plan lors des mouvements brusques
- Texture de peau anormalement lisse, ou au contraire pixelisée par endroits
- Clignements d'yeux irréguliers, trop rares, ou mécaniques
- Oreilles, mèches de cheveux et montures de lunettes souvent mal reconstituées — les zones aux contours complexes sont les plus difficiles à synthétiser
- Éclairage du visage incohérent avec la lumière de la scène
Sur les expressions et la voix
- Microexpressions absentes — un vrai visage humain change imperceptiblement en continu, même au repos
- Dents et intérieur de bouche flous ou avec artefacts numériques visibles en pause
- Synchronisation lèvres/son qui dérape sur les consonnes complexes, notamment les fricatives
- Voix clonée : respiration absente entre les phrases, sibilantes légèrement déformées, prosodie trop régulière
- Fond sonore qui change brutalement d'une phrase à l'autre
Sur de courtes séquences audio bien produites, l'oreille humaine ne détecte rien. Ne faites pas confiance à l'écoute seule pour les messages vocaux présentés comme urgents.
Ce qu’un outil d’analyse peut et ne peut pas confirmer
Un détecteur peut fournir un score ou signaler une anomalie, mais ses résultats dépendent du format, de la compression et des techniques de génération. Ne présentez jamais ce score comme une preuve unique. Conservez le fichier original, ses métadonnées, l’URL et l’heure de collecte, puis croisez trois contrôles :
- retrouver la publication d’origine et le contexte complet ;
- contacter la personne ou l’organisation sur un canal déjà connu ;
- faire examiner le fichier par une équipe compétente si l’enjeu est financier, juridique ou de sécurité.
La détection technique complète la vérification de source et la procédure humaine ; elle ne les remplace pas.
Pour les entreprises : quatre contrôles à mettre en place
La vraie protection ne vient pas d'un outil seul. Elle vient de procédures que vos équipes appliquent systématiquement.
1. Vérification hors-bande pour tout acte financier ou sensible
Avant tout virement ou accès accordé suite à une demande par vidéo ou audio, imposez une confirmation sur un canal séparé — appel sur un numéro connu en interne, jamais sur le numéro fourni dans la demande. C'est la mesure la plus directe contre la fraude au président.
2. Double validation des demandes engageantes
Un virement, un changement de coordonnées bancaires, une création de compte administrateur ou un partage de données doit être validé par une deuxième personne selon une procédure connue. La voix ou la vidéo du demandeur ne remplace pas cette validation.
3. Annuaire de contact et procédure d’incident
Conservez hors du message reçu les numéros et adresses à utiliser pour vérifier une demande. La procédure doit indiquer qui appeler, comment bloquer l’action, quelles preuves conserver et à qui signaler l’incident.
4. Provenance des contenus officiels avec C2PA
Le standard C2PA permet d’attacher à un média des informations de provenance liées par cryptographie. Son document explicatif officiel précise qu’un Content Credential indique l’historique déclaré et l’intégrité de ces informations ; il ne décide pas si le contenu est vrai. C’est un signal complémentaire, pas un détecteur de deepfake.
Pour les particuliers : les bons réflexes
- Réduisez les contenus personnels publics inutiles et vérifiez les réglages de visibilité. Cela diminue la matière accessible, sans garantir qu’un clonage soit impossible
- Vérifiez la source avant de partager une vidéo compromettante d'une personnalité publique : cherchez si d'autres médias vérifiables reprennent l'information de façon indépendante
- Appelez directement si vous recevez un message vocal "urgent" d'un proche ou d'un collègue — sur le numéro que vous connaissez, pas sur celui fourni dans le message reçu
- Signalez aux plateformes les contenus synthétiques non consentis — Meta, YouTube et TikTok ont des procédures dédiées, distinctes du signalement de contenu ordinaire
- Méfiez-vous des preuves visuelles seules dans un contexte de conflit, de pression ou de scandale : la rapidité de diffusion est souvent un signal d'alerte
Que faire face à une demande suspecte
- N’exécutez pas l’action demandée et ne répondez pas sous pression.
- Contactez la personne par un numéro ou un compte déjà vérifié.
- Prévenez le responsable sécurité, la banque ou la plateforme concernée selon le cas.
- Conservez le message, le fichier, l’URL, le compte émetteur et les heures.
- En cas de fraude, déposez rapidement un signalement auprès des autorités compétentes.
Sources officielles consultées
- FBI — repères sur les contenus synthétiques et leurs limites
- FBI / IC3 — usurpation par messages et voix générées, vérification sur un canal connu
- C2PA — portée et limites des Content Credentials
Former vos équipes avant de vous équiper
La sensibilisation des équipes et les outils de détection se complètent. Les demandes sensibles doivent suivre une procédure de vérification connue et testée.
Chez BGB Formation, la sensibilisation aux deepfakes couvre les exercices de détection et la mise en place de protocoles. Elle s'adresse aux équipes concernées par les demandes sensibles.
Sessions en présentiel possibles à Marseille et en région PACA. Formats distanciels disponibles partout ailleurs.
Pour en savoir plus : nos formations IA ou contactez-nous directement.
À lire aussi :