Deepfakes, vishing et nouvelles fraudes : comment les attaquants affinent leurs techniques

Alors que les organisations renforcent leurs défenses techniques, les cybercriminels affinent leurs tactiques sur un tout autre terrain : la manipulation psychologique. En 2025, les attaques par ingénierie sociale gagnent en crédibilité grâce à l’exploitation de technologies comme les deepfakes audio et vidéo, le vishing, ou les fraudes ciblées dopées à l’intelligence artificielle. Ce n’est plus le volume d’e-mails malveillants qui inquiète, mais la qualité et la précision chirurgicale de certaines campagnes.

L’humain, maillon faible devenu cible prioritaire

Depuis plusieurs mois, des cas concrets émergent : un collaborateur reçoit un appel téléphonique du PDG (ou ce qu’il croit être sa voix) lui demandant de valider un virement « urgent » ; une visioconférence entre un manager et un sous-traitant est en réalité une simulation vidéo montée avec des images existantes ; un message vocal envoyé sur Teams par un responsable hiérarchique semble parfaitement authentique.

Ces attaques sont rendues possibles par l’accès facilité à des technologies de clonage vocal ou de génération faciale, disponibles en open source ou via des services en ligne. Le coût d’entrée pour les attaquants a considérablement baissé, tandis que la puissance des outils, elle, a explosé.

Une préparation de plus en plus méticuleuse

Ce qui frappe dans ces nouvelles fraudes, ce n’est pas uniquement leur apparence crédible, mais le travail en amont. Les attaquants ne se contentent plus d’envoyer des mails génériques : ils récoltent des informations contextuelles précises, grâce aux réseaux sociaux professionnels, aux conférences filmées, aux rapports internes parfois exposés publiquement, ou aux fuites précédentes. L’objectif : créer un scénario convaincant, crédible et contextuellement plausible.

Par exemple, une fraude audio imitant un directeur financier aura bien plus de chances de réussir si elle est lancée un vendredi après-midi, lorsque le vrai directeur est en déplacement, et que le contexte de clôture comptable crée une pression naturelle sur les équipes.

Les limites des outils de sécurité traditionnels

Ces attaques passent sous les radars classiques. Un deepfake vocal n’est ni un malware ni un lien malveillant. Les antivirus, les firewalls ou les EDR n’y voient que du feu. La réponse ne peut donc pas être uniquement technique.

Certaines entreprises commencent à investir dans des outils de détection de deepfakes (analyse de micro-variations audio ou vidéo), mais ces solutions restent encore jeunes et souvent coûteuses. La vraie barrière repose aujourd’hui sur la maturité des process internes : procédures de validation des demandes financières, culture du doute, vérification systématique par un second canal…

Il est également essentiel de former les équipes à repérer les signaux faibles : un ton inhabituel, une demande trop urgente, un changement de comportement soudain dans les échanges numériques, etc. Le bon réflexe n’est pas de réagir dans l’instant, mais de ralentir, questionner et vérifier.

Un enjeu de souveraineté et de conformité à venir

À plus grande échelle, ces fraudes posent aussi la question de l’intégrité numérique des communications d’entreprise. Peut-on encore se fier à une voix, à un visage sur un écran, à un message écrit s’il est parfaitement imité ?

Certaines pistes émergent : horodatage blockchain des communications sensibles, certification d’authenticité des contenus multimédias, usage de marqueurs biométriques vocaux, ou encadrement réglementaire des technologies de simulation. L’Union européenne pourrait, dans les prochains mois, se pencher sur un encadrement plus strict des deepfakes, notamment à des fins de fraude.

En attendant, les entreprises doivent considérer cette menace non plus comme marginale, mais comme une évolution majeure du paysage cyber, où la confiance devient elle-même une surface d’attaque.