Clonage de voix et deepfakes : comment fonctionnent ces arnaques et comment s'en protéger

En une phrase : Une arnaque par clonage de voix ou deepfake consiste à imiter, grâce à l’IA, la voix ou le visage d’une personne de confiance pour te pousser à payer ou à livrer des informations ; la meilleure protection reste de vérifier toute demande inhabituelle par un autre moyen avant d’agir.

Un appel d’un proche en panique, un message vocal d’un supérieur qui réclame un virement urgent, une visioconférence où tu crois reconnaître tes collègues : ces scénarios d’escroquerie existent depuis longtemps, mais les outils d’IA générative permettent d’y ajouter une voix ou un visage crédibles. Ce guide reprend les recommandations publiées par les autorités françaises et américaines. Pour suivre le sujet, consulte notre rubrique arnaques et deepfakes.

Comment fonctionnent ces arnaques

Un hypertrucage, ou deepfake, est selon la CNIL (page du 3 février 2026) un « contenu audio, photo ou vidéo créé ou modifié grâce à des techniques d’intelligence artificielle ». Ces techniques permettent d’imiter une voix, un visage ou un mouvement. La matière première est souvent publique : la CNIL rappelle qu’une photo, une vidéo ou un enregistrement vocal publié en ligne peut être détourné, sans l’accord de la personne, pour la mettre dans des situations fausses.

L’autorité décrit plusieurs familles d’usages malveillants : atteinte à la vie privée et usurpation d’identité (jusqu’à la sextorsion), cyberharcèlement, fraudes et escroqueries, désinformation et manipulation, contenus haineux ou pédopornographiques. Pour les fraudes, elle cite l’ouverture ou la modification de comptes en ligne, la fraude auprès de services et les escroqueries visant des proches ou des collaborateurs.

Le FBI a détaillé les scénarios les plus courants dans une alerte publiée le 3 décembre 2024. Côté voix, des criminels génèrent de courts extraits audio reprenant la voix d’un proche pour simuler une situation de crise et réclamer une aide financière immédiate ou une rançon, ou utilisent des voix imitées pour accéder à des comptes bancaires. Côté vidéo, l’agence américaine signale des visioconférences en temps réel avec de prétendus dirigeants d’entreprise, policiers ou autres figures d’autorité.

En entreprise, ce scénario prolonge une fraude bien connue. Cybermalveillance.gouv.fr, dans sa fiche sur les faux ordres de virement, décrit l’« arnaque au Président » : une demande de virement présentée comme venant d’un dirigeant, avec un caractère « urgent et confidentiel », généralement passée par téléphone, par messages électroniques ou les deux. Une voix ou une vidéo imitée rend ce type de demande plus difficile à détecter.

Une affaire documentée : 25 millions de dollars en visioconférence

Un cas documenté concerne le groupe d’ingénierie britannique Arup. Selon un article de CNN publié le 16 mai 2024, un employé du service financier d’Arup à Hong Kong a versé 200 millions de dollars de Hong Kong (environ 25,6 millions de dollars américains), en 15 transactions d’après la radiotélévision publique RTHK citant la police. Il avait d’abord soupçonné un courriel d’hameçonnage, puis s’était laissé convaincre lors d’une visioconférence avec des personnes qu’il croyait être le directeur financier et d’autres salariés. Selon la police de Hong Kong, tous étaient des hypertrucages. Un porte-parole d’Arup a confirmé à CNN que « de fausses voix et images » avaient été utilisées (traduction Le Latent).

Ce que l’on observe en France

Cybermalveillance.gouv.fr, le dispositif public d’assistance aux victimes, ne publie pas de statistique propre aux clonages de voix. Son rapport d’activité 2025, publié le 25 mars 2026, montre toutefois la progression des escroqueries par téléphone, terrain naturel de ces techniques : chez les particuliers, les recherches d’assistance pour la fraude au faux conseiller bancaire ont augmenté de 159 % sur un an, à 15 000, et celles pour usurpation de numéro de téléphone de 517 %, à 7 000.

Le même rapport décrit l’usage de l’IA par les cybercriminels pour traduire automatiquement leurs messages d’hameçonnage, générer textes et visuels ou fabriquer de faux sites. Il nuance : les campagnes malveillantes de masse « entièrement pilotées par IA ne sont pas attestées à ce stade ». Le dispositif a par ailleurs coproduit avec un assureur une vidéo de sensibilisation aux hypertrucages, diffusée sur TikTok en décembre 2025.

Que faire si tu es visé ou victime

La CNIL conseille de ne pas partager un contenu suspect, de le signaler d’abord via les outils de la plateforme, puis de conserver les preuves (captures d’écran, liens). Tu peux porter plainte auprès de la police ou de la gendarmerie, et signaler les contenus illicites et graves, dont les escroqueries, sur la plateforme Pharos. Si ton visage, ta voix ou ton nom sont utilisés sans ton accord, tu peux aussi adresser une plainte à la CNIL ; elle précise que cette démarche ne remplace pas une plainte pénale et qu’elle ne peut ni obtenir de dommages et intérêts ni sanctionner les auteurs de délits.

Pour être accompagné, le service 17Cyber, lancé le 17 décembre 2024 par la police nationale, la gendarmerie nationale et Cybermalveillance.gouv.fr, est disponible 24 heures sur 24 et 7 jours sur 7. Un diagnostic en ligne identifie le type d’attaque et donne des conseils adaptés ; si l’atteinte est grave, tu peux échanger par messagerie instantanée avec un policier ou un gendarme pour obtenir des conseils de première urgence et engager une plainte.

En cas de virement frauduleux, la fiche de Cybermalveillance.gouv.fr conseille d’alerter ta banque au plus vite pour demander le retour des fonds, de conserver les preuves (numéros de téléphone, messages, ordres de virement) et de porter plainte rapidement, ce qui augmente les chances d’obtenir gain de cause auprès de la banque.

Ce que dit la loi

Dans sa version issue de la loi du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique, en vigueur depuis le 23 mai 2024, l’article 226-8 du code pénal vise expressément les contenus visuels ou sonores « générés par un traitement algorithmique ». Porter à la connaissance du public ou d’un tiers, sans son consentement, un montage ou un tel contenu représentant une personne, quand son caractère artificiel n’est pas évident ou signalé, est puni d’un an d’emprisonnement et de 15 000 euros d’amende. Les peines passent à deux ans et 45 000 euros si les faits passent par un service de communication au public en ligne, comme un réseau social.

Pour les montages à caractère sexuel, l’article 226-8-1, créé par la même loi, prévoit deux ans d’emprisonnement et 60 000 euros d’amende, portés à trois ans et 75 000 euros en cas de diffusion en ligne, d’après le texte en vigueur sur Légifrance. L’escroquerie elle-même est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende (article 313-1), une peine que rappellent aussi la CNIL et Cybermalveillance.gouv.fr.

Au niveau européen, les règles de transparence de l’AI Act s’appliquent depuis le 2 août 2026, date d’application générale du règlement selon la Commission européenne : les fournisseurs d’IA générative doivent rendre leurs contenus identifiables, et les deepfakes diffusés doivent être étiquetés de manière claire et visible. Le calendrier détaillé, y compris les délais accordés à certains outils, est suivi dans notre rubrique AI Act. Ces obligations visent les acteurs qui respectent la loi : un escroc ne signalera pas son faux. La prudence reste donc la première protection, tout comme la maîtrise de ce que tu publies sur toi (voir notre rubrique vie privée).

Les échéances précises de l’AI Act, dont le délai accordé aux outils déjà sur le marché pour marquer leurs contenus, sont détaillées dans notre point sur son calendrier d’application. Pour limiter la matière première des fraudeurs, voir aussi comment t’opposer à l’utilisation de tes publications par les IA.

Les attaques visent aussi les outils d’IA eux-mêmes : voir comment vérifier ton ordinateur après l’extension Claude Code piégée distribuée par la boutique de Cursor.