L’IA, cette usine à mensonges

L’intelligence artificielle a fait entrer l’escroquerie dans une nouvelle ère. Clonage vocal, deepfakes, usurpation d’identité numérique et automatisation des attaques permettent désormais de tromper l’œil, l’oreille et parfois même les procédures de contrôle les plus élémentaires. Face à cette montée en puissance des fraudeurs, quelques réflexes et outils suffisent encore à conserver une longueur d’avance.

 

Le téléphone sonne.

C’est votre petit-fils. Cette même voix qui vous a remercié pour l’argent que vous lui avez envoyé pour son anniversaire au printemps dernier.

Il est en prison. Accident de voiture. Pas de portefeuille, pas de téléphone : il a emprunté celui de quelqu’un d’autre. Il a besoin d’argent pour payer sa caution et qu’on le laisse sortir. Et il lui faut cet argent dans l’heure.

C’est exactement l’appel qu’a reçu un couple d’Américains.

La grand-mère s’est précipitée à la banque pour sortir tout l’argent qu’on a bien voulu lui remettre au guichet, et faire un virement sur Western Union.

Mais en réalité, cette voix affolée au bout du fil était celle d’une IA. Quant au petit-fils, il se portait très bien.

Et l’argent ? Envolé !

Paf !

Dernièrement, je me suis intéressé aux dangers encourus quand on se sert de l’IA pour accomplir des tâches sensibles. Et aujourd’hui, je vais vous parler des dangers encourus quand un tiers s’en sert… contre vous.

J’aborderai deux points essentiels :

• le risque ;
• comment se protéger en cinq minutes.

 

IA : la donne vient de changer

Avant l’IA, les risques de se faire escroquer dépendaient de l’effort déployé. La fraude exigeait beaucoup de travail. L’escroc devait écrire lui-même un e-mail, s’échiner au téléphone, étudier la cible. Le travail bâclé laissait des traces : fautes de frappe, erreurs grammaticales, histoires décousues à propos d’un prince nigérian.

Mais l’IA est en train de faciliter le travail des fraudeurs.

Le FBI a recensé 16,6 Mds$ de pertes liées à la cybercriminalité en 2024, soit une hausse de 33 % en un an. Les plaintes désignant spécifiquement l’IA ont atteint 893 M$ en 2025. Selon McAfee, un Américain sur dix a déjà perdu de l’argent ou failli en perdre, face à une escroquerie basée sur des deepfakes réalisés avec l’IA.

Et une victime sur quatre ayant déposé plainte a plus de 60 ans.

Peut-être avez-vous consacré des années à faire en sorte que l’on ne puisse pas vous pirater facilement. De bons mots de passe. Une saine paranoïa.

Peu importe… La donne a changé.

 

La visioconférence Zoom à 25 M$

À Hong Kong, un employé du service comptabilité d’Arup, le géant de l’ingénierie, a participé à une visioconférence avec le directeur financier de l’entreprise et plusieurs collègues. Des visages connus. Des voix familières. Le directeur financier a autorisé 15 virements bancaires.

25 M$ sont sortis de l’entreprise au total. Mais toutes les personnes présentes à cette visioconférence avaient été générées par l’IA. Chaque visage. Chaque voix. Autrefois, il aurait fallu le budget d’un État pour réaliser une telle attaque.

Aujourd’hui, cela coûte moins de 50 $ de calcul informatique et cela fonctionne en temps réel avec un PC de gamer.

Falsifier le numéro qui s’affiche sur le téléphone du destinataire ne coûte presque rien.

On clique quatre fois plus souvent sur les e-mails de phishing rédigés par une IA que sur ceux rédigés par des humains.

 

Où cela nous mène-t-il ?

Le mois dernier, des pirates se sont servi de huit agents d’IA pour cibler le gouvernement taïwanais. Pas un seul humain n’était au clavier. Ces agents ont cartographié 21 systèmes informatiques, compromis 85 comptes, volé 2 500 dossiers d’employés, puis se sont introduits dans les systèmes de l’agence chargée de la sûreté nucléaire, en adaptant leurs méthodes en temps réel chaque fois que les défenseurs les bloquaient.

Cela a duré quatre jours, du début à la fin.

L’un des spécialistes de la sécurité a résumé ce nouveau monde en une seule phrase : « Le coût de mise en œuvre d’une attaque efficace a chuté, contrairement à celui de la défense contre ladite attaque. »

Mais les humains sont infiniment créatifs. Et il y a une petite lueur d’espoir, au bout de ce tunnel.

En Australie, une société appelée Apate dispose de toute une armée de personnages virtuels pilotés par l’IA, qu’elle déploie pour répondre toute la journée aux appels d’escrocs et les piéger.

Des centaines de milliers d’appels par jour. En six semaines, ces robots ont fait perdre aux escrocs l’équivalent de 500 journées de travail, pour le compte d’un seul opérateur téléphonique, soit environ 13 M$ de fraudes qui, selon leur estimation, n’ont jamais pu avoir lieu.

Quelque part dans un centre d’appel, un imposteur est en train de devenir dingue à cause d’une grand-mère qui n’existe pas.

Bientôt, bien entendu, un bot lui prendra son travail. L’avenir de la cybersécurité est fait de bots qui passeront de faux appels à des bots. En boucle.

Mais d’ici là, vous devez savoir comment vous protéger.

 

Votre première ligne de défense est une clé à 50 $

Voici la bonne nouvelle.

La meilleure défense pour qu’une IA munie de milliers de milliards de paramètres n’accède pas à vos comptes est toute bête, physique et bon marché.

 

Achetez une YubiKey

C’est une clé de sécurité physique (matérielle). Branchez-la, appuyez sur le bouton tactile, et c’est bon. Sans cette clé, personne ne pourra accéder à vos comptes, même avec votre mot de passe, et même avec le clone parfait de votre voix suppliant un service client. L’IA peut reproduire votre visage mais ne peut pas reproduire un instrument physique qui se trouve dans un endroit inconnu. Achetez-en même deux (dont une de secours).

Cette clé coûte environ 50 $.

Protégez d’abord votre e-mail (votre boîte de réception est la clé de tous les autres comptes que vous détenez), puis vos comptes de courtage, puis vos comptes en banque.

 

Ensuite, adoptez ces quatre habitudes qui ne coûtent rien.

Arrêtez de cliquer sur les liens

Que ce soit dans les SMS, les e-mails, où que ce soit. Cette « Alerte à la fraude » provenant de votre banque est une imposture. Saisissez l’adresse du site vous-même ou utilisez l’application officielle. Tout lien est une porte d’entrée. Ne vous faites pas avoir : laissez les escrocs frapper à la porte à jamais.

Choisissez un code secret familial

Un code que votre véritable famille connaît. L’IA peut prendre la voix de votre petit-fils mais elle ne connaît pas ce code secret.

Raccrochez et rappelez le numéro suspect

90 % des victimes auraient pu éviter de perdre de l’argent en faisant ce seul geste.

Méfiez-vous de l’urgence et du secret

Soyez sur vos gardes si les phrases « Ne le dis pas à Maman » et « on n’a que 15 minutes » sont répétées dans le même appel.

Les véritables urgences sont presque toujours stressantes, mais il est rare qu’elles invoquent et l’immédiateté et le secret dans la même phrase. Alors, faites une pause. Respirez. Et réfléchissez à ce que l’on est en train de vous demander.

Les escrocs sont en train de se mettre à niveau.

Alors il est temps que vous le fassiez, vous aussi.