Reconnaître une arnaque faite avec l’IA : voix clonées, fausses photos, faux messages

Le téléphone sonne. C’est la voix de votre fils, de votre fille, d’un petit-enfant. Elle est en difficulté : un accident, une garde à vue, un téléphone cassé, un virement à faire tout de suite depuis un autre numéro. La voix est juste, l’intonation aussi. Il suffit aujourd’hui de quelques secondes de son extraites d’une vidéo publiée sur les réseaux sociaux pour fabriquer cet appel.

Ce qui trahit ces appels n’est plus la voix, c’est le scénario. On vous empêche de raccrocher et de rappeler. On vous demande de ne prévenir personne. On vous impose un moyen de paiement inhabituel : virement immédiat, cartes prépayées, crypto-monnaie, espèces remises en main propre. Aucune situation légitime n’exige tout cela à la fois.

Le réflexe : raccrochez et rappelez la personne sur son numéro habituel. Pas sur le numéro qui vient de vous appeler. Si elle ne répond pas, appelez un autre proche. Vous pouvez aussi convenir dès aujourd’hui, en famille, d’une question dont seul le vrai proche connaît la réponse — un détail que rien ne peut deviner.

Email, SMS, message dans une application : le texte est impeccable, le logo est le bon, la mise en page ressemble trait pour trait à celle de votre banque, des impôts, de l’assurance maladie ou d’un transporteur. Le motif est toujours petit et urgent : un colis bloqué, une carte Vitale à renouveler, un remboursement en attente, un compte à sécuriser, quelques euros de frais à régler.

Ne lisez plus le texte, regardez l’adresse. Sur ordinateur, passez la souris au-dessus du lien sans cliquer : l’adresse réelle apparaît en bas de l’écran. Sur téléphone, appuyez longuement pour la faire apparaître. Les administrations françaises utilisent des adresses en .gouv.fr, et jamais un nom approchant du genre « impots-remboursement-service.com ».

Le réflexe est simple et sans exception : n’utilisez jamais le lien du message. Ouvrez vous-même votre navigateur et tapez l’adresse du site que vous connaissez, ou passez par votre application habituelle. Si le message était authentique, l’information vous attendra dans votre espace personnel.

On voit aujourd’hui circuler des vidéos où un médecin connu recommande un complément alimentaire, où un journaliste de télévision présente un placement financier miracle, où un ministre annonce une aide exceptionnelle. Ces images sont fabriquées. Le procédé s’appelle un « deepfake », et il est devenu accessible à n’importe qui.

Quelques défauts subsistent souvent, surtout sur les vidéos : les lèvres qui décrochent légèrement du son, un regard qui ne cligne pas, des mains ou des dents mal dessinées, un arrière-plan qui ondule, une voix au débit trop régulier, sans respiration ni hésitation. Mais ces indices s’effacent vite avec le progrès des outils, et vous ne pouvez pas construire votre sécurité sur eux.

Le repère fiable est ailleurs : la source et la promesse. Une information importante est reprise par plusieurs médias que vous connaissez, et vous pouvez la retrouver en cherchant vous-même. Un rendement financier garanti, une guérison rapide ou une aide qu’il faut « réclamer avant vendredi » n’existent pas, quel que soit le visage qui l’annonce.

Une personne vous appelle : conseiller bancaire, service anti-fraude, technicien informatique, agent d’un organisme public. Elle connaît votre nom, parfois votre banque, parfois vos derniers achats — ces informations circulent après des fuites de données et n’ont rien d’une preuve d’identité. Elle vous annonce une opération suspecte et vous propose de la bloquer avec vous.

Puis vient la vraie demande, toujours la même sous une forme ou une autre : dictez-moi le code reçu par SMS, validez cette opération dans votre application, installez ce petit logiciel pour que je puisse vous aider, transférez vos fonds sur un compte « sécurisé ». Aucune banque, aucun service public ne demande jamais cela. Un code de validation est une signature : le donner, c’est signer.

Le réflexe : dites que vous rappelez, raccrochez, et composez vous-même le numéro figurant au dos de votre carte ou sur votre relevé. Un vrai conseiller ne s’offusquera jamais que vous vérifiiez.

Si vous ne gardez qu’une phrase de cet article, gardez celle-ci : reprenez l’initiative du contact. L’arnaque a besoin que vous restiez dans le canal qu’elle a choisi — son appel, son lien, son message. Dès que vous raccrochez pour rappeler vous-même, dès que vous tapez l’adresse du site de vos propres mains, presque tout s’effondre.

Le second réflexe est le temps. Toute arnaque a besoin de vitesse, parce que la réflexion la tue. Vous avez le droit de dire « je vous rappelle demain » à n’importe qui. Une demande légitime survit à une nuit de sommeil ; une arnaque, non.

Se faire piéger n’est pas une question d’intelligence. Ces scénarios sont écrits pour fonctionner sur des gens attentifs, au mauvais moment de la journée. La honte est le meilleur allié des escrocs : elle fait perdre les heures qui compteraient.

Agissez dans l’ordre. Appelez immédiatement votre banque pour faire opposition et signaler l’opération. Changez les mots de passe concernés. Conservez tout : captures d’écran, numéros, messages, relevés. Déposez plainte au commissariat ou à la gendarmerie. Le portail officiel cybermalveillance.gouv.fr vous guide pas à pas selon votre situation, et le 17Cyber permet d’être orienté en ligne. Prévenez aussi vos proches : le même scénario revient souvent dans un cercle.