Fraude bancaire par voix synthétique : vol d’identité alimenté par l’IA

Tactiques courantes

• • Obtenir des échantillons vocaux à partir de sources publiques — vidéos YouTube, profils LinkedIn, plateformes de réseaux sociaux, enregistrements de conférences professionnelles ou journaux d’appels du service client — puis les télécharger sur des plateformes de clonage vocal IA pour générer des fichiers audio deepfake.
• • Usurper des numéros de téléphone légitimes en utilisant des services VoIP et des outils de falsification d’identification de l’appelant (coûtant entre 5 et 50 $ par mois) pour apparaître comme des numéros bancaires de confiance, des membres de la famille ou des dirigeants d’entreprise, créant ainsi une fausse légitimité de l’appelant.
• • Déployer des scripts d’ingénierie sociale spécifiquement conçus pour l’imitation vocale, prétendant des situations financières urgentes (compromission de compte, alertes de fraude, opportunités d’investissement) nécessitant une action immédiate avant que les « systèmes de vérification » ne puissent intervenir.
• • Cibler les employés bancaires lors des changements de poste ou des périodes chargées où les protocoles de vérification sont moins stricts, en utilisant un jargon technique et un langage d’autorité appris en étudiant les procédures bancaires ou les expériences d’employés précédents.
• • Créer une pression temporelle en affirmant qu’une activité frauduleuse a été détectée sur les comptes, menaçant de gel des comptes ou évoquant la fermeture de fenêtres de sécurité nécessitant une autorisation immédiate des transferts ou des modifications d’identifiants.
• • Superposer l’attaque en faisant intervenir des complices se faisant passer pour des membres de la famille, le support informatique ou les forces de l’ordre lors d’appels de suivi, créant une confusion sur la légitimité des conversations et submergeant les processus normaux de vérification.

Comment l'identifier

• Recevoir des appels non sollicités prétendant provenir de membres de la famille ou de contacts bancaires à des heures inhabituelles ou en situation de crise, avec une voix presque naturelle mais légèrement robotique — un rythme légèrement mécanique, des inflexions vocales non naturelles ou des respirations mal synchronisées sont des artefacts courants de l’IA.
• Les employés bancaires signalent des appels provenant de numéros de téléphone du PDG ou de cadres contenant des demandes contournant les canaux d’approbation habituels, avec des bizarreries linguistiques subtiles dans la terminologie professionnelle ou des phrases inhabituelles que la personne n’utiliserait normalement pas.
• Des appels téléphoniques évoquant des problèmes de sécurité de compte où l’appelant démontre des informations personnelles étonnamment détaillées (issues de fuites de données publiques) combinées à une pression pour autoriser immédiatement des transferts sans rappels de vérification standard.
• Des membres de la famille rapportant des appels de proches qu’ils reconnaissent à la voix demandant de l’argent en urgence via virement bancaire ou cryptomonnaie, mais le « proche » ne répond jamais correctement aux questions de vérification ou demande des méthodes de paiement inhabituelles.
• Plusieurs appels provenant de numéros différents en quelques heures prétendant être divers contacts (banque, famille, forces de l’ordre), chacun renforçant la même demande financière urgente malgré l’absence de mention préalable de telles situations.
• Une qualité vocale presque parfaite mais avec des irrégularités subtiles — léger bourdonnement de fond, répétition occasionnelle de mots ou schémas d’accentuation non naturels différents de la façon dont cette personne parle normalement, en particulier dans les moments émotionnels.

Comment se protéger

• Mettre en place des protocoles de vérification vocale : quelle que soit l’identité de l’appelant, n’autorisez jamais de transactions financières sans rappeler indépendamment le numéro officiel de la personne (et non celui fourni lors de l’appel). Les banques déploient de plus en plus la reconnaissance vocale multifactorielle, mais ne vous fiez jamais uniquement à la correspondance vocale pour les transferts de grande valeur.
• Réduire votre empreinte vocale en ligne en rendant vos comptes sur les réseaux sociaux privés, en supprimant ou en rendant non répertoriées les vidéos contenant des échantillons vocaux prolongés, et en étant sélectif quant aux présentations ou interviews enregistrées publiquement. Des échantillons audio aussi courts que 3 à 5 secondes permettent de créer des deepfakes, donc auditez votre présence numérique.
• Établir des mots de passe verbaux préalablement convenus avec les membres de la famille et les contacts financiers clés, renouvelés chaque trimestre — ils doivent être des phrases aléatoires sans lien avec des informations personnelles, utilisés chaque fois que vous discutez d’argent ou d’accès aux comptes, et jamais expliqués en détail en ligne.
• Activer les fonctionnalités de sécurité bancaire empêchant les virements le jour même sans vérification supplémentaire (blocage de 24 heures), mettre en place des limites de transaction nécessitant plusieurs niveaux d’approbation, et configurer des alertes pour tout changement de numéros de téléphone, adresses e-mail ou comptes bénéficiaires.
• Demander à votre banque de mettre en œuvre des systèmes avancés d’authentification vocale résistants aux deepfakes audio, incluant la détection de vivacité (preuve de voix en temps réel) et l’analyse comportementale. Vérifiez si votre institution teste les voix générées par IA lors de la formation des employés.
• Ne jamais discuter de transactions financières, de numéros de compte ou de détails personnels lors d’appels que vous initiez suite à une demande d’un tiers — même si vous reconnaissez la voix. Raccrochez immédiatement, vérifiez indépendamment l’identité de l’appelant via des canaux officiels, et attendez 5 à 10 minutes avant de rappeler pour éviter les attaques par maintien d’appel.

Cas réels

Où signaler — France

Canaux officiels de votre région pour signaler cette escroquerie.