Chapitre 100 : Deepfake et falsification vidéo — Quand les yeux nous trompent

Pendant des millénaires, l'humanité s'est appuyée sur le sens de la vue comme ultime ancrage de la vérité. « Mieux vaut voir une fois que d'entendre cent fois », dit le vieux proverbe, reflétant notre certitude absolue que si nous avons vu quelque chose de nos propres yeux, cela s'est nécessairement produit. Devant les tribunaux, le témoignage oculaire a toujours été considéré comme la « reine des preuves » et, dans la vie quotidienne, la capacité d'identifier un visage, de saisir une expression ou de distinguer un ton de voix dans une vidéo était la dernière barrière contre la fraude. Mais à l'ère de l'intelligence artificielle générative (Generative AI), cette barrière ne s'est pas seulement fissurée : elle a volé en éclats. Nous entrons dans une ère où nos yeux deviennent les armes braquées contre nous.

Au fil des années, et durant sa pratique professionnelle auprès des victimes d'escroqueries numériques, on a pu observer à quelle vitesse la technologie évolue. Si, par le passé, les escrocs devaient se contenter d'e-mails rédigés maladroitement ou d'appels téléphoniques avec un accent suspect, ils sont aujourd'hui capables de produire une réalité alternative. Le Deepfake (hypertrucage) n'est pas une simple « amélioration » de l'escroquerie ; c'est un saut quantique. C'est le point où les algorithmes d'apprentissage automatique cartographient les visages, les mouvements des lèvres et les nuances humaines pour créer la vidéo d'une personne — parfois connue de son entourage ou un supérieur hiérarchique — disant et faisant des choses qui ne sont jamais arrivées. Ce chapitre vise à aider à se préparer au moment où la réalité pourrait se déformer sous vos yeux.

Le scénario suivant est un exemple pédagogique basé sur des modèles d'escroquerie courants. Les personnages et les événements sont fictifs et destinés à l'illustration uniquement.

Dimanche matin, 08h30. Ronen, directeur financier dans une entreprise, s'est assis devant son ordinateur avec sa première tasse de café de la journée. Son calendrier était chargé, mais un message « urgent » apparu dans sa messagerie Teams l'a fait sursauter. C'était le PDG de l'entreprise, Gideon, qui se trouvait cette semaine-là lors d'une conférence à l'étranger. « Ronen, es-tu disponible pour un court appel vidéo ? Nous devons conclure le rachat de la startup maintenant, sinon nous la perdons », disait le message.

Ronen a activé la caméra, et le visage familier de Gideon est apparu à l'écran. Gideon semblait un peu fatigué — logique compte tenu du décalage horaire — et l'éclairage dans sa chambre d'hôtel était un peu tamisé. « Tu m'entends, Ronen ? » a demandé Gideon de sa voix rocailleuse habituelle. « Nous avons une fenêtre d'opportunité de deux heures. Les avocats exigent un acompte de 450 000 dollars sur un compte séquestre pour maintenir l'offre. Je t'envoie maintenant les détails du compte par e-mail. S'il te plaît, confirme le virement immédiatement. Je dois retourner à la réunion. »

Ronen a remarqué que Gideon semblait stressé. Il voyait ses mouvements de mains caractéristiques, la façon dont il se grattait le front lorsqu'il était préoccupé. « Gideon, c'est un montant inhabituel pour un virement sans double signature physique », a osé Ronen. Gideon a soupiré à l'écran, son expression devenant un peu impatiente. « Ronen, je te vois, tu me vois. Je te l'autorise ici et maintenant. Le conseil d'administration a déjà été informé en principe. Si nous ratons ça, la responsabilité est sur toi. J'envoie les détails. » L'appel a été coupé. Quelques secondes plus tard, l'e-mail avec les détails de la banque est arrivé.

La sensation dans le ventre de Ronen était inconfortable, mais il avait vu le PDG. Il l'avait entendu. Ronen a effectué le virement. Ce n'est qu'en soirée, lorsqu'il a envoyé un message WhatsApp personnel à Gideon demandant « Comment s'est passée la réunion après le virement ? », que la réponse glaciale est arrivée : « Quel virement ? Nous ne nous sommes pas parlé depuis ce matin, je suis en visite dans une autre usine. »

Dans ce scénario, la victime n'est pas tombée dans une erreur humaine ordinaire, mais dans un appel vidéo Deepfake — l'une des escroqueries les plus sophistiquées existantes aujourd'hui. Dans cette méthode, les escrocs collectent des matériaux visuels et sonores de la personne (interviews, podcasts, réseaux sociaux) et les alimentent dans un modèle d'IA qui apprend à imiter son visage et sa voix en temps réel.

La technologie derrière le masque : comment ça marche et pourquoi nous y croyons ?

Pour se protéger, nous devons d'abord comprendre le mécanisme. La technologie du Deepfake repose sur des réseaux antagonistes génératifs (GAN). Il s'agit de deux algorithmes d'IA fonctionnant l'un contre l'autre : un algorithme (le « faussaire ») crée une image ou une vidéo, tandis que le second algorithme (le « critique ») tente de détecter s'il s'agit d'une falsification. Le processus se répète de nombreuses fois, jusqu'à ce que le produit devienne difficile à distinguer de la réalité.

Le problème central est la psychologie humaine. Le cerveau est programmé pour faire confiance à la reconnaissance faciale. Lorsque nous voyons les traits familiers d'une personne proche ou autoritaire, les systèmes de défense naturels peuvent se relâcher. Les escrocs exploitent cela avec un élément d'urgence, ce qui crée une situation où la concentration se déplace vers la résolution du problème plutôt que vers l'examen de la fiabilité de la source.

De plus, la qualité du Deepfake s'est considérablement améliorée. Par le passé, on pouvait remarquer des « sauts » dans l'image ou un manque de coordination, mais aujourd'hui, la technologie permet la création d'un personnage numérique réagissant en temps réel. Lors d'appels vidéo où la qualité de la connexion n'est pas parfaite, il est facile de dissimuler des défauts techniques comme des problèmes de communication habituels.

L'arène juridique : analyse de la responsabilité dans les scénarios de tromperie

Lorsque des fonds sont transférés à la suite d'une escroquerie par Deepfake, la question juridique se pose de savoir sur qui repose la responsabilité : sur le payeur qui a effectué l'opération, ou sur l'établissement financier censé protéger les fonds ?

En Israël, le cadre normatif central est la Loi sur les services de paiement, 2019. La loi réglemente les relations entre un client et un fournisseur de services de paiement. En cas d'« utilisation abusive » d'un moyen de paiement, la loi tend à protéger le client, mais les escroqueries par Deepfake posent un défi unique car l'opération est généralement effectuée par le client lui-même sous une fausse représentation.

Dans ces cas, un argument peut être soulevé par les institutions financières selon lequel le client a agi avec une « négligence grave ». D'un autre côté, on peut examiner l'argument juridique selon lequel la norme de prudence devrait varier en fonction de l'évolution technologique. Si des outils dépassant la capacité de perception moyenne sont utilisés, la question se pose de savoir si l'on peut imputer une négligence grave à la victime.

Les tribunaux pourraient examiner la « balance de la faute » : l'établissement financier a-t-il détecté une activité inhabituelle ? Les systèmes automatisés étaient-ils censés arrêter un virement d'un montant anormal vers une destination à risque sans vérification humaine ? Il existe une possibilité d'examiner la responsabilité de l'institution s'il est prouvé que des précautions raisonnables n'ont pas été prises pour prévenir la fraude à une époque où les cyber-risques sont connus du système.

Au-delà de la loi sur les services de paiement, on peut examiner des motifs relevant du droit de la responsabilité civile et du droit des contrats, tels que la négligence des prestataires de services ou le niveau de protection organisationnelle. Cependant, le recouvrement des fonds dans de tels cas est un processus complexe qui dépend des circonstances et du moment de l'identification de l'arnaque.

Atteinte à la vie privée et usurpation d'identité

Un autre aspect juridique concerne la Loi sur la protection de la vie privée et la Loi sur la diffamation. La création d'une vidéo Deepfake attribuant à une personne des propos non tenus peut être considérée comme une atteinte à la vie privée et à la réputation. On peut explorer des options juridiques telles que la concurrence déloyale ou l'atteinte à l'autonomie, et parfois agir contre les parties ayant permis la fuite des informations utilisées pour créer la falsification.

Un gouffre de méfiance : conséquences possibles

Le grand danger du Deepfake est l'atteinte à la confiance. Dans une situation où il est difficile de se fier à la vue, le tissu humain et professionnel pourrait en souffrir. Les cadres pourraient soupçonner les instructions, et les tribunaux devront faire face à de nouveaux défis en matière de preuve concernant l'authenticité des preuves visuelles.

Sur le plan organisationnel, on peut envisager le passage à un modèle de « vérification basée sur un protocole ». Tout comme on utilise des signatures numériques, il pourrait être nécessaire de vérifier l'identité par des moyens supplémentaires qui ne dépendent pas seulement de l'apparence extérieure.

Comment identifier l'inidentifiable ? Signes d'alerte et moyens de défense

Malgré la sophistication de la technologie, il est parfois possible de remarquer des signes suspects si l'on reste vigilant.

Signes techniques possibles dans un appel vidéo :

• Clignement des yeux non naturel : Certains modèles ont du mal à imiter un rythme de clignement humain naturel.
• Zone de la bouche et des dents : Manque de coordination entre le mouvement des lèvres et la voix, ou flou autour de la bouche pendant une parole rapide.
• Ombrages et angle du visage : Falsification qui peut sembler « étalée » lors de mouvements de tête brusques ou inadéquation des ombres par rapport à la source lumineuse.
• Qualité audio par rapport à la vidéo : Combinaison d'une voix de haute qualité avec une vidéo qui semble synthétique ou de faible qualité.

Tactique de défense : code de vérification humain

Une méthode simple pour faire face est d'établir un « mot de code » ou une question personnelle avec les membres de la famille ou les collègues, dont la réponse ne se trouve pas sur Internet. En cas de doute, on peut poser une question personnelle dont seule l'autre partie est censée connaître la réponse immédiatement.

Mesures recommandées en cas de doute ou de préjudice

Dans ces cas, la rapidité de réaction est critique :

1. Arrêt de la communication : En cas de doute, il est recommandé de couper l'appel immédiatement.
2. Vérification via un canal distinct : Prise de contact avec la personne par un autre moyen de communication (appel téléphonique habituel, message sur un autre canal).
3. Signalement à l'établissement financier : Dans le cas où un virement a été effectué, il faut s'adresser immédiatement au service client de la banque pour examiner la possibilité d'annuler ou d'arrêter le virement.
4. Documentation : Conservation de captures d'écran, détails d'e-mail et tout autre détail technique lié à l'événement.
5. Signalement aux autorités : Dépôt d'une plainte à la police (unité cyber) pour documentation officielle.
6. Examen juridique : Il est recommandé d'examiner le cas avec des experts du domaine afin de comprendre les options d'action vis-à-vis des institutions impliquées.

Aspect juridique : résumé des options

La situation juridique est en cours d'adaptation à la nouvelle réalité. Plusieurs principes juridiques peuvent être examinés :

1. Devoir de diligence de l'établissement financier

On peut examiner si l'établissement financier a respecté son devoir de confiance et de diligence, et si des mécanismes de vérification appropriés ont été activés avant l'exécution d'opérations inhabituelles.

2. Examen de la notion de négligence

On peut arguer que céder à une manipulation technologique avancée ne constitue pas une « négligence grave », car il s'agit d'une mise en scène destinée à tromper même une personne raisonnable et prudente.

3. Couverture d'assurance

Dans le cas d'organisations, on peut examiner si les polices d'assurance cyber existantes couvrent les événements d'ingénierie sociale basée sur la technologie.

En conclusion, à une époque où les yeux peuvent tromper, il faut s'appuyer sur des processus de vérification, une pensée critique et des protections juridiques. La réalité exige de nous d'apprendre à vérifier ce que nous voyons et d'agir avec les outils professionnels à notre disposition pour protéger nos droits.

Signes d'alerte (Checklist) :

• Demande urgente de virement de fonds lors d'un appel vidéo non planifié.
• Dysfonctionnements visuels ou « glitches » dans la zone du visage et des yeux.
• Intonation vocale qui semble trop uniforme ou robotique.
• Difficulté de l'autre partie à répondre à des questions personnelles spontanées.
• Adresses e-mail avec des changements minimes destinés à tromper.

Que faire immédiatement ?

• Couper l'appel et vérifier auprès de la personne par un canal de communication distinct.
• Informer les services de sécurité ou financiers de l'organisation.
• Demande urgente à la banque pour examiner les possibilités d'annuler les virements.
• Examen des possibilités juridiques concernant la responsabilité des parties impliquées.

Aspect juridique central :

La loi sur les services de paiement offre une protection au client, et la probabilité de recouvrement des fonds dépend en grande partie des circonstances de l'espèce et de la question de savoir si le cas sera qualifié de négligence. Il est recommandé d'examiner chaque cas individuellement au regard des dispositions légales en vigueur.