Chapitre 99 : Intelligence artificielle et usurpation d'identité vocale — La nouvelle génération d'escroqueries

Le scénario suivant est un exemple didactique basé sur des schémas d'escroquerie courants. Les personnages et les événements sont présentés à des fins d'illustration uniquement.

Il était trois heures du matin quand le téléphone sur la table de nuit de Myriam s'anima dans un cri strident. Dans l'obscurité totale de la chambre à Haïfa, ce son ressemble toujours à une véritable alarme. Myriam, une retraitée du ministère de l'Éducation dont l'esprit est vif comme une lame, même après un sommeil profond, tendit une main tremblante. Sur l'écran apparaissait le nom de son fils aîné, Doron.

« Maman ? Maman, tu m'entends ? » La voix à l'autre bout était étouffée, tremblante, accompagnée de bruits de fond de circulation intense et d'un vent sifflant. C'était Doron. Aucune erreur possible. L'intonation, la manière dont il prononçait le mot « maman », la légère consonne à la fin de la phrase — tout y était. C'était la voix qu'elle connaissait depuis qu'il était venu au monde.

« Doron ? Que s'est-il passé ? Pourquoi appelles-tu à une heure pareille ? » Son cœur se mit à battre la chamade.

« Maman, il y a eu un accident. J'ai... j'ai renversé quelqu'un. Je suis au commissariat à Athènes. Ils ont pris mon passeport. Maman, j'ai peur, ils disent que si je ne paie pas une caution maintenant, dans l'heure, ils vont me transférer au centre de détention. J'ai besoin que tu m'aides. Je vais t'envoyer un lien de paiement, s'il te plaît, n'en parle pas à Michal, je ne veux pas l'effrayer avant que cela soit réglé. »

Myriam n'hésita pas. Ce n'était pas une « personne âgée naïve » du genre décrit dans les articles mettant en garde contre les fraudes. Elle utilisait des applications bancaires, elle lisait les journaux, elle savait que les escrocs existaient. Mais c'était Doron. Elle avait entendu la peur dans sa voix. Elle avait entendu sa respiration saccadée. En quelques minutes, elle transféra une somme importante via un service de transfert d'argent international rapide, exactement selon les instructions reçues dans le message WhatsApp envoyé depuis son numéro.

Ce n'est qu'au matin, lorsqu'elle appela Michal, sa belle-fille, pour lui demander « s'il y avait du nouveau », que la catastrophe fut révélée. Doron avait dormi dans son lit à Tel Aviv toute la nuit. Il n'avait jamais été en Grèce cette semaine-là. Son téléphone n'avait pas été physiquement piraté. La voix qu'elle avait entendue ? Elle n'était jamais sortie de la gorge de son fils. Elle avait été générée par un processeur informatique, le produit d'un algorithme d'intelligence artificielle qui avait appris la voix de Doron à partir d'une courte vidéo qu'il avait publiée sur les réseaux sociaux quelques jours plus tôt.

Le scénario ci-dessus est un exemple didactique basé sur des schémas d'escroquerie courants qui se produisent aujourd'hui dans le monde et commencent à s'infiltrer en Israël. Les personnages et les événements ne servent qu'à illustrer la technologie et la manipulation émotionnelle.

L'ère nouvelle : quand nos oreilles deviennent nos ennemies

Nous sommes au seuil d'une ère où notre confiance la plus fondamentale — notre capacité à identifier nos proches par leur voix — est attaquée. Si autrefois les escroqueries reposaient sur des textes maladroits dans des e-mails ou des conversations téléphoniques d'escrocs se faisant passer pour des représentants de banque avec une voix étrangère, la prochaine génération d'escroqueries utilise la technologie de l'intelligence artificielle (IA).

La technologie du clonage de voix (Voice Cloning) a fait un bond en avant significatif. Au cours de sa carrière professionnelle, l'auteur a rencontré divers cas où l'espace numérique a été détourné à des fins malveillantes, mais il semble aujourd'hui que quelques secondes d'échantillon vocal suffisent. Une courte vidéo en ligne, un message vocal dans un groupe ou une interview — tout cela constitue des « matières premières » pour les criminels numériques. Ils alimentent un modèle d'IA avec cet échantillon, qui est ensuite capable de produire n'importe quelle phrase souhaitée, tout en conservant les caractéristiques uniques du locuteur.

Le plus grand défi dans ces types d'escroqueries est l'effondrement de nos mécanismes de défense psychologiques. Le cerveau humain est câblé pour réagir aux voix familières. Lorsque nous entendons un proche en détresse, la réaction émotionnelle immédiate peut étouffer le jugement logique qui devrait éveiller les soupçons quant à la nature de la demande.

Dans ce chapitre, dans le cadre de la présentation de l'avenir du monde des fraudes, nous analyserons les mécanismes technologiques et les options juridiques pour faire face aux escroqueries par IA. Nous examinerons les difficultés que ces cas posent au système bancaire, et comment le droit israélien, et notamment la Loi sur les services de paiement, fait face à une technologie qui évolue rapidement.

La mécanique du faux : comment fonctionne l'arnaque au Deepfake vocal

Pour comprendre la complexité juridique qui émerge ici, nous devons d'abord comprendre le processus technique. L'usurpation d'identité vocale n'est pas seulement une « imitation », mais une synthèse. Les criminels utilisent des logiciels avancés et des modèles génératifs qui produisent du texte avec la voix de la victime à un haut niveau de précision.

Ce qui rend l'escroquerie particulièrement efficace est l'« ingénierie sociale » (Social Engineering) qui l'accompagne. Dans de nombreux cas, les escrocs effectuent des recherches préalables à partir de sources ouvertes (OSINT). Ils peuvent savoir qui sont les membres de la famille, où ils voyagent et quel est leur style de langage. La précision des détails construit un mur de crédibilité difficile à abattre en temps réel.

Au cours de son travail professionnel, au fil des ans, l'avocat a entendu les explications de victimes demandant : « Comment aurions-nous pu savoir ? ». L'analyse professionnelle montre qu'avec des moyens purement humains, il est parfois presque impossible de détecter le faux en temps réel en raison du niveau de technologie et de la pression exercée sur la victime.

Un autre aspect de cette technologie est la capacité de falsifier le numéro de téléphone à partir duquel l'appel est passé (Spoofing). La combinaison d'un numéro d'identification connu et d'une voix reconnue représente un défi majeur pour tout mécanisme de prudence raisonnable.

La responsabilité juridique dans un monde d'identités falsifiées

Lorsque des fonds sont transférés à la suite d'une fraude, se pose la question de la responsabilité des établissements financiers. La loi principale applicable dans ces cas en Israël est la Loi sur les services de paiement, 5779-2019. Cette loi s'applique à une large gamme de moyens de paiement et établit un principe fondamental concernant la responsabilité en cas d'« utilisation abusive », sauf dans certains cas.

C'est ici que réside une question juridique complexe : l'escroquerie par IA est-elle considérée comme une « opération de paiement non autorisée » ?

Dans les scénarios où le client effectue physiquement l'opération en raison d'une tromperie, l'établissement financier peut arguer qu'il s'agit de l'exécution d'un ordre du client et que la responsabilité de la fraude externe ne lui incombe pas. En revanche, on peut examiner le devoir de diligence de la banque et la nécessité de mettre en place des systèmes de surveillance capables de détecter des anomalies comportementales extrêmes.

L'article 25 de la Loi sur les services de paiement traite de la responsabilité en cas d'utilisation abusive. La loi stipule que si le client a agi avec une « intention frauduleuse » ou une « négligence grave », il pourrait supporter le préjudice. La question juridique passionnante est de savoir ce qui constitue une « négligence grave » à une époque où le faux technologique est presque parfait. Le fait de se fier à la voix d'un membre de la famille constitue-t-il une telle négligence ? On peut examiner devant les tribunaux si la personne raisonnable avait un moyen de savoir qu'il s'agissait d'une fraude dans les circonstances de l'affaire.

Il est important de comprendre que dans les cas où le client est induit en erreur pour effectuer une opération (« Authorized Push Payment fraud »), la situation juridique est plus complexe qu'une fraude à la carte de crédit classique. Il faut examiner dans chaque cas si la banque a respecté ses procédures, si elle a ignoré des signes avant-coureurs, et si les systèmes de sécurité sont adaptés aux menaces modernes. Il existe une possibilité d'examiner la responsabilité juridique s'il est prouvé que l'établissement financier a failli à son devoir de gardien.

Le point de rupture : quand la technologie bat la confiance

Le préjudice causé par les fraudes par IA dépasse la simple perte financière ; il est psychologique et profond. De nombreuses victimes décrivent un sentiment de perte de confiance dans leurs sens les plus basiques. Cette crise conduit à comprendre que les méthodes de protection traditionnelles nécessitent une mise à jour.

Il existe des cas dans le monde qui illustrent l'ampleur du danger, tels que des transferts de fonds d'un montant important effectués après des appels vidéo totalement faux. Dans une telle réalité, la responsabilité juridique devient une question complexe : peut-on attribuer une faute à une personne qui a cru à une réalité qui semblait et sonnait tout à fait crédible ?

L'analyse des tendances juridiques montre que les tribunaux examinent parfois qui est le « meilleur prévendeur du dommage ». Puisque les établissements financiers disposent d'outils technologiques pour identifier des modèles atypiques, il est possible que dans certains cas, la responsabilité leur soit imputée même si l'opération a été approuvée par le client, surtout s'il s'agit d'une déviation extrême de ses habitudes.

Moyens de défense : comment se protéger dans un monde de faux ?

Étant donné que la technologie progresse rapidement, on peut envisager plusieurs outils de protection pratiques à adopter au niveau personnel et familial :

1. Mot de passe familial

Établir un mot ou une phrase secrète entre les membres de la famille peut être un outil efficace. En cas d'appel de détresse impliquant une demande financière, il est possible de demander le mot de passe qui n'est pas connu des modèles d'IA.

2. Vérification par un canal supplémentaire

En cas d'appel suspect, il est recommandé de raccrocher et de prendre contact de votre propre initiative avec la personne en question via le numéro de téléphone enregistré. Cette action contourne les tentatives de falsification de numéro (Spoofing).

3. « Vérification de signes de vie » (Liveness Check)

Lors d'appels vidéo, on peut demander à l'autre partie d'effectuer une action physique inhabituelle. Les algorithmes de Deepfake peuvent rencontrer des difficultés à traiter des mouvements brusques ou à masquer le visage en temps réel.

4. Réduction de l'exposition vocale en ligne

Il est conseillé d'être conscient que les informations vocales téléchargées sur les réseaux sociaux peuvent servir de matière première. Configurer les profils en mode privé et faire preuve de discernement dans le partage d'échantillons vocaux peuvent réduire le risque.

Aspects juridiques et conclusion

La lutte contre les fraudes par IA nécessite une mise à jour constante de l'interprétation juridique. Il existe une position professionnelle selon laquelle, à une ère de faux technologique aussi avancé, on ne peut pas s'attendre à ce que la personne raisonnable distingue toujours la réalité du faux, et par conséquent, le seuil de responsabilité imposé au client doit être réexaminé.

En parallèle, la question de la responsabilité des entreprises technologiques développant ces outils et le marquage des contenus produits par IA constitue un front juridique qui occupera largement le système dans les années à venir.

L'avenir pose de nouveaux défis à la confiance humaine. Dans le chapitre suivant, nous examinerons les impacts du Deepfake dans le domaine de la vidéo et ses conséquences juridiques.