Faux dirigeant en visio : les réflexes qui vous sauvent

Le faux dirigeant en visio et même le faux directeur financier qui ordonne un virement en visioconférence n’est plus un scénario de cinéma. Les outils savent modifier un visage en temps réel, pendant l’appel, et l’interlocuteur trompé n’a ni bandeau d’alerte ni filigrane pour l’aider. Le laboratoire d’innovation de la CNIL travaille avec un pôle d’expertise public sur une question très concrète : quels gestes un humain ordinaire peut-il faire, pendant la conversation, pour démasquer un trucage.

Qu’est-ce qui a changé récemment ?

La nature du risque, pas la technique. Les premiers travaux avaient déjà alerté sur la facilité d’accès : générer une vidéo truquée crédible ne demande plus ni compétences rares ni matériel coûteux.

L’étape franchie est celle du direct. La modification s’opère pendant l’appel, ce qui ouvre la voie aux hypertrucages déployés en visioconférence. La victime ne regarde plus une vidéo suspecte publiée quelque part, elle dialogue avec ce qu’elle croit être son dirigeant, son banquier ou son collègue.

Ce déplacement neutralise l’essentiel des défenses existantes. Les outils de détection travaillent sur des fichiers, après coup. Ici, la décision se prend en trois minutes, sous pression, avec un visage familier à l’écran. C’est une variante plus redoutable de l’usurpation d’identité classique.

Que cherche exactement l’étude en cours ?

Deux réponses opérationnelles, et c’est ce qui la rend intéressante. D’abord, quels indices visuels un être humain doit surveiller pour détecter un trucage avec un niveau de fiabilité élevé. Ensuite, quelles procédures ou quels gestes demander à l’interlocuteur pendant la communication pour établir qu’il est bien réel.

L’ambition n’est pas de produire un détecteur logiciel supplémentaire, mais des contre-mesures utilisables sans outillage, par n’importe quel salarié. La publication des résultats est à surveiller dans les prochains mois.

Détail que les délégués apprécieront : l’autorité applique à son propre projet la transparence qu’elle exige des autres. Elle publie les bases d’images utilisées avec leur source, leur licence et les modalités d’exercice des droits, désigne un point de contact, rattache le traitement à ses missions et limite l’accès aux seules équipes de l’étude.

Que dit le droit pénal sur les hypertrucages ?

Les montants méritent d’être connus, parce qu’ils sont souvent sous-estimés en interne.

La règle s’applique explicitement aux trucages générés par algorithme. Autrement dit, le montage partagé pour rire dans un groupe interne coche déjà les cases du délit. Le sujet rejoint celui du marquage des contenus générés par IA, désormais exigible côté règlement européen.

Quels réflexes mettre en place dès maintenant ?

Sans attendre les résultats de l’étude, quelques règles simples couvrent l’essentiel du risque financier.

• Ne jamais valider un virement sur la seule base d’un appel, quel que soit le visage à l’écran.
• Rappeler systématiquement sur un numéro connu et enregistré, jamais sur celui fourni pendant l’échange.
• Poser une question dont la réponse n’est pas publique et ne figure pas dans les outils partagés.
• Demander un geste à l’écran, un mouvement latéral de la tête ou un objet passé devant le visage.
• Appliquer un délai de latence sur toute demande urgente : l’urgence est le principal outil de l’attaquant.
• Autoriser explicitement le refus : un salarié qui raccroche pour vérifier ne doit jamais être sanctionné.

La dernière ligne est la plus importante et la moins coûteuse. Une procédure parfaite échoue si celui qui doute craint de contrarier un dirigeant. C’est le même mécanisme que celui décrit dans notre analyse des vidéos truquées circulant sur les réseaux professionnels.

Le point faible n’est jamais la règle, c’est de prouver qu’elle a été diffusée, comprise et appliquée le jour de l’incident. DPO SUITE relie les procédures de vérification aux traitements qu’elles protègent, avec leur date de diffusion, ce qui distingue la mesure vivante de la note oubliée dans un dossier partagé.

Faut-il modifier les procédures internes ?

Oui, et le parallèle historique est éclairant. La double validation des virements est devenue un standard après la vague de fraudes au dirigeant par courriel. Les procédures de vérification d’identité en visioconférence suivront le même chemin.

Les documenter maintenant, avant qu’un incident ne l’impose, coûte quelques heures. Les documenter après coûte le montant du virement, plus la gestion de crise, plus la démonstration devant l’autorité que des mesures appropriées existaient. Ce raisonnement rejoint celui de la vérification d’identité appliquée aux autres canaux.

Un point d’attention pour les délégués : ces procédures relèvent des mesures organisationnelles de l’article 32. Elles doivent donc figurer quelque part de vérifiable, pas seulement dans la pratique des équipes.

FAQ

Les outils de visioconférence détectent-ils les trucages ?

Certains proposent des indicateurs, mais aucun ne constitue une garantie exploitable aujourd’hui. La détection automatique progresse moins vite que la génération, et un attaquant testera son montage contre les détecteurs disponibles avant de l’utiliser. La vérification humaine par canal alternatif reste la mesure la plus fiable.

Une demande de virement par visio doit-elle être interdite ?

L’interdire est plus simple à tenir qu’à nuancer. Le canal peut servir à expliquer une opération, jamais à l’autoriser. L’autorisation doit passer par un circuit distinct, avec double validation et rappel sur un numéro enregistré, indépendamment de la conviction personnelle du collaborateur sollicité.

Un hypertrucage constitue-t-il une violation de données ?

Le trucage lui même utilise l’image d’une personne, donc une donnée personnelle, ce qui pose la question de la licéité et relève aussi du droit pénal. Si l’attaque aboutit à une divulgation ou une modification de données de l’organisme, une violation distincte doit être qualifiée et traitée comme telle.

Faut-il former tous les salariés ou seulement la finance ?

La finance en priorité, mais pas exclusivement. Les demandes visent aussi les ressources humaines, pour obtenir des coordonnées bancaires ou des données de paie, et les services techniques, pour obtenir un accès. Une sensibilisation courte et générale, complétée d’un module approfondi pour les fonctions exposées, donne le meilleur résultat.

Que faire immédiatement après une tentative ?

Conserver la trace de l’appel, l’horaire, l’identifiant utilisé et les échanges associés, puis alerter le référent sécurité et le délégué. Une tentative échouée reste un signal précieux : elle indique que l’organisme est ciblé et que les informations nécessaires à l’attaque ont déjà été rassemblées quelque part.