Voix clonées et vishing : de l'appel deepfake d'Arup au mot de code familial
Au téléphone, la voix d'une personne tenait lieu de preuve d'identité. Les outils bon marché de clonage vocal ont discrètement mis fin à cette supposition. Un fraudeur disposant de quelques secondes d'audio — un extrait de podcast, une annonce de messagerie vocale, une vidéo publiée en ligne — peut produire une parole que proches, collègues et téléconseillers ne distinguent pas de manière fiable de l'original. La technique alimente le vishing — hameçonnage vocal — et en 2026, les victimes d'entreprise et de famille sont documentées, tout comme les recherches montrant pourquoi les auditeurs humains et certains contrôles automatisés laissent passer les faux.
L'appel vidéo à 200 millions de HK$
L'affaire qui a fait passer le clonage vocal de la curiosité au risque de conseil d'administration s'est déroulée à Hong Kong en janvier 2024. Un employé des finances d'une multinationale a reçu un message censé venir du directeur financier de l'entreprise, basé au Royaume-Uni, décrivant une transaction secrète. Il a soupçonné du phishing, jusqu'à rejoindre une visioconférence où le directeur financier et plusieurs collègues qu'il reconnaissait apparaissaient à l'écran. Selon la police de Hong Kong, tous les participants étaient des deepfakes. L'employé a effectué 15 virements totalisant 200 millions de HK$ — environ 25,6 millions de US$ — vers cinq comptes bancaires locaux ; la fraude n'a éclaté que lorsqu'il a vérifié auprès du siège. Comme l'a résumé le superintendant principal Baron Chan :Lors de la visioconférence à plusieurs, il s'est avéré que tout le monde [qu'il voyait] était faux.Le bureau d'ingénierie Arup a ensuite été identifié comme la victime et a confirmé l'incident en mai 2024, indiquant avoir alerté la police au début de l'année et que sa stabilité financière, ses opérations et ses systèmes internes n'avaient pas été affectés. Son directeur des systèmes d'information, Rob Greig, a noté que les attaques incluant fraude à la facture, phishing, usurpation de voix sur WhatsApp et deepfakes avaient fortement gagné en sophistication. La police a classé l'affaire comme obtention de biens par tromperie ; aucune arrestation n'avait été annoncée à ce stade.
Urgences familiales avec une voix familière
La même technique s'applique aux foyers ordinaires. La FTC américaine l'a signalé dès mars 2023 : dans l'arnaque classique au « petit-enfant » — un appel d'un proche qui aurait eu un accident de voiture et serait en prison — l'appelant peut désormais être un clone. Tout ce dont le fraudeur a besoin, écrit l'agence, c'est d'un court extrait audio de la voix d'un membre de la famille, pris dans du contenu publié en ligne. Le conseil de la FTC est procédural : raccrocher, rappeler la personne sur un numéro dont on sait qu'il est le sien, vérifier auprès d'un autre proche, et traiter comme signaux d'alerte les demandes de virement, d'envoi de cryptomonnaies ou d'achat de cartes cadeaux. Des cas européens montrent le même schéma contre d'autres types de cibles. En Italie, une femme âgée a été fraudée de 30 000 € lors d'un appel utilisant ce qui ressemblait à la voix de sa fille, selon le reportage du Guardian de février 2025. Le même mois, les procureurs de Milan ont reçu des plaintes de figures d'affaires de premier plan — dont des collaborateurs de Giorgio Armani et le président du conseil de surveillance de Prada, Patrizio Bertelli — après que des fraudeurs ont cloné la voix du ministre de la Défense Guido Crosetto et les ont appelés, prétendument pour réunir une rançon de journalistes enlevés, avec un remboursement promis par la Banque d'Italie. Au moins une victime a viré un total d'1 million d'€ vers un compte à Hong Kong.Pourquoi les oreilles — et certains contrôles — échouent
Les auditeurs humains sont une faible ligne de défense. Le rapport 2025 Voice Intelligence & Security de Pindrop, fondé sur l'analyse de plus de 1,2 milliard d'appels clients, a recensé une hausse de plus de 1 300 % des tentatives de fraude par deepfake dans les centres de contact en 2024 — d'une moyenne d'une tentative par mois à sept par jour — ainsi qu'une hausse de 173 % des appels à voix synthétique entre le premier et le dernier trimestre de l'année. Les attaques par voix synthétique contre les banques ont progressé de 149 %, et le rapport projette que les centres de contact pourraient faire face à une exposition à la fraude d'environ 44,5 milliards de US$ en 2025. La vérification biométrique n'est pas une panacée non plus : la police de Hong Kong a indiqué que des deepfakes ont été utilisés au moins 20 fois dans des fraudes connexes pour déjouer des contrôles de reconnaissance faciale imitant les titulaires de cartes d'identité. Les contrôles basés sur la voix affrontent le même problème : un clone est une version synthétique du signal réel, et l'audio téléphonique court et de faible qualité rend la détection automatisée plus difficile, pas plus facile. Les fournisseurs de détection progressent, mais le côté appelant de la course est lui aussi industrialisé, et le volume, selon les propres chiffres de Pindrop, croît plus vite que les filtres.Ce qui fonctionne encore
Face aux limites de la détection, les défenses qui tiennent sont procédurales. Les suggestions sous l'alerte de la FTC comprenaient des mots de code familiaux — une phrase convenue hors ligne que tout véritable appel d'urgence doit inclure — et des questions de vérification auxquelles seul le véritable proche pourrait répondre, tout en sachant que de tels détails peuvent fuiter via les réseaux sociaux. La discipline du rappel sur un numéro connu, composé indépendamment, reste l'étape la plus fiable, car elle sort le canal de l'attaquant de la boucle :- Convenir d'un mot de code familial pour les urgences, et l'utiliser.
- Raccrocher et rappeler sur un numéro que l'on possède déjà — pas sur un numéro fourni par l'appelant.
- Traiter l'urgence, le secret et les moyens de paiement inhabituels — virements, crypto, cartes cadeaux — comme la signature de l'arnaque, non comme un détail.
- Limiter les échantillons de voix propres publiés dans les annonces de messagerie vocale et les vidéos publiques.