L’IA prête la voix aux escrocs : comment se défendre contre les appels suspects

Contexte

En bref

• Une banque italienne aurait perdu 95 millions d’euros.
• Une entreprise du canton de Schwytz a perdu plusieurs millions de francs.
• Le rapport de l’UFCS concerne le premier semestre de 2026.
• La vérification doit être effectuée par un autre canal.

Faits clés

• Cas italien → 95 millions d’euros
• Cas suisse → entreprise du canton de Schwytz ; plusieurs millions de francs
• Rapport → OFCS ; premier semestre 2026
• Appels de faux fonctionnaires → baisse de 75 %
• Vols d’identité en ligne en Suisse → 2 %, 80 %, 3 %

Une fraude fondée sur l’altération d’une voix par l’intelligence artificielle aurait fait perdre 95 millions d’euros à une banque privée italienne. En Suisse, en revanche, une entreprise du canton de Schwytz a perdu plusieurs millions de francs à la suite d’appels téléphoniques qui reproduisaient la voix d’un partenaire commercial.

L’utilisation de plus en plus répandue des outils d’IA générative rendra ce type de fraude plus fréquent. Le risque concerne aussi bien les particuliers que les entreprises, surtout lorsqu’une voix connue est utilisée pour rendre crédible une demande financière ou informatique.

La voix familière n’est pas une preuve

Dans l’émission On en parle de la RTS du 8 octobre 2026, Sandy Lavorel, fondateur de FlairSafe, a présenté la vérification par un second canal comme la principale défense :

Il est recommandé de reprendre contact avec la personne par un autre canal afin de vérifier son identité, surtout si un paiement est demandé ou si l’on vous demande de communiquer un code ou de fournir un mot de passe.

Lavorel rappelle également une règle fondamentale de l’hygiène numérique : ralentir. Les escrocs jouent sur l’urgence pour pousser les victimes à agir sans réfléchir. Même lorsque la voix semble être celle d’une personne très familière, il faut éviter de prendre des décisions sous pression et vérifier la demande par un autre canal.

FlairSafe est une plateforme gratuite qui aide à repérer les arnaques en ligne. Elle ne détecte actuellement pas spécifiquement les fraudes fondées sur le clonage vocal, mais elle peut analyser le niveau de risque d’un message à partir d’une capture d’écran ou d’un texte copié-collé. Des discussions sont en cours avec plusieurs partenaires afin de développer cette fonctionnalité.

Le dernier rapport de l’Office fédéral de la cybersécurité, consacré au premier semestre 2026, signale que l’utilisation de l’IA dans les escroqueries continue d’augmenter. Les auteurs des attaques l’exploitent pour créer des contenus personnalisés et crédibles. Les employés des entreprises figurent parmi les cibles, tandis que la fraude au président utilise une voix artificielle qui imite celle d’un supérieur pour convaincre les collaborateurs d’effectuer des virements illicites.

Le matériel lié sur la Suisse signale en outre une baisse de 75 % des appels de faux fonctionnaires, après l’entrée en vigueur de nouvelles règles qui bloquent les numéros étrangers falsifiés. Dans le matériel sur les vols d’identité en ligne en Suisse, les pourcentages 2 %, 80 % et 3 % apparaissent également : il s’agit de données qui se rapportent à ce matériel lié et qui ne sont pas attribuées aux deux cas de clonage vocal décrits ici.

Details pratiques

Pourquoi la vérification doit dépasser l'appel téléphonique

La menace décrite par la source modifie la manière dont une demande doit être évaluée. Le problème ne consiste pas seulement à écouter une voix modifiée, mais à décider si une voix, à elle seule, peut confirmer l'identité de la personne qui parle. La réponse indiquée par la source est négative, même lorsque l'interlocuteur semble connu.

Familiarité et authenticité sont deux choses différentes

Un appel téléphonique peut parvenir avec le ton d'un partenaire commercial, d'un supérieur ou d'une personne familière. Cet élément rend la demande plus crédible, mais ne remplace pas la vérification par un autre canal. L'étape décisive consiste à séparer ce qui est dit au téléphone de la vérification de l'identité : l'appel téléphonique transmet la demande, le rappel sert à la contrôler.

L'urgence est l'autre élément à traiter avec prudence. Selon Sandy Lavorel, les escrocs poussent souvent la victime à agir sans réfléchir. C'est pourquoi ralentir n'est pas une simple pause, mais le moyen d'éviter que la pression ne détermine la décision. Lorsque la demande concerne un paiement, un code ou un mot de passe, la nécessité de changer de canal devient particulièrement claire.

Pour les entreprises, la procédure a une conséquence concrète sur le travail quotidien. Un employé peut recevoir un appel téléphonique attribué à un partenaire commercial ou à un supérieur hiérarchique. Dans le cas de la fraude au président, la voix artificielle est précisément utilisée pour convaincre les collaborateurs d'effectuer des virements illicites. La vérification ne devrait donc pas s'arrêter à la reconnaissance de la voix ou au rôle déclaré par l'interlocuteur.

La comparaison avant-après est nette. Avant la vérification, la demande reste une communication reçue sous pression. Après le passage à un autre canal et le rappel de la personne, l'interlocuteur doit confirmer son identité et la demande. La source ne présente pas le ton de la voix comme un outil suffisant pour effectuer ce contrôle.

FlairSafe doit également être correctement située dans la séquence. La plateforme peut analyser des captures d'écran et des textes copiés-collés, mais ne détecte pas encore spécifiquement le clonage vocal. Si l'élément principal est un appel téléphonique, la défense décrite par la source reste le ralentissement suivi de la vérification. Le cas de l'entreprise du canton de Schwytz montre pourquoi la règle concerne également les personnes qui travaillent en Suisse et pas seulement les particuliers exposés à des messages en ligne.

Points cles

Que faire lorsqu'un appel téléphonique suspect arrive

La procédure indiquée par la source peut être appliquée sans chercher à reconnaître techniquement la voix. L’objectif est d’empêcher que la pression exercée par l’appel ne se traduise immédiatement par un paiement, la communication d’un code ou la remise d’un mot de passe.

Séquence opérationnelle

1. Ralentissez. Ne prenez pas de décision pendant que votre interlocuteur insiste sur l’urgence. Cette pause permet de se soustraire à la pression que les escrocs utilisent pour pousser à agir sans réfléchir.

2. Identifiez la demande. Déterminez si l’appel vous demande un paiement, un code ou un mot de passe. Ce sont les situations pour lesquelles la source recommande de vérifier l’identité par un autre canal.

3. Changez de canal. Ne vous fiez pas automatiquement à la voix et rappelez la personne pour vérifier son identité. La vérification doit avoir lieu en dehors de l’appel reçu.

4. Appliquez la même règle aux voix familières. Le fait que l’interlocuteur semble être un partenaire commercial, un supérieur ou une personne connue ne supprime pas la nécessité de rappeler et de vérifier son identité.

5. Analysez les éventuels messages associés. Si la demande est accompagnée d’un message, vous pouvez le soumettre à FlairSafe au moyen d’une capture d’écran ou en copiant-collant le texte. La plateforme évalue le niveau de risque du message, mais ne détecte pas encore spécifiquement le clonage vocal.

La séquence pour les personnes travaillant en entreprise

Un employé qui reçoit une demande attribuée à un partenaire commercial ou à un supérieur peut appliquer les mêmes étapes avant d’agir. La source indique que les collaborateurs des entreprises sont souvent ciblés pour leur soutirer des sommes importantes ; c’est pourquoi il ne faut pas renoncer à la vérification lorsque la voix semble authentique.

Le passage à un autre canal est également ce qui distingue l’analyse du message de la confirmation de l’identité. FlairSafe peut aider à évaluer un texte ou une capture d’écran, tandis qu’un appel utilisant une voix clonée exige le rappel indiqué par Lavorel. Les discussions en cours avec plusieurs partenaires portent précisément sur le développement d’une fonction spécifique pour ce type de fraude.

La règle opérationnelle reste donc simple : ralentir, identifier ce qui est demandé, changer de canal et vérifier l’identité de la personne. C’est la procédure à appliquer même lorsque la voix semble vraiment être celle de quelqu’un que l’on connaît bien.

Source: rsi.ch