Quand l'appel vidéo n'est plus une preuve : Comment les deepfakes menacent le secteur de la cryptographie

Il fut un temps où les appels vidéo constituaient une protection supplémentaire contre les escrocs. Si vous voyiez quelqu'un en direct à l'écran, vous supposiez que vous parliez avec la vraie personne. Mais la technologie a évolué et ce qui était considéré comme sûr il y a peu ne l'est plus aujourd'hui.

Changpeng Zhao, ancien PDG de Binance, a attiré l'attention sur une nouvelle vague de fraude qui prend de l'ampleur : l'utilisation de fausses vidéos en temps réel pour cibler et compromettre les membres de la communauté cryptographique. Selon M. Zhao, même la vérification vidéo pourrait bientôt devenir inutile. Si un visage et une voix peuvent être truqués de manière convaincante, comment peut-on être sûr de l'identité de son interlocuteur ?

Loading...

Les attaques réelles ne sont plus rares

Il ne s'agit pas d'une menace hypothétique. L'influenceuse cryptographique japonaise Mai Fujimoto a perdu l'accès à ses portefeuilles Telegram et Metamask après avoir participé à un appel Zoom avec une fausse version de quelqu'un en qui elle avait confiance. Elle a été incitée à cliquer sur un lien de "mise à jour" après avoir eu du mal à entendre l'audio. Avant de rejoindre l'appel, Fujimoto n'avait pas réalisé que le compte Telegram de sa connaissance avait déjà été piraté.

"Elle m'a envoyé le lien et m'a demandé de suivre quelques étapes pour ajuster les paramètres audio, et je pense que c'est à ce moment-là que l'attaque a compromis mon ordinateur."

Les attaques Deepfake ciblent de plus en plus les employés des sociétés, des fonds et des bourses de crypto-monnaies. Dans un cas récent, des acteurs malveillants se sont fait passer pour des cadres d'un fonds de crypto-monnaie au cours de plusieurs appels Zoom, convainquant un membre du personnel d'installer le logiciel dont ils avaient besoin. Résultat : un enregistreur de frappe, un enregistreur d'écran et le vol de clés privées.

Presque tout peut être falsifié

Le problème est que le modèle traditionnel de confiance numérique ne fonctionne plus. Un visage, un nom d'utilisateur, une voix - tous ces éléments peuvent désormais être falsifiés de manière convaincante. Les algorithmes modernes de "deepfake" peuvent non seulement reproduire le ton et les expressions faciales d'une personne, mais aussi s'adapter en temps réel à ses réactions. Cela signifie que le contact visuel et audio n'est plus un indicateur fiable de l'authenticité.

Si les entreprises peuvent toujours mettre en œuvre une vérification à plusieurs niveaux - en utilisant des plateformes internes, des jetons d'accès ou des canaux de confirmation de secours - les conversations informelles et les communications personnelles reposent souvent uniquement sur la confiance. C'est précisément ce qui rend les utilisateurs vulnérables : la familiarité avec la "voix" ou le "visage" d'une personne donnait autrefois un sentiment de sécurité, mais aujourd'hui elle peut devenir un point faible.

La technologie va encore plus loin. Certains plugins peuvent désormais générer des visages hyperréalistes pendant les appels vidéo, en simulant le mouvement des yeux, le clignement des paupières et même les retards audio, le tout pour créer l'illusion d'une conversation en direct. Et cette illusion peut suffire à convaincre quelqu'un d'accorder un accès ou d'effectuer une action dangereuse sans se douter de rien.

La cyberhygiène n'est plus facultative

L'appel de M. Zhao à ne jamais installer de logiciels provenant de sources non officielles n'est plus un simple rappel général, c'est une exigence de base en matière de cyberhygiène. Dans un monde où même les appels vidéo peuvent être compromis, la seule protection efficace est la pensée critique et des protocoles de comportement numérique clairs.

Cela signifie qu'il faut éviter complètement

- d'installer des logiciels à partir de liens reçus dans des messages privés ;

- d'entrer des mots de passe ou des codes lors d'un appel vidéo ;

- de sauter un canal de confirmation secondaire (tel qu'un message séparé ou un appel via une autre plateforme).

En attendant, les entreprises doivent mettre en place des politiques internes de vérification de l'identité, même lorsque la voix semble familière, adopter des outils de surveillance du comportement et former leurs équipes à reconnaître les signes d'usurpation d'identité.

Aucune loi ne l'exige pour l'instant. Mais la réalité est là - et le coût d'une erreur ne se mesure pas seulement en fonds perdus, mais aussi en termes de réputation et de continuité des activités.