L’IA et sa régulation t’intéressent ?
Lois, cadres et décisions qui façonnent l’IA, décryptés en français. Gratuit.
Inclus dès l'inscription : notre sélection des meilleurs guides & comparatifs IA.
Choisis ton rythme
Gratuit · Pas de spam · Désabonnement en 1 clic
Les détecteurs automatisés ne suffisent plus face aux deepfakes. Après un appel vidéo contrefait ayant conduit Arup à 15 virements pour environ 25 millions de dollars, des experts recommandent aux entreprises d'adopter des clés matérielles et des passphrases. Leur efficacité dépend d'une application systématique et de leur combinaison avec d'autres contrôles, comme des rappels hors bande et une autorisation duale.
Pour les opérations à enjeu, une passphrase ne suffit pas
Pour les transactions de grande valeur dans les grandes entreprises, une passphrase verbale seule ne suffit pas à garantir la sécurité. Il est nécessaire de la compléter par d'autres mesures, telles que des rappels effectués via un canal indépendant et une validation par deux personnes, pour assurer une authentification solide. La CISA préconise en outre l'adoption d'identifiants matériels FIDO2 et PIV comme nouvelle référence pour l'authentification multi-facteurs. Il est également recommandé d’associer systématiquement les passphrases à d’autres dispositifs de sécurité. Rendre ces vérifications automatiques et sans exception est recommandé, car les attaquants cherchent souvent à créer un sentiment d'urgence ou de pression sociale.
Arup : 15 virements et environ 25 M$ après un appel contrefait
En janvier 2024, un employé d'Arup a participé à un appel vidéo avec une personne qu'il pensait être le directeur financier de l'entreprise. À la suite de cet échange, 15 virements ont été réalisés vers des comptes tiers, pour un total d'environ 25 millions de dollars. Les interlocuteurs de l'autre côté de l'appel étaient des clones générés par IA, assemblés à partir d'apparitions publiques et d'appels de résultats des dirigeants d'Arup.
Les soupçons à l'œil et à l'oreille ne tiennent plus
Voir et entendre un interlocuteur ne constitue plus une preuve d'authenticité, et tout protocole fondé sur la reconnaissance du visage et de la voix est désormais considéré comme obsolète par Deepak Gupta. Depuis cinq ans, l'utilisation des appels vidéo et audio en direct comme standard de vérification d'identité a été fragilisée par les deepfakes. Les indices autrefois utiles, comme les bruits de fond, certaines modulations vocales synthétiques ou l'absence de respiration, ne suffisent plus. Des chercheurs de l'University College London indiquent que les auditeurs n'identifient correctement des deepfakes que 73 % du temps. La NSA, le FBI et la CISA écartent également les détections automatisées traditionnelles, qui reposent sur la présence de traces statistiques de manipulation, ce qui n'est plus garanti aujourd'hui.
Procédures prônées : clés matérielles et mots de passe oraux
Des spécialistes de la fraude encouragent l’emploi de clés de sécurité physiques et de passphrases orales, en suivant les recommandations d’agences gouvernementales. La CISA met en avant les identifiants matériels FIDO2 et PIV comme nouvelle référence pour l’authentification multi-facteurs. Une passphrase verbale consiste en un mot ou une phrase secrète partagée et vérifiée en direct lors d'un appel, en demandant à l'interlocuteur de l'énoncer. Deepak Gupta souligne l'efficacité des solutions analogiques reposant sur un point d'entrée contrôlé unique et rappelle que la défense contre les attaques d'IA les plus avancées est souvent volontairement low-tech. Les deepfakes sont performants pour reproduire des apparences et des voix publiques, mais restent inefficaces face à ce qui n'est pas accessible publiquement.
Application sans exception et règles de génération
Les passphrases ne sont efficaces que si elles sont appliquées de façon cohérente par l'ensemble de l'organisation. Selon l'expérience de Deepak Gupta, des employés omettent parfois les vérifications de sécurité lorsqu'ils se sentent intimidés. Scobey recommande de rendre ces contrôles automatiques et sans dérogation, et de simuler des appels de deepfake ou de phishing vocal dans la formation à la sécurité. Il préconise de générer les passphrases aléatoirement plutôt que manuellement, d'utiliser des mots non liés séparés par des chiffres et des symboles, de distinguer les passphrases selon les rôles et les transactions, et de les réinitialiser périodiquement sans calendrier fixe. Ces passphrases doivent être combinées à d'autres protocoles de sécurité. Dans ce contexte où des employés manipulent des montants importants, les erreurs peuvent coûter cher, et la perte de confiance ou les amendes de conformité peuvent mettre en difficulté une entreprise rentable.
