Une arnaque sur mobile peut désormais être générée, personnalisée et envoyée à grande échelle en quelques minutes. À Singapour, la police a reçu en moyenne 90 signalements d’arnaques par jour au premier semestre 2026, pour environ 2 millions de dollars singapouriens de pertes quotidiennes.
La réponse ne repose pourtant pas uniquement sur un nouveau logiciel. La méthode la plus fiable combine l’analyse des signaux par l’IA, la vérification indépendante de l’interlocuteur et un délai volontaire avant tout paiement ou partage d’information. Le modèle développé par GovTech et Google DeepMind montre aussi une évolution importante : la détection peut s’effectuer directement sur le téléphone, sans envoyer les conversations vers un serveur distant.
Pourquoi les arnaques mobiles deviennent plus difficiles à repérer
Les escrocs ne se contentent plus de messages grossiers ou de liens manifestement suspects. Ils imitent les banques, les administrations, les recruteurs et les proches, puis utilisent l’urgence pour empêcher la victime de vérifier l’information.
À Singapour, plus de la moitié des crimes signalés impliquent une forme d’ingénierie sociale sophistiquée, selon Google DeepMind. Le principe consiste à influencer le comportement de la victime plutôt qu’à exploiter uniquement une faille technique.
Un message peut ainsi sembler crédible tout en cumulant plusieurs signaux :
- une identité connue ou une institution reconnue ;
- une demande urgente de paiement, de code ou de connexion ;
- une menace de blocage de compte ou de sanction ;
- un lien qui dirige vers une page imitée ;
- une demande de poursuivre la conversation sur WhatsApp, Telegram ou une autre messagerie ;
- une promesse de rémunération rapide ou d’accès privilégié.
L’IA est utile parce qu’elle peut examiner plusieurs indices simultanément. Elle peut repérer une formulation manipulatrice, comparer le contenu à des schémas d’arnaques connus et détecter une incohérence entre le discours et la demande formulée.
Elle ne remplace toutefois pas la vérification humaine. Un message légitime peut contenir une urgence réelle, tandis qu’une arnaque peut éviter les formulations les plus évidentes. L’alerte doit donc être considérée comme un signal d’arrêt, pas comme une preuve définitive.
La méthode en six étapes pour analyser un message suspect
La bonne méthode commence par le comportement demandé, pas par l’identité affichée dans l’application.
1. Suspendre l’action
Ne cliquez pas sur le lien, ne répondez pas et n’appelez pas le numéro présent dans le message. Cette pause évite de fournir un nouvel élément à l’escroc et laisse le temps de contrôler l’information.
Une demande urgente est précisément conçue pour réduire ce temps de réflexion. Le simple fait de ralentir l’échange diminue l’efficacité de cette pression psychologique.
2. Isoler la demande
Résumez le message en une phrase : « Cette personne me demande-t-elle de payer, de transmettre un code, d’installer une application ou de communiquer un secret ? »
Les demandes les plus sensibles concernent notamment :
- les mots de passe ;
- les codes de validation reçus par SMS ;
- les données bancaires ;
- les copies de pièces d’identité ;
- l’installation d’un logiciel de prise en main à distance ;
- les virements vers un nouveau bénéficiaire ;
- les transferts de cryptomonnaies ou de cartes-cadeaux.
Une banque, une administration ou un support technique ne doit pas être considéré comme authentique uniquement parce que le message utilise son logo ou son nom.
3. Examiner le langage
L’IA peut être interrogée avec une consigne simple : Analyse ce message comme un signalement de fraude. Identifie l’identité revendiquée, l’action demandée, les indices de pression, les informations sensibles sollicitées et les éléments à vérifier indépendamment.
Le résultat doit rester une aide à l’analyse. Ne copiez pas de données personnelles, de codes ou de documents confidentiels dans un service d’IA grand public. Remplacez les noms, numéros, adresses et références de compte par des marqueurs neutres.
Les indices linguistiques les plus utiles sont les suivants :
- une échéance très courte ;
- une menace ou une récompense disproportionnée ;
- une demande de secret ;
- une volonté d’empêcher la consultation d’un proche ou de la banque ;
- une explication confuse autour du paiement ;
- un changement soudain de ton ou de canal ;
- une demande inhabituelle venant d’un contact connu.
4. Vérifier par un autre canal
Utilisez le site officiel, l’application officielle ou un numéro déjà enregistré. Ne reprenez pas les coordonnées du message suspect.
Pour un proche, appelez le numéro habituel ou posez une question personnelle que l’escroc ne peut pas déduire de la conversation. Pour une entreprise, saisissez manuellement l’adresse de son site dans le navigateur plutôt que de suivre le lien reçu.
5. Inspecter le lien sans l’ouvrir
Un nom de domaine qui ressemble à celui d’une banque ne garantit pas son authenticité. Les escrocs utilisent des variantes orthographiques, des sous-domaines trompeurs et des raccourcisseurs d’URL.
Copiez le lien uniquement dans un outil de vérification reconnu, lorsque celui-ci permet l’analyse sans navigation directe. À Singapour, le service ScamShield propose notamment un dispositif de vérification des liens via WhatsApp, ainsi qu’un filtrage des appels et des SMS suspects.
6. Signaler et sécuriser
Signalez le compte, le numéro ou le message dans l’application concernée. Si une information bancaire a été communiquée, contactez immédiatement la banque par son canal officiel. Si un mot de passe a été saisi, modifiez-le depuis le site ou l’application légitime et activez l’authentification multifacteur lorsque cette option existe.
Un signalement ne récupère pas automatiquement l’argent perdu, mais il peut contribuer à faire bloquer un numéro, un compte ou un site utilisé contre d’autres victimes.
Ce que le modèle de GovTech et Google DeepMind apporte
Le projet présenté à la Singapore International Cyber Week 2026 applique la détection directement sur l’appareil. GovTech et Google DeepMind ont affiné un modèle léger Gemma sur des données locales anonymisées issues de signalements et de flux de renseignement sur les arnaques.
Le système fonctionne en deux étapes :
- un classificateur léger examine les messages entrants avec une consommation limitée ;
- un modèle Gemma analyse davantage de contexte lorsqu’un premier signal indique une menace potentielle.
Cette architecture évite de mobiliser en permanence un modèle plus lourd. Elle vise à limiter la consommation d’énergie tout en conservant une analyse contextuelle lorsque le risque paraît plus élevé.
Lorsque des schémas conversationnels manipulateurs sont détectés, une alerte en temps réel invite l’utilisateur à s’arrêter avant de partager des informations sensibles ou de transférer des fonds.
Le traitement local répond aussi à une difficulté propre aux messageries chiffrées. Les alertes peuvent être produites sans inspection des conversations par un serveur distant. Google DeepMind indique que le modèle n’accède aux conversations qu’avec le consentement de l’utilisateur et que ni l’entreprise ni le gouvernement singapourien ne peuvent consulter les conversations via son déploiement.
| Élément | Fonction | Bénéfice attendu |
|---|---|---|
| Traitement sur l’appareil | Analyse locale des conversations | Les messages restent sur le téléphone |
| Classificateur léger | Premier filtrage des messages | Consommation d’énergie réduite |
| Modèle Gemma affiné | Analyse d’un contexte plus large | Détection des tactiques locales |
| Alerte en temps réel | Signalement avant une action sensible | Délai pour vérifier la demande |
| Données anonymisées | Entraînement sur des signalements et renseignements | Réduction de l’exposition des données personnelles |
Le projet est présenté comme intégrable par des plateformes de messagerie et des fabricants de systèmes d’exploitation. Son intérêt dépasse donc une seule application : l’analyse pourrait être intégrée à plusieurs couches du téléphone, sous réserve du consentement de l’utilisateur et des choix des éditeurs.
Comment distinguer une alerte IA utile d’un faux positif
Une alerte ne signifie pas nécessairement que l’expéditeur est un escroc. Elle signale généralement qu’un échange ressemble à une tactique connue ou qu’il comporte un niveau de risque inhabituel.
Trois vérifications permettent de décider de la suite :
- l’identité peut-elle être confirmée sur un canal indépendant ?
- la demande implique-t-elle un paiement ou une information secrète ?
- l’interlocuteur accepte-t-il que vous preniez le temps de vérifier ?
Le dernier critère est particulièrement révélateur. Un interlocuteur légitime peut comprendre qu’un paiement ou une modification de compte nécessite un contrôle. Un escroc cherche souvent à maintenir la pression, à isoler la victime et à empêcher toute consultation extérieure.
Les faux positifs sont également possibles dans les conversations réelles : achat d’un véhicule, recrutement, livraison, changement de coordonnées bancaires ou urgence familiale. Dans ces cas, l’alerte doit déclencher une vérification, pas une accusation automatique.
À retenir : une alerte IA est un feu orange. Elle impose une pause et une vérification indépendante, mais ne permet pas à elle seule de rendre un verdict définitif.
Les limites de l’IA face aux nouvelles arnaques
Les modèles détectent plus facilement les schémas déjà observés que les techniques inédites. Un escroc peut modifier son vocabulaire, utiliser une image au lieu d’un texte ou déplacer la conversation vers un autre canal.
La détection peut aussi être moins efficace lorsque l’échange contient peu de contexte. Un simple « Bonjour, c’est urgent, rappelle-moi » ne donne pas assez d’éléments pour évaluer l’intention. Le risque augmente ensuite si l’utilisateur répond et révèle des informations personnelles.
Les contenus multimédias ajoutent une difficulté. Les voix clonées, les images retouchées et les vidéos truquées peuvent renforcer une fausse identité, mais leur présence ne prouve pas davantage l’authenticité du message. Une voix familière peut être imitée et une image officielle peut être copiée.
La confidentialité constitue une autre limite pratique. Une IA distante peut offrir une analyse plus puissante, mais l’envoi d’une conversation complète à un serveur crée une nouvelle question de protection des données. Le traitement local réduit cette exposition, au prix de contraintes de calcul et de stockage sur le téléphone.
Enfin, les performances annoncées pour un outil ne doivent pas être extrapolées à tous les appareils ou toutes les langues. Un modèle ajusté aux tactiques singapouriennes peut être moins pertinent pour des campagnes visant la France, la Belgique, la Suisse ou le Canada.
Les protections à activer sur votre téléphone
L’IA fonctionne mieux lorsqu’elle complète les protections déjà présentes sur l’appareil et dans les applications.
- Activez les mises à jour automatiques du système et des applications.
- Utilisez un verrouillage d’écran robuste et l’authentification biométrique lorsque cela convient.
- Activez l’authentification multifacteur sur les comptes importants.
- Refusez l’installation d’applications provenant de sources inconnues.
- Vérifiez les permissions accordées aux applications, notamment l’accès aux SMS, aux contacts et à l’accessibilité.
- Désactivez les notifications qui affichent des codes sensibles sur l’écran verrouillé.
- Conservez les coordonnées officielles de la banque et des proches dans le carnet d’adresses.
- Utilisez les fonctions de signalement intégrées aux applications de messagerie.
Les outils anti-arnaques doivent être évalués sur leur fonctionnement concret : données traitées, accès demandé, possibilité de désactivation, méthode de signalement et présence d’une analyse locale. Une application qui promet de détecter toutes les fraudes ne peut pas être considérée comme fiable sur cette seule promesse.
Que faire après un clic ou un paiement
La réaction doit être immédiate, mais elle ne doit pas aggraver la situation. Ne négociez pas avec l’escroc et ne versez pas un second paiement présenté comme nécessaire pour récupérer le premier.
Si un lien a été ouvert sans saisie d’information, fermez la page, supprimez les téléchargements éventuels et lancez une vérification de sécurité. Si une application a été installée, désinstallez-la et contrôlez les permissions accordées.
Si un identifiant ou un mot de passe a été transmis, changez-le depuis le service officiel, puis déconnectez les sessions inconnues. Si un code bancaire ou une donnée de carte a été partagé, contactez l’établissement financier sans attendre.
Conservez les captures d’écran, les numéros, les adresses de portefeuille, les références de transaction et les horaires. Ces éléments facilitent le signalement auprès de la banque, de la plateforme et des autorités compétentes.
La rapidité compte, mais la récupération n’est jamais garantie. L’objectif prioritaire consiste à empêcher l’accès aux comptes, à bloquer les opérations en cours et à limiter la réutilisation des informations dérobées.
Notre avis : l’IA doit devenir un frein, pas un arbitre
La meilleure contribution de l’IA contre les arnaques mobiles n’est pas de promettre une détection parfaite. C’est d’introduire un moment de doute au moment précis où l’escroc veut provoquer une action irréversible.
Le modèle local présenté par GovTech et Google DeepMind va dans la bonne direction : analyse sur l’appareil, données d’entraînement anonymisées, traitement en deux étapes et alerte avant le partage d’informations ou l’envoi d’argent. Cette approche répond simultanément aux deux exigences les plus difficiles, l’efficacité opérationnelle et la confidentialité des conversations.
Dans les six prochains mois, la question décisive ne sera pas seulement la précision des modèles. Elle portera aussi sur leur intégration dans les messageries, le contrôle laissé aux utilisateurs, la capacité à couvrir plusieurs langues et la transparence des alertes.
Pour les utilisateurs, la règle reste simple : toute demande urgente d’argent, de code ou d’accès doit être vérifiée par un canal indépendant, même si le message semble parfaitement authentique. Si les smartphones savent bientôt reconnaître les tactiques de manipulation, sauront-ils aussi expliquer clairement pourquoi ils demandent à l’utilisateur de s’arrêter ?