Un exercice deepfake révèle où la vérification cède face à une voix clonée, sans aucun risque réel pour l'entreprise.

Il est 16 h 40, un vendredi. La directrice financière appelle le responsable comptable. Du moins, la voix lui ressemble en tout point. Elle demande de lancer un paiement fournisseur avant le week-end, car une transaction doit se conclure. Ainsi, un exercice deepfake permet de vivre cette scène sans aucun enjeu réel. Il montre également où la vérification s’effondre.

Pourquoi un exercice deepfake s’impose

Les voix clonées et les appels vidéo synthétiques ne relèvent plus de la science-fiction. En effet, on les retrouve dans les fraudes au paiement, les réinitialisations de comptes au support informatique et les demandes d’accès. Par ailleurs, les attaquants jouent sur l’urgence. Ils exploitent aussi l’autorité apparente de l’interlocuteur.

Or, une procédure écrite ne prouve rien. Elle dit ce que les équipes devraient faire. En revanche, une simulation montre ce qu’elles font réellement sous pression. De plus, elle met au jour les raccourcis que chacun prend quand un dirigeant semble pressé.

L’objectif n’est donc pas de piéger les collaborateurs. Il s’agit de repérer les failles du processus. En aucun cas, il ne faut désigner des fautifs.

Construire le scénario de l’appel

D’abord, choisissez un cas concret et plausible. Trois situations reviennent souvent :

• une demande de virement urgent émise par un faux dirigeant ;
• un appel au support pour réinitialiser un mot de passe ou un second facteur ;
• une demande d’accès temporaire à un système sensible.

Ensuite, définissez un cadre strict. Désignez un petit groupe de pilotage au courant de l’exercice. Prévenez également la direction et les services juridiques. Précisez enfin ce qui reste interdit, par exemple un vrai transfert de fonds ou l’usage de données réelles.

Pour le rôle de l’imposteur, inutile de viser la perfection technique. Une imitation vocale correcte, avec l’accord de la personne imitée, suffit souvent. De plus, un simple appel depuis un numéro inconnu, accompagné d’un prétexte crédible, teste déjà bien les réflexes. Ensuite, vous pouvez monter en difficulté avec une vidéo synthétique.

Enfin, préparez un scénario écrit. Il doit inclure le contexte et l’objectif de l’imposteur. Il doit aussi prévoir les réponses aux questions et le moment où l’on met fin à l’exercice.

Les points de rupture à observer

Pendant la simulation, notez chaque décision. Ainsi, quelques questions guident l’observation :

1. La personne appelée applique-t-elle une vérification indépendante ?
2. Rappelle-t-elle l’interlocuteur sur un numéro déjà connu, et non sur celui qui s’affiche ?
3. Ose-t-elle refuser, même face à un supérieur supposé ?
4. Sait-elle à qui signaler l’incident, et à quelle vitesse ?

Les résultats sont souvent instructifs. Par exemple, le support informatique peut exiger une preuve d’identité stricte. En revanche, la comptabilité cède dès qu’on invoque l’urgence. Par conséquent, un maillon faible suffit à contourner l’ensemble.

Observez également les failles du processus lui-même. Par exemple, une procédure de rappel peut être impossible à appliquer un vendredi soir. De même, une validation à deux personnes perd son sens si les deux valideurs se fient au même appel. Autrement dit, le problème vient parfois de l’organisation plus que des individus.

Ce qu’il faut retenir de l’exercice deepfake

Une fois la simulation terminée, organisez rapidement un débriefing. Expliquez d’abord le scénario, puis montrez les moments clés. Valorisez ensuite les bons réflexes. Toutefois, évitez toute forme de sanction. En effet, si les participants craignent le blâme, ils cacheront les incidents réels.

Voici les mesures à mettre en place en priorité :

• Vérification hors canal : confirmez toute demande sensible par un second moyen de communication, déjà connu et fiable.
• Double validation : exigez deux personnes pour les paiements et les changements de coordonnées bancaires, avec des canaux distincts.
• Support informatique : imposez un protocole strict avant toute réinitialisation d’accès, sans exception pour les cadres.
• Droit de refuser : affirmez clairement que personne ne sera sanctionné pour avoir pris le temps de vérifier.
• Signalement rapide : prévoyez un point de contact unique pour alerter en cas d’appel suspect.

Enfin, répétez l’exercice régulièrement. En effet, les voix synthétiques progressent vite, et les équipes changent. Par conséquent, un test annuel, avec des scénarios renouvelés, maintient la vigilance à un bon niveau. Ainsi, quand l’appel frauduleux arrivera vraiment, vos équipes auront déjà vécu la situation. Elles sauront donc comment réagir.

Source : How to Run a Deepfake Readiness Drill Before a Cloned Voice Calls Your Team