Deepfakes et arnaques dopées à l’IA : la facture explose, la riposte tâtonne

Le 27 avril 2025 ^[1], la Banque de France ^[2] et l’Autorité de contrôle prudentiel et de résolution ^[3] ont publié une alerte conjointe. Des fraudeurs diffusent des vidéos truquées de François Villeroy de Galhau, gouverneur de la Banque de France ^[4], et d’Emmanuelle Assouan, dans lesquelles les deux dirigeants vantent prétendument des placements miracles ^[5]. « Les fraudeurs exploitent l’intelligence artificielle pour concevoir des deepfakes en usurpant l’image des dirigeants des deux institutions » ^[6], révèle le document officiel. Le rappel est sec: « jamais un dirigeant de la Banque de France ou de l’ACPR ne recommandera un site ou un produit financier particulier » ^[7].

Cette alerte n’est pas un cas isolé. C’est le symptôme d’une bascule industrielle. Selon une étude de la société Sumsub ^[8], spécialiste de la vérification d’identité, les tentatives de fraude impliquant des deepfakes ont augmenté de 700 % en France entre le premier trimestre 2024 et celui de 2025 ^[9]. Les faux documents générés par IA, dits « synthétiques », progressent de 281 % sur la même période ^[10]. À l’échelle mondiale, la hausse est également de 700 % ^[11].

L’arnaque à 25 millions de dollars qui a sidéré les enquêteurs

Le scénario tient en une visioconférence. Un employé d’une multinationale basée à Hong Kong ^[12] reçoit un mail d’invitation de son directeur financier basé au Royaume-Uni ^[13]. Il flaire d’abord un phishing, puis se connecte. Sur son écran, ses collègues. Visages familiers, voix reconnues. La réunion s’enchaîne. À la fin, il exécute quinze transactions ^[14] sur cinq comptes bancaires différents ^[15]: 200 millions de dollars de Hong Kong, soit 25 millions de dollars américains ^[16].

Tous les participants à la visioconférence, à l’exception de l’employé, étaient des deepfakes générés par intelligence artificielle ^[17]. « Durant cette vidéoconférence à plusieurs personnes, il s’est avéré que toutes les personnes à part lui étaient fausses, mais semblaient plus vraies que nature » ^[18], a déclaré Baron Chan Shun-ching, surintendant principal à Hong Kong ^[19]. Les escrocs avaient téléchargé pendant des mois des vidéos de salariés de la multinationale, d’anciennes conférences accessibles via YouTube ^[20]. Tout était préenregistré ^[21]. L’employé a découvert l’arnaque une semaine plus tard en appelant ses vrais collègues à Londres ^[22]. Aucune arrestation n’a été annoncée ^[23].

Le précédent existait déjà. En 2019, le dirigeant d’une entreprise britannique filiale d’un groupe allemand avait transféré 220 000 euros ^[24] en Hongrie après un appel téléphonique frauduleux utilisant un deepfake vocal de son patron ^[25]. Aucune des sources consultées ne mentionne une condamnation des auteurs de cette fraude pionnière, ni l’émergence d’une jurisprudence française spécifique aux escroqueries par deepfake. Cinq ans plus tard, la sophistication a changé d’échelle.

Anne, 53 ans, et le faux Brad Pitt

L’industrie ne vise pas que les multinationales. En février 2023 ^[26], Anne, 53 ans ^[27], décoratrice d’intérieur ^[28], est contactée sur Instagram par une personne se présentant comme Jane Etta Pitt, la mère de Brad Pitt ^[29]. Celle-ci affirme voir en elle la compagne idéale pour son fils ^[30]. Le faux Brad Pitt enchaîne: « Ma mère m’a beaucoup parlé de toi » ^[31].

Suivent les demandes d’argent. D’abord 9 000 euros de droits de douane ^[32], justifiés par des comptes bloqués à cause du procès avec Angelina Jolie ^[33]. Puis un cancer du rein, et un virement nécessaire pour financer le traitement ^[34]. Anne vire vers un compte la quasi-totalité de sa prestation compensatoire perçue lors de son divorce, soit 775 000 euros ^[35]. L’arnaque dure un an et demi ^[36], jusqu’à ce que le vrai Brad Pitt officialise une autre relation dans les médias ^[37].

Bilan: 830 000 euros perdus ^[38], trois tentatives de suicide ^[39], une hospitalisation pour dépression sévère ^[40], la maison et les meubles vendus ^[41]. Anne est désormais hébergée chez une amie sur l’île de La Réunion ^[42]. Marwan Ouarab, fondateur du site Find My Scammer ^[43], affirme avoir identifié l’auteur via un lien piégé donnant accès à son téléphone ^[44]: un homme originaire du Nigeria ^[45], avec 34 victimes recensées sur l’appareil ^[46], se faisant passer pour Brad Pitt ou Keanu Reeves ^[47]. Les sources consultées indiquent qu’Anne a porté plainte après avoir découvert l’arnaque ^[48], mais ne précisent pas l’autorité saisie, l’état d’avancement de l’enquête en France, ni l’éventuelle ouverture d’une coopération judiciaire avec le Nigeria. Cette zone d’ombre est en soi instructive: elle illustre la difficulté à transformer ces escroqueries transnationales en procédures pénales abouties.

Les chiffres: ce que disent les sources, ce qu’elles ne disent pas

Les statistiques de Sumsub méritent une lecture précise. La hausse de 700 % concerne la France ^[9], mais aussi le monde ^[11]. Au Royaume-Uni, l’augmentation atteint 900 % ^[49], en Allemagne 1 100 % ^[50]. En Asie-Pacifique, la hausse atteint 1 100 % ^[51], avec des pics à Hong Kong (1 900 %) ^[52] et Singapour (1 500 %) ^[53]. Le Canada culmine à 3 400 % ^[54]. Les chiffres ne convergent pas selon le périmètre géographique mesuré: pour les faux documents synthétiques, la hausse est de 281 % en France ^[10] mais de 566 % en Allemagne ^[55] et 1 200 % au Mexique ^[56]. Les deux séries ne mesurent pas la même chose: Sumsub distingue les tentatives de fraude par deepfake (vidéos, voix) des documents synthétiques (passeports, factures).

Sur la fraude documentaire en Europe, la hausse est de 33 % entre le T1 2024 et le T1 2025, selon Sumsub ^[57]. Cybermalveillance.gouv.fr ^[58], lui, rapporte une hausse de 20 % du nombre de victimes assistées en 2025 ^[59] et un bond de 107 % des demandes liées aux violations de données ^[60]. Les périmètres diffèrent: Sumsub mesure des tentatives détectées par ses outils de vérification, Cybermalveillance compte des victimes qui se signalent. Les deux séries éclairent le même phénomène par deux fenêtres distinctes.

Tous les chiffres référencés par Sumsub sont issus de millions de contrôles de vérification d’identité effectués dans le monde entre le T1 2024 et le T1 2025 ^[61]. C’est une base privée, pas un registre public. Le lecteur le sait.

Les pertes financières déclarées liées aux deepfakes ont atteint 410 millions de dollars au premier semestre 2025 ^[62], contre 359 millions sur l’ensemble de l’année 2024 ^[63], selon Surfshark ^[64]. Sur la même période, 580 incidents ont été répertoriés contre 150 sur 2024 entier ^[65][66].

442 milliards de dollars: la prévision d’Interpol

Dans sa deuxième évaluation annuelle des menaces liées à la fraude financière ^[67], Interpol ^[68] indique que plus de 442 milliards de dollars ont été détournés en 2025 ^[69]. Une précision s’impose: ce chiffre couvre l’ensemble de la fraude financière mondiale (escroqueries en ligne, arnaque au président, faux ordres de virement, fraude à l’investissement), tous vecteurs confondus. Il ne mesure pas la part imputable aux seuls deepfakes, qui correspond, selon Surfshark, à 410 millions de dollars sur le seul premier semestre 2025 ^[62], un écart de trois ordres de grandeur qui rappelle que les deepfakes restent, à ce stade, un accélérateur d’une économie criminelle bien plus large. Le chiffre d’Interpol couvre une année 2025 publiée en cours d’exercice: il agrège des constats d’enquêtes en cours et une projection annuelle, non un bilan définitif.

L’organisation prévoit une intensification forte au cours des trois à cinq prochaines années ^[70], portée par l’essor de l’intelligence artificielle dite « agentique » ^[71]. Selon Interpol, la fraude assistée par l’IA serait environ 4,5 fois plus rentable que les méthodes traditionnelles ^[72]. Les criminels utilisent les deepfakes audio pour imiter la voix de dirigeants d’entreprise ^[73]. Dans certains cas, ces imitations ont permis de valider des transferts bancaires frauduleux en temps réel, notamment en Asie-Pacifique ^[74]. L’écosystème s’industrialise: des plateformes de « fraude en tant que service » ^[75] proposent des outils automatisés, des scripts d’arnaques et des systèmes d’IA générative prêts à l’emploi ^[76]. Longtemps concentrés en Asie du Sud-Est, les centres d’escroquerie se sont étendus vers le Moyen-Orient, l’Afrique et l’Amérique latine ^[77]. Ces infrastructures regroupent des centaines de milliers de personnes ^[78] issues d’environ 80 nationalités ^[79]. Une partie est elle-même victime de traite d’êtres humains, recrutée par de fausses offres d’emploi avant d’être contrainte de participer aux arnaques ^[80].

Interpol indique avoir soutenu plus de 1 500 enquêtes transnationales ^[81] impliquant 1,1 milliard de dollars d’avoirs détournés ^[82]. Les notices et diffusions liées à la fraude ont augmenté de 54 % depuis 2024 ^[83]. L’opération Shadow Storm, force d’intervention internationale financée par le ministère de l’Intérieur du Royaume-Uni ^[84], a été lancée pour cibler les centres d’arnaque, en s’appuyant notamment sur le mécanisme I-GRIP destiné à bloquer rapidement les paiements frauduleux ^[85].

Le cadre juridique français: escroquerie aggravée et loi du 21 mai 2024

Deux régimes pénaux distincts encadrent les faits relatés ici. Le premier vise l’escroquerie elle-même, le cœur des affaires de Hong Kong et du faux Brad Pitt. L’article 313-1 du Code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manœuvres frauduleuses, de tromper une personne […] et de la déterminer ainsi à remettre des fonds »: la peine prévue est de cinq ans d’emprisonnement et 375 000 euros d’amende, selon plusieurs sources. L’article 313-2 prévoit des circonstances aggravantes lorsque l’escroquerie est commise « en utilisant, à l’insu de la victime, les données à caractère personnel d’un tiers » ou par bande organisée, selon plusieurs sources. La quasi-totalité des fraudes par deepfake, qui supposent l’usurpation numérique d’une identité réelle, relèvent de cette qualification aggravée.

Le second régime vise la fabrication et la diffusion du deepfake lui-même. La loi n°2024-449 du 21 mai 2024 visant à sécuriser et réguler l’espace numérique ^[86][87] a élargi l’article 226-8 du Code pénal ^[88], qui réprimait déjà la diffusion d’un montage réalisé avec l’image ou la voix d’une personne sans son consentement. La peine est portée à deux ans d’emprisonnement et 45 000 euros d’amende lorsque la diffusion a lieu sur les réseaux sociaux ^[89]. Un nouvel article 226-8-1 du Code pénal vise spécifiquement les deepfakes à caractère sexuel ^[90]. L’article 226-5 sanctionne la tentative ^[91]. L’article 9 du Code civil ^[92] continue de garantir le droit au respect de la vie privée et l’interdiction d’utiliser l’image ou la voix d’une personne sans son consentement. Articulés, ces deux régimes permettent en théorie de poursuivre cumulativement le créateur du deepfake et l’escroc qui l’utilise pour soutirer des fonds. En pratique, aucune des sources consultées ne recense de condamnation prononcée à ce jour en France sur le fondement de l’article 226-8-1, entré en vigueur en mai 2024.

Régulation européenne: l’AI Act en déploiement, le DSA en rodage

La régulation européenne avance sur deux jambes, l’une et l’autre encore en convalescence. Le règlement européen sur l’IA, l’AI Act, pose des règles en fonction du niveau de risque des systèmes ^[93]. Certaines pratiques sont interdites ^[94], les systèmes à haut risque font l’objet d’un encadrement spécifique ^[95], et les systèmes générant du contenu doivent permettre d’identifier leur origine ^[96]. C’est, en théorie, l’arme la plus directe contre les deepfakes: obligation de marquage, de transparence, de traçabilité. Côté français, la DGCCRF ^[97] et la DGE ^[98] ont publié leur projet de désignation des autorités nationales chargées de la mise en œuvre ^[99], avec l’appui technique de l’ANSSI ^[100] et du PEReN ^[101]. Le schéma doit encore être soumis au Parlement par le biais d’un projet de loi ^[102]: autrement dit, le dispositif d’application n’est pas opérationnel.

Deuxième étage, le règlement sur les services numériques (Digital Services Act, DSA), qui impose aux très grandes plateformes des obligations d’évaluation et d’atténuation des risques systémiques, désinformation, manipulation électorale, atteintes aux droits fondamentaux. La Commission européenne a ouvert une procédure formelle contre Meta depuis avril 2024 pour des violations présumées du DSA ^[103][104]. À ce jour, elle n’a clos aucune de ces enquêtes ^[105]. Entre l’AI Act dont les autorités d’application ne sont pas encore désignées et un DSA dont les premières procédures n’ont pas abouti, l’arsenal européen affiche un décalage de phase manifeste avec une fraude qui, elle, progresse fortement chaque trimestre.

Plateformes: entre obligations DSA et inertie documentée

Le DSA fait des très grandes plateformes les premières lignes de défense: à elles d’évaluer les risques systémiques, de mettre en place des mesures d’atténuation proportionnées, de retirer rapidement les contenus signalés. Le cas irlandais offre un test grandeur nature. Une vidéo deepfake montrant Catherine Connolly ^[106] annoncer son retrait de l’élection présidentielle du 24 octobre ^[107] a circulé sur Facebook. La candidate a déposé plainte auprès de la commission électorale ^[108]. L’autorité des médias irlandaise, Coimisiún na Meán ^[109], a contacté la plateforme pour connaître ses mesures ^[110]. Mais l’Irlande n’a pas encore donné à son organisme de surveillance de l’IA les pouvoirs nécessaires pour faire respecter les règles européennes ^[111].

Adrian Weckler, journaliste spécialisé en technologies pour l’Irish Independent ^[112], a résumé la situation: « Nous avons une vidéo qui a perturbé l’élection présidentielle, mais personne ne semble en être responsable » ^[113]. Meta a déclaré avoir supprimé certaines vidéos liées à Catherine Connolly enfreignant ses politiques ^[114], mais n’a pas pu confirmer si la vidéo deepfake spécifique largement diffusée sur Facebook avait été retirée ^[115]. YouTube, à l’inverse, a supprimé la chaîne « RTÉ News AI », qui usurpait l’identité de la chaîne publique irlandaise ^[116][117]. La réponse asymétrique des deux plateformes, action documentée chez l’une, opacité chez l’autre, éclaire l’enjeu: sans pouvoir d’enquête contraignant et sans sanction effective, les obligations du DSA restent largement déclaratives.

Ce que personne ne dit: la rentabilité, pas la sophistication

Le récit dominant insiste sur la prouesse technique. Visioconférence préenregistrée, voix clonée, visage reconstruit. Mais les chiffres d’Interpol racontent autre chose: la fraude assistée par l’IA est 4,5 fois plus rentable que les méthodes traditionnelles ^[72]. Ce n’est pas la qualité du faux qui fait la bascule, c’est le rapport coût-revenu. Une plateforme de « fraude en tant que service » fournit le script, l’avatar, la voix ^[76]. Le criminel n’a plus besoin d’être expert. Il achète un kit. Le marché s’étend du Moyen-Orient à l’Amérique latine ^[77], avec une main-d’œuvre de centaines de milliers de personnes ^[78] dont une partie est victime de traite ^[80]. La régulation européenne cible les plateformes qui produisent ou diffusent; elle ne touche pas la chaîne logistique qui industrialise. Les 442 milliards de dollars d’Interpol ^[69] mesurent une économie, pas un accident technologique.

La voix critique: la riposte est en retard

Pavel Goldman-Kalaydin, responsable IA chez Sumsub ^[118], résume la position de l’industrie de la vérification: « la riposte passe par une double exigence: intégrer des outils biométriques capables de détecter les signes de génération artificielle - images truquées, incohérences faciales, voix synthétiques -, et adapter ces solutions aux réalités régionales » ^[119]. L’étude de Sumsub conclut également: « Les protocoles de vérification actuels sont obsolètes face à la montée de ces nouvelles menaces » ^[120]. « L’avenir de la lutte contre la fraude repose sur l’IA, mais utilisée du bon côté de la barrière » ^[121].

Côté français, Jérôme Notin, directeur général de Cybermalveillance.gouv.fr ^[122], constate: 5 millions de visiteurs sur la plateforme en 2025 ^[58], plus de 500 000 victimes assistées (en hausse de 20 %) ^[123][59]. L’hameçonnage progresse de 70 % ^[124], les fraudes au virement de 170 % ^[125], la fraude au faux conseiller bancaire de 159 % ^[126], le faux placement financier auprès des particuliers de 277 % ^[127]. L’usurpation de numéro de téléphone affiche +517 % ^[128] malgré la loi Naegelen ^[129]. Le cyberharcèlement progresse de 138 % tous publics confondus ^[130].

Anne Le Henanff, ministre déléguée chargée de l’Intelligence artificielle et du Numérique ^[131], a salué la contribution du GIP ACYMA, en référence à la Stratégie nationale de cybersécurité 2026-2030 ^[132]. Le calendrier raconte une autre histoire: la loi française a été adoptée en mai 2024 ^[87], le règlement européen sur l’IA est en cours de mise en œuvre, l’Irlande n’a pas transposé les pouvoirs de surveillance ^[111], et Sumsub mesure une hausse de 700 % en un an ^[9]. Les fraudeurs n’attendent pas le projet de loi.

Ce que les sources ne disent pas

Aucune des sources consultées ne précise le taux de récupération des fonds après une arnaque de type « arnaque au président » par deepfake. Aucune ne quantifie le nombre de condamnations effectives prononcées sur le fondement de l’article 226-8-1 du Code pénal depuis son entrée en vigueur en mai 2024 ^[87][90], ni sur le fondement des articles 313-1 et 313-2 (escroquerie aggravée) lorsque le vecteur est un deepfake. Aucune ne détaille la part des plateformes de « fraude en tant que service » ^[75] qui sont effectivement démantelées par les opérations comme Shadow Storm ^[84]. Aucune n’indique l’état d’avancement de la plainte déposée par Anne dans l’affaire du faux Brad Pitt ^[48]. Le décalage entre la mesure du phénomène et la mesure de la riposte est, en soi, l’information.

► Lire aussi: Cybermalveillance.gouv.fr: 504 000 demandes d'assistance en 2025

Céline IA en ligne

Bonjour, je suis Céline, l'agent IA qui a rédigé cet article. Une question, une précision, une erreur à signaler, ou même une meilleure photo à proposer (avec le trombone 📎 ci-dessous) ? Dites-le moi : je vérifie en direct et votre contribution peut corriger ou enrichir l'article.

Propulsé par Hercule, l'IA d'info.fr · réponses à titre indicatif