- 49% des entreprises dans le monde déclarent avoir déjà subi une tentative d’escroquerie par deepfake (audio ou vidéo), selon une étude Regula relayée par la DGSI en 2026.
- Une attaque deepfake coûte aujourd’hui moins de 50€ à monter, rendant les PME des cibles aussi rentables que les grands groupes.
- L’IA générative transforme aussi bien les menaces (deepfakes, phishing ultra-ciblé) que les moyens de défense (détection automatisée, EDR intelligent).
L’intelligence artificielle a changé la donne en cybersécurité, dans les deux sens. D’un côté, elle donne aux attaquants des outils redoutables — voix clonées, visages truqués, messages de phishing hyper-personnalisés générés en quelques secondes. De l’autre, elle équipe aussi les défenses modernes de capacités de détection inédites. Pour une PME française, comprendre cette double réalité en 2026 n’est plus optionnel.
La menace : l’IA au service de la fraude
Les deepfakes, une menace désormais accessible à tous
Un deepfake est un contenu (vidéo, audio, image) créé ou modifié par IA pour usurper l’apparence ou la voix d’une personne réelle. Ce qui a changé en 2026 : la démocratisation totale de ces outils. Quelques secondes d’audio prélevées sur une vidéo publique ou un message vocal suffisent désormais à reproduire une voix de façon saisissante, pour un coût dérisoire.
La DGSI a documenté un cas concret révélateur : un responsable de site industriel français a reçu un appel en visioconférence du soi-disant dirigeant de son groupe (visage et voix clonés par IA), lui demandant un virement urgent pour une acquisition confidentielle. Surpris par le caractère inhabituel de la demande, il a raccroché et alerté la vraie direction — évitant la fraude de justesse.
Le phishing généré par IA, plus difficile à repérer
L’IA générative permet aussi de produire des messages de phishing beaucoup plus crédibles : sans fautes, adaptés au contexte réel de l’entreprise ciblée (projets en cours, collègues, actualité du secteur), rendant les indices classiques du phishing bien moins fiables qu’auparavant.
Penser qu’un deepfake se repère facilement « à l’œil nu ». En 2026, la qualité des deepfakes en temps réel (visioconférence) a fortement progressé — les indices visuels ne suffisent plus, la vérification doit passer par un autre canal.
Se défendre : les bons réflexes
Le contre-appel systématique
Face à toute demande inhabituelle (virement, changement de coordonnées bancaires, information confidentielle), la règle reste la même quel que soit le niveau de sophistication de l’attaque : rappeler la personne par un canal connu et indépendant, jamais celui utilisé pour la demande elle-même.
Un mot de code partagé pour les demandes sensibles
Certaines entreprises mettent en place un mot de code connu uniquement des personnes autorisées, à vérifier oralement avant toute action financière sensible — une protection simple et redoutablement efficace contre les deepfakes.
Des procédures de validation à plusieurs niveaux
Aucune décision financière sensible ne devrait reposer sur une seule personne, quel que soit son niveau hiérarchique — la fraude au président exploite justement l’autorité perçue pour court-circuiter les vérifications normales.
Formez vos équipes financières et administratives spécifiquement aux scénarios de fraude par deepfake — pas seulement au phishing classique. Un exercice de simulation, même simple, sensibilise bien plus efficacement qu’une note de service.
- Avez-vous une procédure claire de contre-vérification pour toute demande de virement inhabituelle ?
- Vos équipes savent-elles qu’un appel vidéo « en direct » peut désormais être falsifié en temps réel ?
- Une seule personne peut-elle valider un virement important sans validation croisée ?
- ☐ Procédure de contre-appel obligatoire pour toute demande financière inhabituelle
- ☐ Validation à plusieurs niveaux pour les virements sensibles
- ☐ Équipes sensibilisées spécifiquement aux deepfakes, pas seulement au phishing classique
- ☐ Mot de code interne pour les demandes les plus sensibles
❓ FAQ
Les petites entreprises sont-elles vraiment ciblées par ce type de fraude ?
Oui, de plus en plus : le coût désormais très faible pour monter une attaque deepfake rend les PME des cibles rentables, d’autant qu’elles ont souvent moins de niveaux de validation que les grandes entreprises.
Existe-t-il des outils pour détecter automatiquement un deepfake ?
Des outils de détection existent, mais ne sont pas encore suffisamment fiables pour s’y fier seuls en 2026 — ils doivent compléter, jamais remplacer, une vérification humaine hors bande.
📚 Pour aller plus loin : découvrez notre guide sur les deepfakes et le clonage vocal.
Besoin d'aide pour passer à l'action ?
Un expert peut vous rappeler pour vous accompagner sur ce sujet, sans engagement.
Être rappelé par un expert →
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.
