Tina Nikoukhah – Deepfakes : « Les entreprises n’ont toujours pas le réflexe de s’équiper »

Recevoir un appel ou un message vocal de son boss, échanger avec un candidat ou avec un responsable en visioconférence… Des activités plutôt habituelles et anodines pour une entreprise, mais qui, avec un soupçon d’intelligence artificielle, pourraient provoquer des pertes considérables. Car aujourd’hui, même si les salariés sont entraînés à ne pas répondre aux différentes techniques de phishing par email, ce n’est pas encore le cas des messages reçus par sms ou par message vocal et appel vidéo, trop instantanés. Pour comprendre les dangers réels que l’utilisation de deepfakes fait peser sur les entreprises, nous avons questionné Tina Nikoukhah, vice-présidente recherche chez GetReal Security, entreprise spécialisée dans la détection des deepfakes et de la manipulation des contenus numériques. Elle est également autrice du livre « Dans les coulisses des images » (Eyrolles) publié en septembre 2026.

Techniques de l’Ingénieur : Les deepfakes sont-ils largement utilisés dans le cas d’arnaques aux entreprises ?

Tina Nikoukhah : Si on regarde ce qui a été prouvé, l’identité de nombreux PDG connus a déjà été usurpée. Mais l’utilisation des deepfakes ne leur est pas réservée, même un PDG de PME non connu peut se faire usurper son identité. Pour cela, il suffit de passer sur BFM Business pour avoir suffisamment d’images de son visage et de sa voix pour pouvoir envoyer ne serait-ce que des messages vocaux aux salariés de son entreprise. Les arnaqueurs n’envoient bien sûr pas des messages directs de type « envoie-moi 200 € ». C’est beaucoup plus subtil : ils commencent une conversation qu’ils entretiennent. Cloner le timbre de la voix est devenu facile. Imiter la façon de parler de quelqu’un, ses expressions, son rythme, reste plus difficile, mais cela progresse vite. La voix clonée du PDG de Ferrari en 2025 reproduisait déjà son accent.

Les entreprises sont-elles conscientes du danger potentiel des deepfakes ?

Pas tout à fait, les entreprises continuent de croire que ça ne peut pas leur arriver. En général, les gens refusent de se dire qu’ils vont se faire avoir avec une fausse voix ou une fausse vidéo. Aux États-Unis par exemple, la fraude à l’embauche est un vrai sujet : le FBI alerte régulièrement sur des informaticiens liés à la Corée du Nord qui tentent d’intégrer des entreprises américaines en utilisant par exemple le face swap (le remplacement de visage en temps réel), des avatars ou des bots. Cela peut être également d’autres fraudes, comme le vol d’identité pour se faire passer pour un dirigeant lors d’une visio avec l’équipe de finance et détourner des millions de dollars… Il existe des cas publics : en 2024, un employé d’Arup à Hong Kong a transféré environ 25 millions de dollars après une visio où le directeur financier et ses collègues étaient des deepfakes. Des tentatives ont aussi visé les PDG de WPP et Ferrari. Le même scénario s’est reproduit en mars 2025 à Singapour : le directeur financier d’une multinationale a transféré près de 500 000 dollars après une visio Zoom avec de faux dirigeants. Mais les entreprises en parlent rarement…

Les entreprises sont-elles prêtes à y faire face ?

Aujourd’hui, les entreprises n’ont pas le réflexe de s’équiper. C’est toujours une fois touchées qu’elles le font. Mais je trouve que trop de responsabilités sont laissées aux gens pour vérifier les images. Les plateformes devraient en prendre une part. C’est un peu comme la traçabilité de nos aliments, ce n’est pas à nous, consommateurs, d’aller chercher l’origine des produits que l’on achète. C’est la marque qui la donne.

Comment s’en prémunir ?

Je dirais qu’il faut d’abord avoir bien conscience que l’arnaque et la fraude par l’image ne sont pas nouvelles. Une image numérique, ce n’est qu’un tableau de nombres : la modifier a toujours été possible. Ce sont juste les moyens qui évoluent. Les entreprises peuvent faire des formations, mais il faut bien prêter attention à ce que celles-ci soient bien à jour car les techniques évoluent très vite. On ne peut plus se contenter de dire que si une personne nous appelle, il faut raccrocher et rappeler la personne. C’est une bonne base, mais elle ne se suffit plus à elle seule. Des outils performants sont en libre accès, pas besoin d’aller sur le dark web. Des applications à quelques dollars par mois permettent même, à partir d’une photo, de changer le visage en temps réel. En l’utilisant sur Zoom, vous pouvez interagir avec un autre visage.

Y a-t-il des outils concrets de vérification ?

Pour analyser les images et les vidéos, vous pouvez utiliser deux types d’outils. Le premier, c’est de vérifier la provenance du contenu. De plus en plus de générateurs y ajoutent deux types de marques : des métadonnées signées selon le standard C2PA, et des tatouages invisibles inscrits dans le contenu lui-même, comme SynthID de Google, ou d’autres techniques. En Europe, l’AI Act impose ces obligations de transparence depuis août 2026, et le marquage sera généralisé d’ici décembre. Le problème, c’est que de nombreuses plateformes de réseaux sociaux effacent les métadonnées lors du partage. Certaines plateformes, comme LinkedIn, les affichent [par exemple, l’origine de l’image et les modifications réalisées, ndlr] et les certifient via la norme C2PA. En cas d’images ou vidéos non marquées, le deuxième outil est de réaliser une analyse forensique avec des algorithmes de traitement d’images et de signal [comme le propose son entreprise, ndlr].

Pouvez-vous nous détailler cette analyse forensique ?

Nous analysons principalement ce qui ne se voit pas : les traces que chaque étape de la vie d’un contenu laisse dans le signal, que ce soit le capteur, la compression ou les opérations propres aux générateurs. Elles se lisent par exemple au niveau des pixels pour les images. L’idée n’est pas de demander à l’IA si c’est vrai ou faux, mais de comprendre ce que le contenu a subi. C’est d’ailleurs tout le fil de mon livre, « Dans les coulisses des images », qui suit la vie d’une image, de sa naissance à sa diffusion, et les traces que chaque étape y laisse.