Comment se protéger contre les escroqueries de type « deepfake » lors d’appels vidéo ?

Les préoccupations constantes du public concernant les escroqueries vidéo en temps réel ont attiré l’attention du monde entier, alors que nous assistons de plus en plus souvent à de nouveaux incidents majeurs. Prenons l’exemple d’une multinationale de Hong Kong qui a récemment été la proie d’un escroc lors d’un vol colossal de 25,6 millions de dollars : la technologie « deepfake » a déjà suffisamment évolué pour donner naissance à une toute nouvelle forme de fraude.

Désormais, il s’agit de passer à l’action. Existe-t-il des moyens de vous protéger, vous et votre organisation, contre les escrocs qui se font passer pour votre patron, votre partenaire commercial ou même votre propre mère ? Voyons cela !

Tout d’abord, commençons par la définition.

Qu’est-ce qu’un deepfake ?

Au cas où la définition d’un deepfake ne serait pas encore claire pour certains, un deepfake est un contenu généré à l’aide de techniques d’apprentissage en profondeur qui est censé avoir l’air réel, mais qui est en fait fabriqué. L’intelligence artificielle (IA) utilisée pour générer des deepfakes emploie généralement des modèles génératifs, par exemple des réseaux adverbiaux génératifs (GAN) ou des auto-encodeurs.

Les « deepfakes » sont utilisés non seulement dans les contenus vidéo, mais aussi dans les enregistrements audio et les images. L’objectif d’un deepfake est souvent de représenter un individu ou un groupe disant ou faisant quelque chose qu’il n’a jamais fait dans la réalité. Pour produire un contenu qui semble convaincant, l’IA doit utiliser de vastes ensembles de données lors de son apprentissage. Il permet au modèle de reconnaître et de reproduire les modèles naturels présents dans le contenu qu’il est censé imiter.

Si la technologie des « deepfakes » constitue une avancée au potentiel considérable pour l’industrie cinématographique et le développement de jeux, ainsi qu’une tendance croissante dans les médias sociaux, elle ouvre également de dangereuses possibilités d’utilisation illégale. Les exemples sont nombreux et comprennent l’usurpation d’identité, la falsification de preuves, la désinformation, la diffamation et le contournement de la sécurité biométrique. Dans tous les cas, les fraudeurs s’appuient généralement sur l’autorité de la personne représentée sur les personnes ciblées ou sur ses liens personnels avec elles, selon le contexte.

Où peut-on rencontrer un deepfake ?

Les « deepfakes » sont utilisés pour produire du contenu vidéo, audio ou image, sous forme de média enregistré ou de flux en temps réel. Il peut s’agir d’une vidéo YouTube, d’une « fuite » dans un message social, d’un appel téléphonique ou d’une visioconférence – les possibilités sont pratiquement illimitées.

Le format est choisi en fonction de l’objectif poursuivi. Par exemple, la désinformation politique fonctionne mieux lorsque l’engagement de masse est possible, ce qui signifie que la diffusion publique via les médias sociaux est la meilleure tactique. En revanche, la recherche d’un gain privé auprès d’une entreprise ou d’un particulier nécessite un cadre plus intime et souvent une conversation personnelle.

Lorsqu’il s’agit de menaces pour votre vie personnelle, vos finances ou votre sécurité, nous pouvons réduire les scénarios de deepfake les plus dangereux à des rencontres avec des personnes qui vous sont chères, en qui vous avez confiance ou à qui vous devez rendre des comptes. Il peut s’agir d’un membre de la famille, d’un ami ou d’un supérieur hiérarchique au travail, comme votre patron ou un cadre de l’entreprise.

Le cadre sera très probablement privé, que ce soit par téléphone ou par vidéo. Les rencontres personnelles sont beaucoup plus faciles à mettre en œuvre et permettent au faussaire de mieux contrôler la situation. La conversation, quel qu’en soit le contexte, vous amènera à agir sous l’effet de l’urgence ou de la peur – le plus souvent en transférant une somme d’argent. La tactique consiste à tromper votre logique et votre bon sens en utilisant la peur, la compassion ou même l’ambition.

Alors que le développement de l’IA générative suscite un intérêt et des investissements considérables, nous entrons dans une zone dangereuse : la vidéo en temps réel, le cas d’utilisation de deepfake le plus sophistiqué et le plus convaincant à ce jour, est encore très peu connue.

Les « deepfakes » dans la vidéo en temps réel

Les deepfakes vidéo en temps réel génèrent du contenu vidéo manipulé en temps réel pour une application immédiate pendant les flux en direct et les appels vidéo. Le clonage de voix et l’échange de visages sont les techniques les plus fréquemment utilisées pour composer un environnement complètement factice.

L’échange de visages

L’échange de visages est une pratique courante des deepfakes, qui permet au logiciel de remplacer les traits du visage d’une personne cible par de faux traits, le plus souvent ceux d’une autre personne. Grâce aux techniques de détection et de manipulation des points de repère du visage, le mélange semble transparent et difficile à repérer si l’on n’en est pas conscient.

Clonage vocal

En plus de paraître physiquement convaincant, le faussaire doit également avoir une voix convaincante. Dans ce cas, le clonage vocal est utilisé. Dans le clonage vocal, l’IA reproduit la voix de l’individu. L’entraînement d’un modèle de clonage vocal nécessite une quantité importante de données audio de haute qualité, généralement obtenues à partir d’enregistrements de la personne cible s’exprimant dans différents contextes et avec différentes intonations.

Par curiosité : comment se passe la mise en place d’un deepfake ?

La technologie Deepfake est capable d’usurper l’identité de personnes réelles et de le faire en temps réel, ce qui rend le résultat encore plus convaincant (et terrifiant !). Mais comment le logiciel peut-il fonctionner pour que nous soyons confrontés à des « deepfakes » alors que nous utilisons des plateformes en ligne grand public ?

Les logiciels de génération de Deepfake peuvent être intégrés à des plateformes de diffusion en continu et à des outils de vidéoconférence de différentes manières :

• Il pourrait s’agir d’une application distincte qui capture le flux vidéo, le traite en temps réel et envoie ensuite le flux manipulé au logiciel de visioconférence.
• Il peut également être intégré directement dans le logiciel de visioconférence en tant que fonction optionnelle ou plugin.
• Un autre moyen, encore plus sophistiqué et difficile à détecter, est l’utilisation d’une caméra, à savoir une caméra virtuelle. La caméra virtuelle intercepte le flux vidéo de la caméra physique de l’usurpateur. Il transmet ensuite le flux manipulé au logiciel de visioconférence. L’usurpateur choisit simplement la caméra virtuelle comme entrée de caméra et voilà ! (pas vraiment plaisant, on le sait).

Comment vous protéger contre les « deepfakes » ?

Enfin, la partie la plus importante. Comment se protéger contre un deepfake, ou au moins se préparer à repérer un faux patron faisant une demande douteuse par vidéo ?

Les logiciels de visioconférence respectueux de la vie privée sont essentiels pour garantir la sécurité des réunions. Découvrez Nextcloud Talk, une puissante plateforme de tchat et de réunion qui vous permet de reprendre le contrôle.

En savoir plus

Attention aux signaux d’alerte

La technologie d’échange de visages par l’IA est peut-être avancée, mais elle n’est pas parfaite. Il existe des signaux d’alarme que vous pouvez repérer, ou du moins que vous pouvez apprendre à surveiller lorsque quelque chose vous semble suspect ou anormal :

• Expressions faciales ou mouvements irréalistes, y compris des mouvements oculaires non naturels, des clignements d’yeux inappropriés et/ou une synchronisation labiale bizarre.
• Incohérences dans l’éclairage et ombres qui ne correspondent pas à l’environnement.
• Mouvements non naturels de la tête ou du corps, ainsi que flou visible ou pixellisation autour du visage ou du cou.
• Qualité incohérente de l’audio et de la vidéo et décalage entre l’image et le son.

Des soupçons ? Soyez proactif

Il existe des méthodes qui peuvent vous permettre de repérer les signaux d’alerte et qui ne rendront généralement pas la conversation difficile si la personne est bien réelle.

Tout d’abord, il n’y a rien de plus naturel qu’une conversation informelle. Engagez la conversation : posez-lui des questions sur sa journée, sa routine, des questions sur des personnes que vous connaissez tous les deux, etc. Un parfait inconnu aura du mal à être spontané et à maintenir le même lien personnel. Il est également plus facile de prendre une personne au dépourvu lorsqu’elle perd le contrôle de la situation.

Vous pouvez également utiliser d’autres fonctions de visioconférence : demandez à la personne de partager son écran et de vous montrer quelque chose en rapport avec vos tâches communes. Il sera très difficile de reproduire cette opération sans y avoir accès.

Enfin, une fois que la personne a formulé une demande qui vous paraît suspecte, vous êtes plus à même d’être vigilant : demandez-lui poliment de confirmer son identité en fournissant des informations exclusives ou en vous envoyant un message de confirmation par un autre canal.

Définissez une phrase d’authentification

La mise en place d’un mot de passe ou d’une phrase d’authentification est un autre moyen de garantir la confiance lorsqu’il s’agit de sujets sensibles. Il s’agit d’un moyen facile de confirmer l’identité des personnes que vous connaissez, tant au travail qu’entre membres d’une même famille, et il est tout aussi efficace par le biais de la communication vocale, vidéo et textuelle.

Vérifiez l’identité en dehors de la réunion

Si un usurpateur se fait passer pour une personne que vous connaissez bien, il y a de fortes chances que vous ayez plus d’un canal de communication à votre disposition. Utilisez le courrier électronique, une messagerie ou un numéro de téléphone personnel pour les contacter et poser une question – la raison est valable.

Ne les laissez pas recueillir vos données

Pour reproduire et manipuler la voix ou l’image d’une personne, l’IA a besoin d’une quantité massive de données. Ces données sont souvent recueillies au préalable, lors d’appels et de réunions en ligne. Des fonctionnalités telles que l’enregistrement du consentement dans Nextcloud Talk peuvent vous aider à vous protéger et à protéger les autres d’un tel vol de données.

Utiliser le logiciel de l’entreprise

Il est peu probable que votre véritable patron organise une réunion via une plateforme que vous n’utilisez jamais pour le travail. Et s’il le fait, il doit avoir une bonne raison ! N’hésitez pas à vous opposer à toute activité suspecte.

L’utilisation d’un logiciel d’entreprise permet de mieux contrôler les données et de se conformer aux réglementations en matière de protection de la vie privée. Encore mieux, si vous l’exécutez sur place ! En cas d’incident, l’équipe informatique de l’entreprise peut lancer un audit pour récupérer les données pertinentes et mener une enquête.

Assurez un accès sécurisé à votre plateforme de visioconférence grâce à des paramètres tels que 2FA, des mots de passe forts, le cryptage des données, la surveillance de l’activité et les restrictions de connexion. Ceci s’applique à vos paramètres personnels et aux contrôles administratifs.

Nextcloud Talk : vidéo et tchat dans le respect de la vie privée

L’utilisation d’un espace de travail unifié, axé sur la protection de la vie privée, avec un contrôle administratif dans toutes les applications, garantit que vos protocoles de sécurité sont en place pour détecter et prévenir les atteintes à la vie privée. Nextcloud Hub fournit une plateforme de visioconférence conviviale qui incite les utilisateurs à travailler avec les équipements informatiques de l’entreprise.

Comment Nextcloud Talk protège vos données :

• Détection des connexions suspectes grâce à l’IA
• Cryptage multicouche avec communication cryptée de bout en bout
• Protection contre les attaques de type Brute-force
• Entièrement on-prem, 100% open source

Nextcloud est un projet open-source soutenu par une forte communauté avec une approche proactive de la recherche de vulnérabilités et des correctifs. Il est conçu pour vous permettre de rester en conformité avec le RGPD, le CCPA et le futur règlement européen sur la protection de la vie privée.

Télécharger Nextcloud Hub

Téléchargez et installez Nextcloud Hub ici !

Obtenir Nextcloud Hub