Attaques générées par l'IA & deepfakes : nouvelle ère, nouveaux risques pour les PME

L'IA simplifie nos tâches : rédaction, automatisation, analyse de données, support client. Mais elle permet aussi aux cybercriminels de produire, en quelques minutes, des attaques ultra-ciblées, réalistes et difficiles à détecter. Là où il fallait autrefois des compétences techniques pointues, il suffit aujourd'hui d'un abonnement à un outil grand public et d'un peu d'imagination.

Le résultat : la barrière d'entrée à la cybercriminalité s'effondre, et le volume d'attaques crédibles explose. Les TPE et PME, souvent moins outillées que les grands groupes, deviennent des cibles particulièrement rentables.

Grâce au machine learning, les attaquants peuvent désormais :

• Imiter le style d'écriture d'un interlocuteur connu (collègue, client, dirigeant) à partir de quelques e-mails publics.
• Personnaliser chaque message en fonction du destinataire — fonction, secteur, projets en cours, actualité de l'entreprise.
• Augmenter leur taux de succès en multipliant les variantes et en testant ce qui fonctionne le mieux.

La règle est simple : plus c'est crédible, plus c'est dangereux. Un phishing rédigé par IA n'a plus les fautes d'orthographe ou les tournures bancales qui permettaient autrefois de l'identifier en un coup d'œil.

Un deepfake, c'est une image, une voix ou une vidéo modifiée par IA pour sembler authentique. Quelques exemples qui se sont déjà produits chez des PME françaises :

• Un faux dirigeant demande un virement urgent en visioconférence… alors qu'il s'agit d'un montage vidéo généré par IA.
• Le comptable reçoit un appel téléphonique de son patron avec sa voix exacte, lui demandant de modifier un RIB fournisseur.
• Un e-mail signé du PDG, contenant les bonnes signatures, le bon ton, et faisant référence à un projet réel en cours, demande une action confidentielle.

Et si ce n'était qu'un montage IA ? La question, désormais, doit être posée systématiquement face à toute demande sensible, inhabituelle ou urgente.

Aucun deepfake n'est encore parfait. Voici les indices techniques et comportementaux les plus fréquents :

• Lags ou décalage entre le son et l'image en visioconférence.
• Voix monotone, sans nuances émotionnelles naturelles.
• Expressions figées, clignements d'yeux trop réguliers ou inexistants, ombres incohérentes.
• Demande urgente, inhabituelle ou confidentielle, souvent liée à un virement, un changement de RIB ou un partage d'identifiants.
• Refus de basculer sur un autre canal de communication.

La règle d'or : quand c'est trop « parfait », c'est suspect. Et quand c'est urgent + inhabituel + confidentiel : c'est très suspect.

Voici les réflexes que nous recommandons à toutes nos PME clientes, à intégrer dans vos procédures internes :

1. Gardez un esprit critique face à toute demande inhabituelle, même venant d'un supérieur ou d'un client connu.
2. Vérifiez l'info via un autre canal : appel sur le numéro habituel, SMS, messagerie interne. Jamais en répondant au mail ou en restant sur la même visio.
3. Ne cédez pas à l'urgence émotionnelle. L'urgence artificielle est le levier numéro 1 des arnaques IA.
4. Mettez en place une procédure de double validation pour tout virement supérieur à un seuil défini, et pour tout changement de RIB fournisseur.
5. Définissez un « mot de passe vocal » interne pour les demandes sensibles entre dirigeants et services financiers.
6. Activez le MFA partout (Microsoft 365, banque, ERP), pour limiter les conséquences si une identification est compromise.
7. Documentez et partagez les tentatives détectées en interne : chaque exemple réel renforce la vigilance collective.

En cas de doute, si c'est bizarre… on vérifie. Mieux vaut un appel de confirmation gênant qu'un virement perdu.

La technologie évolue vite. Nous aussi. Pour rester à jour, nous recommandons aux PME :

• Formations internes régulières sur les nouvelles arnaques IA (au moins une fois par an).
• Partage d'exemples réels via une newsletter interne ou un canal dédié.
• Veille sur les outils de détection de deepfakes qui émergent.
• Exercices de mise en situation (faux appel du dirigeant, fausse visio) pour tester les réflexes.

La cybersécurité évolue. Notre culture cyber doit suivre. C'est désormais un sujet de gouvernance, pas seulement un sujet IT.

AnThEA accompagne les PME des Hautes-Pyrénées sur l'ensemble du spectre cyber : sensibilisation des équipes aux arnaques IA, mise en place de procédures de double validation, déploiement MFA Microsoft 365, supervision et réponse à incident. Notre approche est concrète, terrain, et adaptée à la réalité d'une PME.

Pour aller plus loin, consultez notre page Cybersécurité ou notre article sur comment protéger votre PME des ransomwares.