En assurance, le deepfake vocal ne cherche pas à ouvrir un compte : il cherche à faire agir un gestionnaire. Le téléphone reste le canal principal de la relation assuré, et une partie significative des opérations sensibles — déclaration de sinistre, mise à jour de coordonnées, demande de duplicata — s'y traite encore par la parole. Un appelant dont la voix est clonée à partir d'échantillons publics obtient de l'interlocuteur des actions qu'aucun contrôle d'authentification technique ne surveille.
Le maillon particulier de l'assurance : le gestionnaire, pas le client
Dans la plupart des secteurs, la fraude vocale vise la victime finale. En assurance, la cible la plus rentable est le collaborateur du centre de relation client. Il reçoit des dizaines d'appels par jour, il est évalué sur des délais de traitement, et il est formé à l'empathie. Ces trois caractéristiques, toutes légitimes, constituent la surface d'attaque.
Le contrôle d'identité appliqué à l'entrée d'un appel repose classiquement sur des éléments « semi-publics » : nom, date de naissance, adresse, numéro de contrat, parfois montant de la dernière échéance. Ces éléments ne sont pas des secrets. Ils figurent dans les fuites de données courantes, ou se déduisent d'un courrier intercepté. Le deepfake vocal ajoute simplement la couche manquante — la voix — qui rendait autrefois l'usurpation détectable.
Les gestes visés et leur rendement
| Geste demandé au téléphone | Rendement pour l'attaquant | Détection actuelle | Contrôle à instaurer |
|---|---|---|---|
| Changement d'IBAN de règlement | Élevé, direct | Faible | Notification postale, délai de carence |
| Changement d'adresse ou de téléphone | Préparatoire, décisif | Très faible | Notification à l'ancienne coordonnée |
| Déclaration de sinistre fictif | Moyen, long | Contrôle a posteriori | Vérification des pièces, contre-appel |
| Demande de duplicata de contrat | Renseignement | Nulle | Envoi vers l'espace assuré uniquement |
| Réinitialisation d'accès à l'espace assuré | Élevé, indirect | Faible | Interdiction de réinitialiser par téléphone |
| Levée d'un blocage anti-fraude | Très élevé | Variable | Double validation, jamais dans le même appel |
La ligne la plus sous-estimée est la deuxième. Le changement de coordonnées de contact ne provoque aucun mouvement financier immédiat, donc aucune alerte. Il désarme pourtant tous les contrôles ultérieurs, puisque les notifications futures partiront vers l'attaquant.
L'enchaînement type d'une fraude vocale à l'indemnisation
L'attaque se déroule rarement en un appel. Elle procède par étapes courtes, chacune anodine.
Un premier appel modifie l'adresse de messagerie, présenté comme un simple changement de fournisseur. Un deuxième appel, quelques jours plus tard et souvent avec un autre gestionnaire, modifie le numéro de téléphone. Un troisième appel, une fois les canaux de notification maîtrisés, modifie l'IBAN d'un dossier de sinistre en cours. L'indemnisation part ensuite par le circuit normal.
La contre-mesure découle directement de cette description : ce n'est pas chaque geste qu'il faut contrôler, c'est la séquence. Un système capable d'alerter sur « changement de contact puis changement d'IBAN dans une fenêtre courte » détecte l'attaque même si chaque appel a paru légitime isolément.
Ce qui fonctionne réellement au téléphone
Le contre-appel sur numéro de référence. L'assureur rappelle sur le numéro qu'il détient au dossier depuis avant la demande, jamais sur celui communiqué pendant l'appel. C'est la mesure la plus efficace, et elle ne dépend d'aucune technologie.
Le basculement vers un canal prouvable. Un geste sensible demandé par téléphone n'est pas exécuté par téléphone : il est confirmé dans l'espace assuré ou par un défi envoyé sur le canal enregistré. Le téléphone redevient un canal de conversation, pas un canal de décision.
La notification vers l'ancienne coordonnée. Toute modification de contact déclenche un message vers l'adresse ou le numéro remplacé. Un assuré légitime ne s'en étonne pas ; une victime d'usurpation est alertée.
La protection du gestionnaire. Un collaborateur qui refuse un geste doit être soutenu par la procédure, pas pénalisé par ses indicateurs de délai. Sans cette clause, aucune règle ne tiendra face à un appelant insistant.
L'ancrage de la preuve sur l'acte. Un facteur dont la valeur peut être énoncée — code par SMS, code temporaire, mot de passe verbal — est extorquable au téléphone par définition. Le facteur cognitif repose sur une méthode de résolution personnelle acquise lors d'un enrôlement hors ligne, jamais transmise et non verbalisable, avec un défi résolu dans un canal éphémère ouvert par QR code dynamique à usage unique. L'assuré ne peut pas la dicter à un interlocuteur, même s'il le souhaite.
FAQ
Faut-il supprimer le téléphone comme canal de gestion ?
Non, et ce ne serait pas tenable. Il faut le désarmer comme canal de décision : la conversation reste téléphonique, la validation du geste passe par un canal où une preuve peut être produite.
Les questions de sécurité classiques protègent-elles encore ?
Peu. Date de naissance, adresse, numéro de contrat et montant d'échéance ne sont pas des secrets. Ils circulent dans les fuites de données et dans le courrier. Le deepfake vocal ne fait qu'ajouter la dernière brique manquante.
Comment détecter une campagne visant le centre de relation client ?
Par la corrélation entre appels et modifications : plusieurs changements de coordonnées suivis de changements d'IBAN, traités par des gestionnaires différents sur une période courte. Le signal est dans la séquence, pas dans l'appel isolé.
La biométrie vocale a-t-elle encore un usage en assurance ?
Elle peut alimenter un score de risque, jamais fonder seule l'autorisation d'un geste financier. Le canal téléphonique dégrade le signal au point de masquer une partie des indices de synthèse.
Aller plus loin : le 4ᵉ facteur cognitif · deepfake et faux conseiller · credential stuffing en assurance · prouver une intention humaine