En banque, le deepfake vocal ne sert pas à franchir un contrôle technique : il sert à obtenir qu'un humain exécute lui-même l'opération. Le clonage d'une voix à partir de quelques échantillons publics permet de tenir un appel crédible, de mobiliser l'autorité d'un dirigeant ou la familiarité d'un conseiller, et de faire valider un virement par la personne qui en a légitimement le pouvoir. Aucune authentification de connexion ne détecte cette situation, puisque l'opération est réalisée par le titulaire légitime.
Deux scénarios, deux chaînes de responsabilité
Le faux conseiller, vers le client. L'appelant se présente comme le service anti-fraude de la banque. Il connaît les dernières opérations — souvent obtenues auparavant par phishing ou par une session volée — et demande une « mise en sécurité » des fonds. Le client valide lui-même le virement, parfois en fournissant un code temporaire, parfois en approuvant dans son application.
La fraude au dirigeant, vers l'entreprise. L'appelant reproduit la voix d'un dirigeant ou d'un responsable financier et demande à un collaborateur du service comptable un paiement urgent et confidentiel. Le deepfake vocal remplace ici l'e-mail de la fraude au président classique, et lève l'objection la plus courante : « je vais l'appeler pour vérifier ».
Ces deux scénarios n'engagent ni les mêmes contrôles ni les mêmes équipes, mais ils partagent une mécanique : l'attaquant ne franchit aucun contrôle, il fait franchir le contrôle par un tiers autorisé.
Ce que la voix ne peut plus prouver
La biométrie vocale a été déployée dans plusieurs contextes de relation client comme moyen d'authentification téléphonique. Cette hypothèse mérite d'être réexaminée. Un modèle de synthèse entraîné sur des échantillons courts reproduit le timbre, le rythme et les particularités d'élocution ; la qualité restituée dépend surtout du canal, et le téléphone dégrade le signal au point de masquer une partie des artefacts.
Il faut distinguer deux usages, souvent confondus dans les discussions internes.
| Usage de la voix | Ce qu'il prétend établir | Résistance au deepfake | Décision raisonnable |
|---|---|---|---|
| Biométrie vocale comme facteur d'authentification | L'identité de l'appelant | Faible et dégradée par le canal | Ne plus l'utiliser seule sur les gestes financiers |
| Détection de synthèse en temps réel | Le caractère artificiel du signal | Variable, course permanente | Utile comme signal de risque, jamais comme verdict |
| Voix comme confort de reconnaissance | Rien, en pratique | Nulle | Assumer qu'elle ne prouve rien |
| Mot de passe verbal partagé | La connaissance d'un secret | Nulle si le secret est extorqué | Remplacer par une preuve non verbalisable |
| Rappel sur numéro de référence | La maîtrise d'un canal | Élevée | Généraliser sur les gestes sensibles |
| Validation dans l'application bancaire | Un geste lié à l'opération | Élevée si le lien dynamique est réel | Rendre obligatoire, avec affichage explicite |
La colonne de droite résume la position défendable aujourd'hui : la voix peut rester un confort, elle ne peut plus être un facteur.
Le point aveugle : le code que le client dicte
Le scénario le plus coûteux ne suppose aucune prouesse technique. L'appelant demande au client de lui lire le code reçu par SMS, ou de valider la notification qu'il vient de recevoir « pour annuler l'opération frauduleuse ». Le client coopère, parce que l'urgence et l'autorité sont crédibles.
Deux enseignements en découlent.
Le premier concerne le type de facteur. Tout facteur dont la valeur peut être énoncée à voix haute est extorquable par téléphone. Cela vise le SMS-OTP — déjà classé « restricted » par le NIST SP 800-63B — le TOTP et l'OTP par e-mail.
Le second concerne le contenu de la demande. Une notification qui affiche « confirmez votre connexion » ne donne au client aucun moyen de comprendre ce qu'il valide. Une validation qui affiche le montant et le bénéficiaire réels, conformément au lien dynamique exigé par la DSP2 (directive (UE) 2015/2366), lui rend cette possibilité — à condition qu'il lise.
Parades applicables, du plus simple au plus structurel
- Poser une règle publique et invariable. Aucun collaborateur de la banque ne demande de valider une opération, de communiquer un code ou d'installer un outil pendant un appel. Cette règle doit être connue du client avant l'appel frauduleux, sinon elle ne sert à rien.
- Instaurer le rappel systématique sur un numéro issu du référentiel de la banque, jamais sur celui affiché ou communiqué par l'appelant. Le numéro d'appelant se falsifie sans difficulté.
- Retirer la voix des parcours d'authentification sur les gestes à effet financier.
- Imposer un délai et une notification hors bande sur les virements atypiques et les ajouts de bénéficiaires, ce qui donne à la victime le temps de sortir de l'état d'urgence induit.
- Séparer les pouvoirs côté entreprise cliente : au-delà d'un seuil, deux validations par des personnes distinctes, sur des canaux distincts. Un deepfake vocal peut convaincre une personne ; convaincre deux personnes sur deux canaux est un problème d'un autre ordre.
- Déplacer la preuve vers l'intention. Le facteur cognitif fait résoudre un défi au moment de l'opération, dans un canal éphémère ouvert par QR code dynamique à usage unique. Rien n'est verbalisable, donc rien ne peut être dicté à un interlocuteur au téléphone : c'est la propriété qui compte face à ce type de fraude.
FAQ
La biométrie vocale doit-elle être abandonnée en banque ?
Comme facteur d'authentification sur des gestes financiers, elle n'offre plus une garantie suffisante. Comme élément de confort ou signal parmi d'autres dans un score de risque, elle conserve une utilité, à condition de ne jamais faire foi seule.
Un détecteur de voix synthétique est-il fiable ?
Les détecteurs progressent, mais font face à des générateurs qui progressent aussi. Ils constituent un signal de risque exploitable, pas un verdict sur lequel fonder l'autorisation d'un virement.
La DSP2 protège-t-elle contre le faux conseiller ?
Le lien dynamique empêche de transformer une validation en un autre virement. Il ne protège pas lorsque le client valide sciemment le virement frauduleux : les données affichées sont exactes, c'est la décision qui est manipulée. D'où l'importance du délai et de la notification hors bande.
Comment protéger une entreprise cliente contre la fraude au dirigeant ?
Par la procédure plus que par la technique : seuils de double validation, canal de confirmation prédéfini et connu, interdiction explicite des paiements « urgents et confidentiels ». Ces règles doivent protéger le collaborateur qui refuse, pas l'exposer.
Aller plus loin : authentification cognitive · deepfake et fraude au faux conseiller · SMS-OTP face au vishing · valider un virement avec le facteur cognitif