Dans le secteur juridique, le deepfake vocal exploite une particularité du métier : la parole y a valeur d'engagement. Une instruction donnée par téléphone par un client, un confrère ou un mandataire est reçue comme légitime, parce que la relation professionnelle repose sur la confiance personnelle. Un appelant dont la voix est clonée à partir d'échantillons publics — plaidoiries filmées, colloques, interventions médias, messageries vocales — obtient donc des actes qu'aucun contrôle technique n'observe.
Le moment de vulnérabilité : la fenêtre de mouvement de fonds
Le secteur présente une fenêtre de risque très identifiable : les jours où des fonds de dossier sont sur le point d'être versés. Vente immobilière, transaction, exécution d'un jugement, répartition après cession : ces échéances sont connues des parties, planifiées, et souvent mentionnées dans des échanges écrits.
L'attaquant qui a lu ces échanges — généralement après une compromission de messagerie — appelle au bon moment. Il n'a pas besoin d'inventer un contexte : il exploite un contexte réel, avec les bons montants, les bonnes dates et les bons noms. La voix clonée ne fait que lever le dernier doute.
Cette caractéristique dicte la parade principale : ce n'est pas l'appel qu'il faut authentifier, c'est le circuit des coordonnées bancaires qu'il faut rendre insensible aux appels.
Les figures d'usurpation les plus employées
| Interlocuteur imité | Demande formulée | Ce qui la rend crédible | Contrôle à opposer |
|---|---|---|---|
| Le client | Modifier le compte de destination des fonds | Connaissance du dossier et du calendrier | RIB communiqué en amont, aucune modification par appel |
| Un confrère | Transmettre une pièce ou un projet d'acte | Vocabulaire et références de procédure exacts | Envoi par espace tracé, jamais en pièce jointe sur demande orale |
| Un associé du cabinet | Valider un virement urgent | Autorité interne, urgence | Double signature au-delà d'un seuil |
| Un mandataire ou un tiers de confiance | Débloquer un séquestre | Formalisme apparent | Confirmation écrite sur canal maîtrisé |
| Un collaborateur en déplacement | Réinitialiser un accès | Contexte plausible, jargon | Aucune réinitialisation par téléphone |
| Un service bancaire | Confirmer une opération | Numéro d'appelant falsifié | Rappel sur numéro de l'agence au dossier |
La dernière ligne rappelle un point technique souvent ignoré : l'affichage du numéro d'appelant ne constitue aucune preuve. Sa falsification est à la portée d'un attaquant sans compétence particulière.
Une règle à inscrire dans la lettre de mission
La contre-mesure la plus efficace pour un cabinet ne relève pas de l'informatique : elle relève de la rédaction contractuelle.
Une clause de la lettre de mission peut poser que les coordonnées bancaires du cabinet sont communiquées une seule fois, par un canal défini, et qu'aucune modification ne sera jamais notifiée par message ou par téléphone. Symétriquement, elle peut prévoir que toute instruction de virement du client fera l'objet d'une confirmation par un canal convenu à l'avance.
Cette clause produit trois effets. Elle informe le client avant l'incident, moment où l'information est réellement utile. Elle rend la règle opposable, ce qui protège le cabinet. Et elle donne au collaborateur qui reçoit un appel insistant un motif de refus qui ne repose pas sur son jugement personnel.
Ce que la technique peut ajouter
Trois mesures complètent utilement la clause contractuelle.
Protéger la messagerie par un facteur résistant au phishing. L'attaque vocale est presque toujours précédée d'une lecture des échanges. Fermer cette porte réduit la crédibilité de l'appel, faute de contexte.
Surveiller les règles de boîte. La création d'une règle de transfert ou de classement automatique est le geste de persistance le plus fréquent après une compromission de messagerie, et le plus facile à détecter.
Ancrer la preuve sur l'acte. Un facteur dont la valeur peut être prononcée est extorquable au téléphone par construction. Le facteur cognitif repose sur une méthode de résolution personnelle acquise lors d'un enrôlement hors ligne, non transmissible et non verbalisable, avec un défi résolu dans un canal éphémère ouvert par QR code dynamique à usage unique. Appliqué au moment de l'instruction de virement, il produit une preuve d'intention rattachée à une personne et à une opération — ce qu'un appel, même parfaitement crédible, ne peut pas fournir.
Le cas particulier du secret professionnel
Toutes les fraudes vocales ne visent pas l'argent. Dans un contentieux à fort enjeu, obtenir la transmission d'une pièce ou d'un projet d'acte a une valeur en soi. Ce scénario est plus difficile à détecter, parce qu'il ne produit aucun mouvement financier et que la victime n'a pas conscience d'avoir subi une attaque.
La parade est la même que pour les fonds : la transmission de pièces passe par un espace tracé, à des destinataires enregistrés, jamais sur demande orale. Le coût de cette discipline est faible ; celui d'une divulgation ne se répare pas.
FAQ
Reconnaît-on une voix clonée au téléphone ?
Rarement. Le canal téléphonique dégrade le signal et masque une partie des artefacts de synthèse. L'oreille humaine ne constitue pas un contrôle fiable, surtout dans un contexte d'urgence.
Le rappel du client suffit-il à vérifier une instruction ?
Seulement si le numéro provient du dossier constitué avant la demande. Un rappel sur le numéro communiqué pendant l'appel ou figurant dans un message récent ne vérifie rien.
La responsabilité du cabinet est-elle engagée en cas de détournement ?
L'appréciation dépend des circonstances et relève du conseil propre à chaque situation. Sur le plan pratique, l'existence d'une clause écrite, appliquée et documentée, change nettement la position du cabinet.
Faut-il limiter les enregistrements publics de la voix des associés ?
Réduire l'exposition est utile mais insuffisant : quelques secondes suffisent aux modèles actuels, et une plaidoirie ou une intervention publique reste difficilement évitable. La défense doit reposer sur la procédure, pas sur la rareté des échantillons.
Aller plus loin : authentification cognitive · AiTM en cabinet juridique · deepfake et faux conseiller · le facteur cognitif et la signature électronique