En santé, le deepfake vocal dispose d'un levier que peu de secteurs offrent : l'urgence clinique. Un appelant qui invoque un patient en cours de prise en charge obtient une coopération immédiate, parce que refuser paraît dangereux. Le clonage d'une voix — celle d'un praticien, d'un cadre de santé, d'un correspondant d'un autre établissement — transforme cette dynamique en vecteur d'accès à des données ou à des systèmes.
Ce que l'appelant demande réellement
Contrairement à la banque ou à l'industrie, la demande n'est presque jamais financière. Elle porte sur trois objets.
Une donnée. Communiquer un résultat, un antécédent, une identité, une adresse. La demande paraît d'autant plus légitime que le partage d'information entre professionnels fait partie du soin.
Un accès. Obtenir la réinitialisation d'un facteur d'authentification auprès du guichet informatique, ou l'ouverture d'un accès temporaire pour un « remplaçant » attendu.
Une action administrative. Modifier une identité patient, rattacher un dossier, valider une demande de transport ou une prescription. Ces gestes sont exécutés par des personnels administratifs peu ciblés par les campagnes de sensibilisation.
Le paradoxe de la culture soignante
La sécurité informatique en santé se heurte à une tension réelle : les réflexes qui protègent le patient — répondre vite, faire confiance à un confrère, ne pas bloquer une prise en charge — sont exactement ceux que l'ingénierie sociale exploite.
Nier cette tension produit des consignes que personne n'applique. La reconnaître permet de construire des règles tenables, fondées sur un principe : une vérification de deux minutes n'a jamais aggravé un pronostic ; une divulgation ne se répare pas.
| Interlocuteur imité | Demande | Personnel visé | Verrou réaliste |
|---|---|---|---|
| Praticien d'un autre établissement | Résultats, antécédents | Secrétariat médical | Rappel sur l'annuaire de l'établissement appelant |
| Cadre de santé | Ouverture d'accès pour un remplaçant | Guichet informatique | Circuit RH, jamais un appel |
| Praticien de l'établissement | Réinitialisation de facteur | Support | Identification hors voix, tracée |
| Prestataire biomédical | Accès de télémaintenance | Service technique | Fenêtre planifiée, ticket préalable |
| Laboratoire partenaire | Transmission d'un fichier de résultats | Biologie, secrétariat | Canal d'échange établi uniquement |
| Famille de patient | Information sur un séjour | Accueil, unité de soins | Procédure d'information définie |
Le passage par le guichet informatique
Le scénario le plus lourd de conséquences combine deux appels. Le premier, vers un secrétariat, collecte du contexte : noms de praticiens, organisation du service, vocabulaire, outils utilisés. Le second, vers le support informatique, demande la réinitialisation d'un facteur pour un compte à privilèges, avec le contexte obtenu au premier appel et l'urgence clinique en toile de fond.
Ce chaînage impose une règle sans exception : aucun facteur d'authentification n'est réinitialisé sur la base d'un appel téléphonique, quel que soit le motif invoqué. Pour que cette règle tienne la nuit, deux conditions sont nécessaires.
D'abord, une procédure alternative doit exister et être connue : circuit d'astreinte identifié, validation par un cadre joint sur un numéro de l'annuaire interne, ou compte de secours pré-enrôlé pour les fonctions critiques. Interdire sans proposer produit des contournements.
Ensuite, l'agent qui refuse doit être soutenu institutionnellement. Une consigne qui expose son auteur à un reproche hiérarchique ne survit pas à son premier appel difficile.
Réduire la dépendance à la parole
Trois mesures déplacent la décision hors du canal vocal.
Le contre-appel sur annuaire. Toute demande sensible reçue par téléphone est confirmée par un rappel sur un numéro issu de l'annuaire de l'établissement — jamais celui affiché, qui se falsifie sans compétence particulière.
Le canal d'échange préétabli. Les transmissions entre professionnels passent par les circuits prévus, avec des correspondants enregistrés. Une demande de transmission par un canal inhabituel est un signal en soi, indépendamment de la voix qui la formule.
La preuve d'intention sur l'acte. Tout facteur dont la valeur s'énonce — code reçu par SMS, code temporaire affiché — peut être obtenu au téléphone par un interlocuteur convaincant. Le facteur cognitif fonctionne autrement : l'utilisateur applique une méthode acquise lors d'un enrôlement hors ligne, qu'il ne peut ni réciter ni transmettre, à un défi posé dans un canal éphémère ouvert par QR code dynamique à usage unique. Sur une demande d'accès ou une modification d'identité patient, la trace obtenue rattache l'opération à une personne et à un geste précis. La biométrie y étant traitée localement et aucune donnée identifiante n'étant détenue à l'extérieur, le dispositif reste compatible avec les exigences applicables aux données de santé.
FAQ
Peut-on refuser une demande présentée comme vitale ?
On ne refuse pas l'information : on refuse le canal. La bonne formulation consiste à proposer immédiatement le circuit prévu — rappel sur annuaire, transmission par le canal établi — plutôt qu'à opposer un refus sec, qui met le professionnel en difficulté.
Le secret médical est-il opposable à un appelant qui insiste ?
Il constitue précisément le fondement de la vérification. Communiquer une donnée de santé à un interlocuteur non vérifié est une violation potentielle, indépendamment de la sincérité apparente de la demande.
Les secrétariats doivent-ils être formés en priorité ?
Ils figurent parmi les cibles les plus exposées, avec les guichets informatiques et les services administratifs. La sensibilisation des seuls soignants laisse ouverte la porte la plus utilisée.
Une biométrie vocale peut-elle sécuriser les appels entre professionnels ?
Elle n'offre pas une garantie suffisante face à la synthèse vocale actuelle, surtout sur un canal téléphonique dégradé. Le contre-appel sur annuaire reste plus fiable et beaucoup moins coûteux.
Aller plus loin : authentification cognitive · AiTM dans la santé · détecter un deepfake · credential stuffing en santé