Fraude KYC par deepfake IA : comment les escrocs contournent la vérification faciale (et comment vous protéger)

Réponse rapide : Le Indian Cyber Crime Coordination Centre (I4C) indien, sous l'égide du ministère de l'Intérieur, a averti (Avis TAU/ADV/016, 10 juin 2026) que des fraudeurs utilisent des deepfakes IA et des clones vocaux pour contourner l'authentification faciale, la vérification de présence réelle (liveness) et le Video-KYC auprès des banques et des sociétés de technologie financière. La mesure la plus efficace que vous puissiez prendre aujourd'hui est de verrouiller vos données biométriques et de ne jamais effectuer de mouvements du visage devant une caméra pour un inconnu. Si vous avez déjà été victime, signalez-le immédiatement sur cybercrime.gov.in ou appelez le 1930.

Ce qui se passe

La vérification du visage et de la « présence réelle » est devenue la colonne vertébrale de la banque à distance précisément parce qu'un vrai visage humain était difficile à falsifier. L'IA générative a érodé cette hypothèse. L'avis de l'I4C ne décrit pas une situation hypothétique — il expose un mode opératoire actif et reproductible visant l'infrastructure financière : intégration KYC, récupération de compte et activation de portefeuille numérique. Le maillon le plus faible est rarement le serveur de la banque ; c'est une vidéo enregistrée de vous, capturée par le biais de l'ingénierie sociale quotidienne.

Comment fonctionne l'arnaque — les 5 étapes décrites par l'I4C

1. Contact initial. Les fraudeurs vous contactent via les réseaux sociaux, les applications de messagerie, les portails d'emploi, les plateformes de rencontre ou par téléphone — souvent avec une approche amicale du type « nous avons une opportunité d'emploi, pouvons-nous faire un appel vidéo rapide ? »
2. Collecte de données faciales. Votre visage est extrait de profils publics, ou vous êtes convaincu de participer à un « entretien vidéo » où l'on vous demande de regarder l'écran, de tourner la tête, de cligner des yeux et de parler — les mouvements exacts recherchés par un contrôle de présence réelle. L'appel est secrètement enregistré.
3. Génération de deepfake par IA. La séquence est traitée par des outils d'IA qui construisent une réplique numérique réaliste capable d'imiter vos expressions, vos clignements d'yeux et votre voix.
4. Tentative de contournement. Lorsque le système cible ne dispose pas de détection de deepfake, la vidéo synthétique est diffusée lors de l'étape d'authentification faciale et de vérification de présence pour usurper votre identité.
5. KYC frauduleux et activation de compte. Une fois la vérification « réussie », les criminels créent ou activent des comptes et des portefeuilles à votre nom — le point de départ de la fraude financière.

Comment vous protéger

• Verrouillez vos données biométriques. L'I4C considère cela comme la défense la plus efficace contre ce type de vol d'identité à distance. La plupart des applications d'identité nationale et bancaires vous permettent de geler votre profil biométrique afin qu'il ne puisse pas être utilisé pour une nouvelle vérification tant que vous ne l'avez pas déverrouillé. Gardez-le verrouillé par défaut.
• Soyez impitoyable face aux « entretiens vidéo » avec des inconnus. Traitez toute demande non sollicitée d'appel vidéo en direct — surtout si elle vous demande de cligner des yeux, de tourner la tête ou de lire un texte à voix haute — comme un signal d'alarme. Les offres d'emploi, les « conseillers » en investissement et les nouvelles connaissances en ligne sont des couvertures courantes.
• Limitez l'exposition de votre visage. Les vidéos et photos claires et de face sur des profils ouverts sont la matière première de ces outils. Renforcez les paramètres de confidentialité sur les plateformes sociales et de rencontre.
• Surveillez vos notifications. Prenez au sérieux chaque alerte de « connexion non autorisée » ou de « nouvelle tentative d'authentification » — il se peut que votre réplique soit testée sur un compte.
• Traitez une perte soudaine de signal mobile comme une urgence. Si votre téléphone perd brusquement le réseau, appelez immédiatement votre opérateur télécom — cela peut signaler un échange de carte SIM frauduleux utilisé pour intercepter vos OTP.

Si vous pensez avoir été ciblé

La rapidité détermine si l'argent est récupérable.

1. Signalez immédiatement sur cybercrime.gov.in ou appelez le 1930. Plus une plainte est déposée rapidement, plus il y a de chances de geler les fonds détournés avant qu'ils ne quittent le réseau bancaire — voici exactement comment le pipeline 1930 / CFCFRMS de l'Inde gèle les transferts frauduleux.
2. Suivez le processus étape par étape dans notre guide complet sur comment signaler un cybercrime en Inde et récupérer votre argent.
3. Fournissez les preuves : le numéro de contact du fraudeur et le lien vers l'appel vidéo qu'ils ont utilisé.
4. Alertez votre banque pour geler les comptes et signaler toute activité de KYC ou de récupération de compte que vous n'avez pas initiée. Si vous ne savez pas quoi faire dans la première heure, commencez par ce qu'il faut faire juste après une arnaque.

La situation dans son ensemble

Il s'agit du volet fraude financière d'un problème mondial : à mesure que les outils de deepfake deviennent moins chers et plus performants, les contrôles de « preuve d'humanité » conçus pour l'ère pré-IA sont sous pression dans le monde entier, et les banques et régulateurs s'empressent partout d'ajouter la détection de deepfake à leurs processus d'intégration. L'avis de l'I4C transfère cette responsabilité aux fintechs et aux systèmes d'intégration des clients — mais tant que la détection ne sera pas universelle, la défense pratique repose sur vous : verrouillez vos données biométriques, protégez votre visage et n'effectuez jamais de mouvements faciaux devant une caméra pour un inconnu.

Sources

• I4C / MHA — Avis TAU/ADV/016, Contournement de l'authentification par IA (10 juin 2026)
• Portail national de signalement des cybercrimes — cybercrime.gov.in (ligne d'assistance 1930)