Un analyste du SOC (Centre des opérations de sécurité) commence sa vacation en ouvrant une file d’attente d’alertes ; un outil de tri basé sur l’IA y a déjà attribué un score à une demande vidéo suspecte émanant prétendument d’un dirigeant. Ce score indique un niveau de risque, mais ne détermine pas si la demande est légitime, si un paiement peut être effectué ou qui est responsable de la décision finale. Dans ce module, nous définirons les livrables attendus pour un incident suspecté de deepfake : une position justifiée en matière de sécurité et de lutte contre la fraude, étayée par des preuves, des vérifications et un processus d’escalade clair.
Le terme deepfake désigne des contenus audio, vidéo ou visuels créés ou modifiés grâce à l’apprentissage automatique (machine learning) pour imiter une personne. Les fraudeurs utilisent ces supports pour exploiter la confiance accordée à une voix ou un visage familier, tout en créant souvent un sentiment d’urgence et de confidentialité. L’usurpation d’identité d’un dirigeant correspond à la technique T1656 (« Impersonation ») du référentiel MITRE ATT&CK. Le rôle de l’équipe de sécurité est de protéger le processus décisionnel, et non de juger de la simple authenticité visuelle ou sonore du contenu.
Incident simulé : La coopérative de crédit Northbridge reçoit une demande vidéo semblant provenir de son directeur financier, sollicitant un virement bancaire urgent. Nous allons suivre la manière dont l’équipe transforme cette demande en un résultat documenté et susceptible d’être réexaminé. Examinons le parcours, de la réception de l’alerte jusqu’à l’escalade :
Une décision justifiable expose les faits, les éléments de preuve conservés, l’autorité décisionnelle ainsi que les raisons pour lesquelles l’équipe a agi ou a suspendu le processus. Il n’est pas nécessaire de prouver le caractère synthétique d’un contenu multimédia avant d’interrompre une transaction risquée. Pour une demande portant sur un montant élevé, une vérification indépendante et le recours au processus d’approbation des paiements en vigueur offrent des garanties plus solides que les seuls indices visuels ou sonores.
Le dossier de l’incident doit distinguer les faits observés des simples suppositions. Un ticket d’incident, un historique d’appel et un projet de virement permettent d’établir la nature de la demande, le canal utilisé, le moment de l’échange et l’impact potentiel. Ils ne confirment pas pour autant que l’interlocuteur était bien le directeur financier. Cette distinction permet d’éviter un écueil classique : considérer une présentation convaincante comme une preuve d’identité. Examinez les éléments dont dispose Northbridge au stade de la prise en charge :