On s’obstine tous à partager ces vidéos trop parfaites sans se poser de question, alors que c’est ce qui manque dans le coin de l’image qui coûte 15 millions d’euros

Un employé de la branche hongkongaise du géant britannique de l’ingénierie Arup a validé quinze virements bancaires en une seule visioconférence, convaincu de parler à son directeur financier et à plusieurs collègues. Aucun d’entre eux n’existait. La réunion a conduit le salarié à effectuer quinze transferts vers cinq comptes bancaires hongkongais, pour un total de 200 millions de dollars de Hong Kong, soit l’équivalent de 20 millions de livres sterling envoyées à des escrocs par un simple appel vidéo truqué. Le détail qui aurait pu tout changer ? Il se cachait dans les yeux des faux interlocuteurs, et personne n’a eu le réflexe de le chercher.

Cette histoire, révélée par la police de Hong Kong puis confirmée par l’entreprise elle-même en mai 2024, reste la référence absolue quand on parle de fraude par vidéo truquée en entreprise. L’employé a réalisé quinze transferts distincts totalisant environ 25,6 millions de dollars, convaincu par la présence en direct de plusieurs figures reconnues. Le scénario tenait sur un fil : pendant une heure, il a échangé normalement, posé des questions et obtenu des réponses cohérentes. Rien, sur le moment, ne laissait deviner la supercherie. La fraude n’a été découverte qu’après coup, en recontactant directement le siège social au Royaume-Uni.

Le détail invisible qui trahit (presque) tout

Voilà le paradoxe. Ces vidéos paraissent parfaites à l’œil nu, et pourtant, la recherche a identifié depuis des années un signal presque universel chez les deepfakes : le clignement des yeux. Une équipe de l’université de Buffalo a même construit un outil de détection entier autour de ce principe, en observant que des informaticiens ont mis au point un moyen étonnamment simple de repérer les deepfakes en analysant les reflets de la lumière dans les yeux, un outil efficace à 94 % lors des expériences sur des photos de style portrait. Le même chercheur avait démontré plus tôt que les vidéos deepfakes ont tendance à présenter des taux de clignement incohérents ou inexistants pour les sujets vidéo.

Le mécanisme est presque physiologique dans sa logique : un œil humain n’est jamais totalement immobile. Chez une personne réelle, le clignement se produit toutes les 2 à 10 secondes et s’accompagne toujours de petits mouvements musculaires, alors que les visages générés par l’IA clignent souvent de façon robotique, parfois seulement une fois toutes les 30 à 60 secondes. Un détail que peu de gens pensent à chronométrer quand ils partagent une vidéo virale sur leur groupe familial ou professionnel.

Le problème, c’est que ce fameux indice s’efface à mesure que la technologie progresse. Une enquête menée en France montre d’ailleurs que le grand public mise encore largement sur des repères qui deviennent obsolètes : pour 59 % des Français, des mouvements de lèvres peu naturels sont facilement détectables, tandis qu’un clignement des yeux insuffisant est considéré comme un indice par seulement 33 % des personnes interrogées. deux tiers des gens ne pensent même pas à regarder cette zone du visage, alors qu’elle reste l’une des plus révélatrices. D’autres signaux plus subtils existent aussi, comme des reflets incorrects sur les lunettes (25 %), des ombres imprécises autour des yeux (21 %) ou un manque de détails capillaires sur le visage (15 %), mais ils sont jugés bien plus difficiles à repérer sans entraînement.

Une menace qui ne se limite plus aux multinationales

Ce qui frappe, c’est la vitesse à laquelle le phénomène s’est banalisé depuis l’affaire Arup. En France, un retraité du Loir-et-Cher en a fait les frais fin 2025 : un septuagénaire a été piégé par un deepfake d’Éric Antoine diffusé via sa télévision piratée, et a investi 16 500 euros sur un faux site de trading avant de comprendre l’arnaque. Même la Banque de France n’échappe pas au phénomène, puisqu’elle a dû alerter en avril 2026 sur la circulation de deepfakes vidéo imitant son propre gouverneur, preuve que la menace ne concerne plus seulement quelques grands groupes isolés.

Les chiffres globaux donnent le vertige. Une étude de l’éditeur Surfshark estime que les pertes cumulées en 2025 associées à ce type de fraude ont dépassé 863 millions d’euros, contre 110 millions d’euros entre 2019 et 2023. Et l’accélération technique n’arrange rien : selon une autre étude, le coût des attaques par deepfake a fait un bond de 2000 % depuis 2023 et l’arrivée de la génération de contenu par IA. Un responsable cité dans cette même étude résume bien le glissement en cours en évoquant une « industrialisation de la manipulation » plutôt qu’une fraude isolée.

Ce qu’il reste à faire, même quand l’œil ne suffit plus

Repérer un clignement bizarre reste utile, mais ça ne suffira plus très longtemps. Les modèles les plus récents commencent à corriger ce défaut historique, comme le confirment plusieurs analyses techniques : les premiers modèles de deepfake avaient du mal à reproduire le clignement naturel des yeux, mais bien que les modèles récents aient comblé cette lacune, un clignement trop rare, trop fréquent ou visuellement saccadé reste un signal d’alerte. l’indice fonctionne encore, mais sa fenêtre de fiabilité se réduit à mesure que les outils gratuits se perfectionnent.

Face à ça, la vraie protection ne repose plus sur un seul détail visuel mais sur un réflexe simple : ne jamais valider une demande financière ou sensible sur la seule base d’une visioconférence, aussi convaincante soit-elle. C’est justement l’absence de ce réflexe qui a coûté des dizaines de millions à Arup, alors même que l’entreprise avait reconnu vouloir révéler l’incident pour sensibiliser le public à la sophistication croissante des cyberattaquants. La prochaine fois qu’une vidéo trop parfaite atterrit dans une messagerie professionnelle, un simple coup de fil sur un numéro déjà connu vaut largement mieux qu’un examen minutieux des pupilles à l’écran.

Sources : cyber-securite.fr | image-ppubs.uspto.gov | intelligence-artificielle.developpez.com