Pourquoi la préparation aux deepfakes doit faire partie de votre plan d'urgence
- Une vidéo apparaît en ligne montrant une personnalité publique tenant des propos qu'elle n'a jamais prononcés. En quelques minutes, la vidéo se répand et déclenche une réaction publique.
- La voix du PDG résonne au téléphone. Elle semble urgente. « Autorisez le transfert immédiatement. » Plus tard, l'entreprise apprend que l'appel était faux.
- Un employé reçoit un message vocal d'un cadre dirigeant lui demandant de contourner les contrôles habituels. Le message semble authentique. Il ne l'est pas.
Les deepfakes ne sont plus une nouveauté. Ils constituent un risque de communication et de fraude qui évolue rapidement et qui peut déclencher une crise en quelques minutes causant des pertes financières, une confusion interne et une atteinte à la réputation.
La plupart des organisations investissent massivement dans la préparation aux cyberattaques, à la fraude et à d'autres menaces numériques. Les deepfakes ne remplacent pas ces risques. Ils les amplifient. C'est pourquoi la préparation aux deepfakes doit figurer dans le plan d'action en cas de crise. À la croisée de la cybersécurité, des contrôles antifraude et de la gestion de la réputation, les deepfakes exigent une réponse conçue d’emblée pour être transversale.
Les deepfakes utilisent l'intelligence artificielle pour créer des fichiers audio et vidéo très réalistes qui imitent de manière convaincante des personnes réelles. Ils exploitent les mêmes signaux de confiance, d'urgence et d'autorité sur lesquels les cybercriminels s'appuient depuis des années. Ce qui a changé, c'est leur rapidité et leur accessibilité. Cette technologie est désormais peu coûteuse, rapide à produire et se propage à une vitesse qui dépasse la capacité de réaction de la plupart des organisations.
Même si les médias synthétiques offrent des utilités légitimes, les deepfakes sont de plus en plus utilisés à des fins de fraude, de désinformation et d'ingénierie sociale. L'usurpation d'identité de cadres supérieurs et les vidéos fabriquées de toutes pièces sont de plus en plus courantes et difficiles à distinguer des communications authentiques.
Pour les équipes de direction, la question centrale n'est pas de savoir si les deepfakes vont survenir, mais si l'organisation sera prête lorsqu'ils surviendront. La réponse appropriée consiste à se préparer plutôt qu'à s'alarmer, une approche que les organisations appliquent déjà à d'autres cybermenaces et crises.
Chez NATIONAL, nous considérons les deepfakes comme une crise de confiance : plus la désinformation se propage rapidement, plus la réponse doit être réfléchie. Comme les deepfakes ne peuvent être évités, l'objectif n'est pas de les éliminer, mais d'en réduire l'impact, grâce à la préparation, à la vérification et à des processus décisionnels clairs.
Pourquoi la préparation aux deepfakes s'inscrit dans les plans d'action existants
La plupart des organisations disposent déjà de plans d'intervention en cas de cyberincident et de crise qui régissent la détection, l'escalade, la communication et la reprise. Les incidents liés aux deepfakes s'inscrivent naturellement dans ce cadre.
Comme l’hameçonnage (phishing) et d’autres menaces numériques, les deepfakes exploitent la confiance des gens et les failles dans la capacité de réaction des organisations. Les mêmes mécanismes de gouvernance, les mêmes circuits d’escalade et la même coordination entre équipes utilisés lors d’incidents de cybersécurité s’appliquent aussi aux événements liés aux médias synthétiques.
Une réponse efficace dépend d'une coordination en amont entre les équipes chargées de la communication, des questions juridiques, de la cybersécurité, des risques et de la direction. Elle nécessite également une vérification préliminaire avant toute action publique et des seuils clairs pour déterminer quand rendre l'information publique (et quand ne pas le faire).
La clarté des canaux de communication est particulièrement importante dans le cas d'un incident lié aux deepfakes. Les organisations doivent indiquer clairement quels sont les canaux officiels faisant autorité et devant être considérés comme la principale source d'information fiable. La priorisation de ces canaux aide les employés, les clients et le public à distinguer les communications légitimes des contenus fabriqués de toutes pièces et réduit le risque que des informations erronées comblent le vide informationnel.
La préparation aux deepfakes ne nécessite pas de programme distinct. Il s'agit d'une extension des capacités dont disposent déjà de nombreuses organisations.
Mesures pratiques pour se préparer
Intégrez-les dans votre stratégie de gestion des risques.
Les organisations doivent explicitement reconnaître les deepfakes dans leur stratégie de gestion des risques de cybersécurité, au même titre que les fraudes et les attaques basées sur la tromperie. Cela inclut la définition de procédures d'escalade, de rôles internes et de déclarations officielles approuvées.Vérifier avant d'agir.
La vérification doit précéder la réponse. Un processus clair doit être mis en place pour confirmer l'authenticité des communications audio, vidéo ou provenant de la direction avant de prendre des mesures.Centraliser les communications.
La communication doit être rigoureuse. Les organisations doivent désigner une seule source faisant autorité, privilégier les canaux officiels, limiter les déclarations aux faits vérifiés et éviter de répéter ou de décrire en détail des contenus erronés, ce qui peut involontairement les amplifier.Former les employés à signaler rapidement.
La sensibilisation des employés est importante. Des conseils pratiques sur la manière de reconnaître et de signaler les deepfakes soupçonnés réduisent le risque que des contenus frauduleux se propagent au sein de l'entreprise avant d'avoir été vérifiés.Répétez à l'aide d'exercices sur table.
Les scénarios de deepfakes doivent être inclus dans les exercices de simulation de cyberattaques et de crises. Cela permet de clarifier les pouvoirs décisionnels et de renforcer la confiance envers les dirigeants.
L'essentiel
Les deepfakes représentent une nouvelle méthode pour relever un défi de longue date : l'érosion de la confiance en ligne.
En intégrant la préparation aux deepfakes dans les plans d'action existants en matière de cybersécurité et de gestion de crise, grâce à la gouvernance, la vérification, la formation et la discipline de communication, les organisations peuvent réagir de manière réfléchie plutôt que dans l'urgence.
Cette préparation réduit la confusion au moment de la crise, permet une prise de décision éclairée de la part des dirigeants et contribue à protéger à la fois la réputation et la stabilité opérationnelle lorsque la confiance est primordiale.
Notre équipe de gestion de crise aide les organisations à faire face aux événements de cybersécurité qui affectent leur réputation, où la vérification et la rapidité sont en constante tension. Pour tester votre état de préparation, NATIONAL peut organiser une simulation de 90 minutes sur la préparation aux deepfakes, auditer vos canaux d'information fiables et vos directives à l'intention des employés, ou intégrer un protocole de réponse dédié aux deepfakes dans votre plan d'action en cas de crise.
