Reconnaître un deepfake : vidéo, voix clonée et appels

Pour reconnaître un deepfake, l'image seule suffit rarement. Repère les signaux d'alerte : un visage flou ou pixélisé, des yeux qui bougent de façon peu naturelle, une bouche mal synchronisée avec le son, une voix sans hésitations. Le contexte compte encore plus. Si quelqu'un te demande de l'argent ou des informations personnelles par appel vidéo, appel ou message vocal, raccroche et rappelle la personne sur un numéro que tu connais.

Les deepfakes, ou hypertrucages, sont des vidéos, images et sons créés ou modifiés par intelligence artificielle. Des escrocs s'en servent pour imiter un proche, un patron ou une célébrité. Chez TrustCamera, nous développons une appli photo qui attribue un code de vérification aux photos et vidéos dès leur capture. Ce travail nous a montré combien il est difficile de juger un fichier après coup. Voici les signaux d'alerte, leurs limites et les vérifications qui marchent même contre un faux parfait.

Reconnaître un deepfake : les étapes clés en bref

Pour reconnaître un deepfake, combine deux choses : un examen attentif des défauts typiques de l'image et du son, et une vérification par un second canal. Ces défauts deviennent de plus en plus difficiles à repérer. Rappeler sur un numéro connu, poser une question personnelle ou demander le mot de code familial fonctionne même quand le faux est parfait.

1. Prends ton temps : une pression pour payer vite ou pour communiquer des informations sensibles est le signal le plus fort, même si le visage et la voix semblent vrais.
2. Regarde et écoute attentivement : vérifie les contours du visage, les yeux, la bouche et la lumière, et méfie-toi d'une voix trop lisse.
3. Vérifie par un autre canal : raccroche et rappelle la personne sur un numéro que tu sais être le sien.
4. Pose une question que seule elle connaît : ou demande le mot de code convenu en famille.
5. Vérifie la source : pour une vidéo virale, cherche qui l'a publiée en premier et si des médias fiables en parlent.

Les étapes 3 et 4 comptent le plus, car elles fonctionnent quelle que soit la qualité du faux. S'il s'agit d'une seule photo plutôt que d'une vidéo ou d'un appel, notre guide comment savoir si une photo est truquée détaille sept vérifications, de la recherche inversée aux métadonnées.

Ce que sont les deepfakes : visage échangé, voix imitée, contenu inventé

Le mot deepfake est la contraction de deep learning (« apprentissage profond ») et de fake (« faux »). Selon la CNIL, un deepfake est un contenu audio, photo ou vidéo créé ou modifié grâce à l'intelligence artificielle. Il imite une voix, un visage ou un mouvement avec un réalisme de plus en plus difficile à distinguer d'un contenu authentique. Au quotidien, trois formes sont à connaître :

• Échange de visage (face swapping) : le visage d'une personne est remplacé par un autre dans une vidéo.
• Voix imitée et synchronisation labiale (lip synching) : les paroles sont modifiées et, dans une vidéo, les mouvements des lèvres sont resynchronisés pour coller au nouveau texte.
• Contenus inventés : des vidéos ou des images entièrement ou partiellement fictives.

La CNIL note que de nombreuses applications et logiciels permettent désormais d'en fabriquer, et que leur usage est largement accessible au grand public. Pour les voix, Ma Sécurité, le site de prévention de la Police nationale et de la Gendarmerie, décrit le clonage vocal. Des cybercriminels récupèrent des enregistrements sur les réseaux sociaux ou d'autres plateformes pour créer des messages qui semblent venir de tes proches.

Tous les faux n'ont pas besoin d'IA. Souvent, une vraie vidéo circule hors contexte, ou une photo a été retouchée à l'ancienne, ce que notre guide pour reconnaître une photo retouchée t'aide à repérer. Les visages inventés servent surtout de photos de profil, et nos conseils pour reconnaître une image IA valent pour ces images fixes. Notre guide pour reconnaître un faux profil réunit les autres signaux d'alerte.

Deepfake vidéo : les signes à repérer sur le visage et les gestes

Beaucoup de techniques laissent des défauts visibles, appelés artefacts. La CNIL en cite plusieurs, et la fiche de Ma Sécurité sur les arnaques utilisant l'IA en ajoute d'autres. Si tu peux, mets la vidéo en pause, zoome et vérifie ces zones :

• Netteté : l'image paraît pixélisée ou floue.
• Yeux : le regard bouge de manière peu naturelle.
• Bouche : elle semble déformée, ou les lèvres sont décalées par rapport à la voix.
• Lumière et ombres : l'éclairage du visage paraît anormal.
• Gestes et mouvements : le visage ou le corps bouge de façon étrange.
• Réalisme suspect : Ma Sécurité signale aussi les contenus extrêmement réalistes mais artificiels, comme une vidéo trop fluide.

Face à un appel vidéo suspect, tu as un petit avantage, à notre avis : en direct, l'escroc ne peut pas corriger après coup les images ratées. Demander à ton interlocuteur de tourner la tête de profil ou de passer la main devant son visage peut faire apparaître des défauts. Ce n'est pas un test sûr, juste un indice de plus.

La limite : ces défauts deviennent plus rares à chaque génération d'outils, et Ma Sécurité constate qu'il devient de plus en plus difficile de détecter ces escroqueries. Ne trouver aucun artefact ne prouve donc pas qu'une vidéo est vraie. Les vidéos partagées sur les réseaux sociaux sont aussi souvent si compressées que les détails fins se brouillent de toute façon.

Il est souvent plus simple de reconnaître un deepfake vidéo par son contexte. La CNIL conseille de se méfier des contenus choquants ou trop spectaculaires et de vérifier la source avant de croire ou de partager. Les sites de fact-checking comme AFP Factuel ou Vrai ou Fake de franceinfo vérifient régulièrement les vidéos virales. Tu peux aussi faire une capture d'écran d'une image clé et lancer une recherche d'image inversée pour retrouver l'original.

Voix clonée : repérer un deepfake au téléphone

Les voix clonées arrangent les escrocs, car un appel ne montre aucun défaut visuel. Ma Sécurité donne pourtant une piste : l'IA peut recréer une voix, mais il lui manque parfois certaines nuances, comme les hésitations ou les variations naturelles du ton. Méfie-toi donc d'une voix trop régulière, trop lisse ou étrangement plate.

Ne te fie pas pour autant au son seul. Une mauvaise connexion déforme aussi une voix, et les bons clones sonnent naturels. Le scénario autour de l'appel en dit plus : une voix familière, une urgence soudaine, une pression pour agir tout de suite et une demande de discrétion. Ma Sécurité recommande aussi de te méfier de toute demande d'argent immédiate par virement, carte prépayée ou cryptomonnaie.

Pour limiter la matière disponible, Ma Sécurité conseille de rendre tes profils sur les réseaux sociaux aussi privés que possible. La CNIL ajoute qu'il vaut mieux faire régulièrement le ménage dans ses photos et vidéos, surtout les plus anciennes. Moins ta voix et ton visage circulent publiquement, moins il est facile de les imiter.

Détecter un deepfake avec une appli : pourquoi les outils se trompent

Des applis et des sites promettent de détecter un deepfake dans une vidéo ou un fichier audio. Ma Sécurité les cite d'ailleurs parmi les outils utiles. Ils donnent pourtant une probabilité, pas une preuve, et la fiabilité d'un outil précis est presque impossible à juger de l'extérieur.

La Content Authenticity Initiative, qui soutient le standard ouvert C2PA, résume le problème. Les outils de détection d'images générées par IA peuvent rendre service, mais leurs résultats peuvent manquer de fiabilité. Ils mènent une course permanente contre les fraudeurs et doivent être mis à jour régulièrement pour rester précis.

Prends donc toute appli de détection comme un second avis, au mieux. Un résultat « probablement faux » est une bonne raison de rappeler la personne. À l'inverse, un résultat « probablement vrai » ne prouve rien. Les quiz en ligne pour s'entraîner méritent tout de même qu'on y consacre quelques minutes : la CNIL estime qu'on peut apprendre à reconnaître un deepfake, même si ce n'est pas toujours facile. Ils ne remplacent pas un rappel quand l'enjeu est réel.

La meilleure parade : vérifier l'identité par un autre canal

Puisqu'il devient de plus en plus difficile de reconnaître un deepfake à l'œil nu, les vérifications les plus fiables ne dépendent pas du faux lui-même. Face à une demande inhabituelle (argent, informations personnelles, consignes urgentes) qui semble venir d'un proche ou d'un collègue, la CNIL conseille de vérifier son authenticité par un autre moyen, appel ou message direct. Ma Sécurité dit la même chose : appelle directement la personne ou l'entreprise sur un numéro officiel.

1. Raccroche et rappelle : dis que tu rappelles tout de suite, puis compose un numéro que tu sais être le bon.
2. Pose une question personnelle : quelque chose que seule la vraie personne sait et qu'on ne trouve pas en ligne, comme le lieu de vos dernières vacances ensemble.
3. Choisis un mot de code en famille : un mot ou une phrase que seuls tes proches connaissent, à demander en cas d'appel urgent.
4. Préviens quelqu'un d'autre : appelle un autre membre de la famille ou un ami, même si l'appelant t'a demandé le secret.

Le mot de code familial offre, selon nous, le meilleur rapport entre effort et protection. Il demande une seule conversation et fonctionne même contre un faux parfait. Choisis-le de vive voix avec tes proches plutôt que dans le groupe familial sur WhatsApp, et fixe avec eux le moment où il faudra le demander.

Tu as peur de paraître impoli ? Un vrai proche ou un vrai patron comprendra un rappel rapide. Les escrocs, eux, font tout pour l'empêcher, en général avec l'urgence et le secret.

Arnaque deepfake : fausses pubs de stars, faux patrons, faux proches

Les deepfakes apparaissent rarement seuls. Ils rendent plus crédible une arnaque déjà connue en lui ajoutant un vrai visage ou une vraie voix. Connaître ces scénarios aide donc à reconnaître un deepfake avant qu'il te coûte de l'argent.

Fausses publicités de célébrités : Ma Sécurité décrit de faux conseils d'investissement qui promettent d'énormes rendements, diffusés par des vidéos, des articles ou des échanges automatisés, ainsi que de fausses vidéos de célébrités. Si un visage connu te promet des gains élevés sans risque, considère que c'est une arnaque jusqu'à preuve du contraire. Avant d'investir, apprends à vérifier si un site est fiable.

Même les institutions sont imitées : la Banque de France et l'ACPR ont mis en garde le public le 27 avril 2026 contre des deepfakes qui usurpent l'image de leurs dirigeants pour attirer vers des sites frauduleux. Leur règle est simple : jamais un dirigeant de la Banque de France ou de l'ACPR ne recommandera un site ou un produit financier particulier.

Faux patron ou faux collègue : l'arnaque au président consiste à se faire passer pour un dirigeant qui exige un virement urgent et confidentiel. La CNIL rappelle que reproduire fidèlement un visage ou une voix peut servir à des escroqueries visant des proches ou des collaborateurs. Un appel vidéo du « directeur » ne suffit donc plus à valider un virement.

Faux proche en détresse : une voix familière appelle ou laisse un message vocal, raconte une urgence et réclame de l'argent tout de suite. C'est le clonage vocal décrit plus haut.

Relations en ligne et chantage : des faux profils, parfois créés par des robots ou par l'IA selon Ma Sécurité, cherchent à obtenir de l'argent ou des informations personnelles. La CNIL note que les deepfakes servent aussi à la sextorsion, un chantage à la diffusion de contenus à caractère sexuel. Si un nouveau contact devient très vite très proche et parle d'argent, prends du recul.

Content Credentials : la réponse à long terme aux deepfakes

Toutes les méthodes vues jusqu'ici jugent un enregistrement fini, après coup. Une autre approche consiste à enregistrer l'origine d'un contenu au moment où il est créé, puis à rendre visible toute modification ultérieure.

Le standard ouvert le plus connu s'appelle C2PA. Il attache à un fichier des Content Credentials, des informations signées cryptographiquement sur l'origine et l'historique d'un contenu. Selon la Content Authenticity Initiative, toute modification ultérieure du contenu ou de ces données devient ainsi visible. L'initiative précise aussi que les Content Credentials ne sont pas faits pour dire si un contenu est « vrai ».

Nous poursuivons le même objectif avec TrustCamera. Les photos et vidéos sont prises directement dans l'appli TrustCamera, et l'import depuis la galerie n'est pas possible. Une vidéo dure jusqu'à 20 secondes, avec un code invisible intégré au début. Un code de vérification est attribué à chaque capture, et toute personne qui le connaît peut vérifier l'authenticité, l'heure de capture et la localisation approximative gratuitement dans son navigateur, sans compte. L'appli TrustCamera pour Android et iOS sera disponible prochainement.

Encore faut-il savoir ce que montre une telle preuve. Une capture TrustCamera montre qu'un fichier n'a pas changé depuis sa prise. Elle ne dit pas si la scène filmée a été arrangée, et elle ne t'aide pas pendant un appel vidéo en direct. Pour une vidéo sans preuve d'origine, il faut toujours reconnaître un deepfake à l'ancienne : avec les signaux d'alerte et, surtout, un rappel. Le fonctionnement de TrustCamera est détaillé sur notre site.

Signaler un deepfake et réagir si tu es victime

Si tu as déjà payé ou transmis des informations, agis vite :

1. Préviens ta banque immédiatement : demande-lui de bloquer ou de récupérer le virement et de sécuriser ton compte.
2. Arrête de payer et coupe le contact : n'envoie plus d'argent, quel que soit le prétexte.
3. Garde des preuves : la CNIL conseille de conserver captures d'écran et liens. Note aussi les numéros, les dates, les montants et les moyens de paiement.
4. Signale le contenu : passe d'abord par les outils de signalement de la plateforme, comme le recommande la CNIL.
5. Porte plainte : au commissariat, à la gendarmerie ou en ligne pour une escroquerie.

Pour une cybermalveillance à caractère financier (escroquerie, chantage, sextorsion, piratage de compte), Cybermalveillance.gouv.fr indique que tu peux porter plainte en ligne sur la plateforme THESEE du ministère de l'Intérieur. L'association France Victimes t'accompagne gratuitement au 116 006, 7 jours sur 7 de 9 h à 19 h. Le service 17Cyber de la Police nationale, de la Gendarmerie et de Cybermalveillance.gouv.fr t'aide aussi à faire le diagnostic de ta situation.

Si quelqu'un diffuse un deepfake de toi, la loi te protège. L'article 226-8 du Code pénal vise la diffusion sans consentement d'un montage ou d'un contenu généré par IA qui reproduit ton image ou tes paroles, quand rien n'indique clairement qu'il s'agit d'un faux. Elle est punie d'un an d'emprisonnement et de 15 000 € d'amende. En ligne, la peine passe à deux ans et 45 000 €. Pour un contenu à caractère sexuel, l'article 226-8-1 prévoit deux ans et 60 000 €, et trois ans et 75 000 € en ligne.

Pour signaler un deepfake illicite et grave (harcèlement, menaces, images sexuelles de mineurs, escroqueries), la CNIL renvoie vers la plateforme PHAROS. Si ton visage ou ta voix sont utilisés sans ton accord, tu peux aussi saisir la CNIL. Cette démarche ne remplace pas une plainte auprès de la police ou de la gendarmerie. Ce que vaut une capture d'écran comme preuve est détaillé dans notre article sur la photo comme preuve.

Questions fréquentes sur les deepfakes

Peut-on toujours reconnaître un deepfake ?

Non. Beaucoup de faux montrent encore des défauts autour du visage, des yeux, de la bouche ou dans la voix. Mais la CNIL rappelle que ce n'est pas toujours facile, et Ma Sécurité constate que ces escroqueries sont de plus en plus difficiles à détecter. Une vérification par un second canal marche mieux que n'importe quel signal : raccroche, rappelle sur un numéro connu ou pose une question personnelle.

Existe-t-il une appli fiable pour détecter un deepfake ?

Non. Les applis de détection donnent une probabilité, pas une preuve. Selon la Content Authenticity Initiative, leurs résultats peuvent manquer de fiabilité et elles doivent être mises à jour sans cesse pour suivre les nouvelles techniques des fraudeurs. Utilise un outil comme second avis, au mieux. Un résultat « probablement vrai » ne veut pas dire que tu peux baisser la garde.

Comment reconnaître une voix clonée au téléphone ?

Une voix clonée manque parfois de nuances : pas d'hésitations, peu de variations naturelles du ton, un débit trop régulier. Les bons clones en montrent pourtant très peu. Concentre-toi sur le scénario : une voix familière, une urgence soudaine, une pression pour payer et une demande de secret. Raccroche alors et rappelle la personne sur un numéro que tu connais.

À quoi sert un mot de code familial ?

Tu conviens avec tes proches d'un mot ou d'une phrase que seule ta famille connaît et qui n'apparaît nulle part en ligne. Si quelqu'un appelle avec une urgence, tu demandes ce mot. Une IA peut imiter une voix, mais elle ne peut pas connaître ce mot de code.

Le deepfake est-il illégal en France ?

Diffuser sans consentement un deepfake qui reproduit l'image ou les paroles d'une personne est puni par l'article 226-8 du Code pénal, sauf s'il est évident ou indiqué qu'il s'agit d'un montage. L'article 226-8-1 punit plus sévèrement les deepfakes à caractère sexuel. S'en servir pour escroquer quelqu'un relève de l'escroquerie (article 313-1 du Code pénal).

Que faire si quelqu'un diffuse un deepfake de moi ?

Signale le contenu à la plateforme avec ses outils de signalement et garde le lien et des captures d'écran. Pour un contenu illicite grave, utilise PHAROS. Tu peux porter plainte au commissariat ou à la gendarmerie, et saisir la CNIL si ton visage ou ta voix sont utilisés sans ton accord. France Victimes t'accompagne gratuitement au 116 006.

Le contexte, meilleur moyen de reconnaître un deepfake

Chercher des défauts dans l'image et le son reste utile, mais tu ne peux pas te reposer sur ces signes, ni sur les applis de détection. Ce qui marche vraiment n'a rien de technique : prendre son temps, rappeler sur un numéro connu, poser une question personnelle ou demander le mot de code familial.

Nous pensons que la question va s'inverser avec le temps. Au lieu de chercher à démasquer un faux après coup, les vrais enregistrements porteront dès le départ une preuve de leur origine. Des standards ouverts comme C2PA y travaillent, et nous aussi avec TrustCamera. En attendant, le rappel reste ta meilleure protection.