Trusted Codes
BlogOctobre 20265 min de lectureENDEESFRITNL

La fraude à l’usurpation d’identité en chiffres : ce que montrent les rapports 2025

Pertes déclarées, travaux de recherche et un chiffre qui va dans l’autre sens, chacun avec sa source.

La plupart des articles sur la fraude par deepfake s’ouvrent sur une prévision de plusieurs centaines de milliards. Celui-ci s’appuie autant que possible sur des pertes déclarées, cite la source de chaque chiffre et indique clairement quand un nombre est une prévision. Deux mises en garde avant les chiffres : les pertes déclarées sont toujours trop basses, car beaucoup de victimes ne signalent jamais les faits ; et les rapports ne comptent pas tous la même chose, si bien que leurs chiffres ne s’additionnent pas.

Faux e-mails d’expéditeurs connus : 3 milliards de dollars en un an

L’Internet Crime Complaint Center (IC3) du FBI a reçu 24 768 plaintes pour compromission de messagerie professionnelle en 2025, pour des pertes de 3,05 milliards de dollars. Dans ce type de fraude, un criminel se fait passer pour un fournisseur, un collègue ou un supérieur et demande un paiement, le plus souvent vers de nouvelles coordonnées bancaires. Pas de logiciel malveillant, pas d’intrusion. Seulement un message qui a l’air juste.

En 2024, l’IC3 avait compté 21 442 plaintes de ce type. Le nombre de cas augmente, et la perte moyenne par plainte est d’environ 123 000 dollars.

Tous types de fraude confondus, l’IC3 a enregistré 20,9 milliards de dollars de pertes en 2025, soit 26 % de plus que l’année précédente.

Les plus de 60 ans ont perdu 7,7 milliards de dollars

Le même rapport montre qui paie le plus. Les victimes de 60 ans et plus ont déposé 201 266 plaintes en 2025 et déclaré des pertes de 7,75 milliards de dollars. C’est 37 % de plaintes et 59 % d’argent de plus qu’en 2024. Parmi ces victimes, 12 444 ont perdu chacune plus de 100 000 dollars.

La Federal Trade Commission américaine fait ses propres comptes et arrive à un tableau proche : en 2025, les consommateurs ont déposé plus d’un million de signalements d’arnaques à l’usurpation d’identité, pour 3,5 milliards de dollars de pertes déclarées. Pour la neuvième année consécutive, l’usurpation d’identité a été le type d’arnaque le plus signalé.

L’IA entre dans les statistiques

Pour 2025, le FBI a compté pour la première fois combien de plaintes mentionnaient l’intelligence artificielle : 22 364 plaintes, pour des pertes de 893 millions de dollars. Dans ce groupe, la compromission de messagerie professionnelle avec des éléments d’IA a causé plus de 30 millions de dollars de pertes, et les arnaques à « l’urgence » avec des voix clonées, l’appel classique d’un petit-enfant en détresse, plus de 5 millions de dollars.

Ce sont de petites parts du total. Ce sont aussi uniquement les cas où la victime savait, ou soupçonnait, que l’IA était en jeu. Avec un clone vocal bien fait, la plupart des victimes ne l’apprennent jamais.

Les données du secteur montrent la vitesse du changement. Pindrop, qui sécurise des centres d’appels, indique que les tentatives de fraude par deepfake dans les centres de contact qu’il surveille ont augmenté de plus de 1 300 % en 2024, passant d’environ une par mois à environ sept par jour. Resemble AI a recensé 1 567 incidents deepfake vérifiés en 2025, avec des pertes connues de 1,28 milliard de dollars ; plus de 80 % des incidents ne faisaient état d’aucune perte, le chiffre réel est donc plus élevé.

Et la prévision, présentée clairement comme telle : en 2024, le Deloitte Center for Financial Services estimait que les pertes liées à la fraude rendue possible par l’IA générative aux États-Unis pourraient passer de 12,3 milliards de dollars en 2023 à 40 milliards de dollars en 2027.

Deux affaires qui montrent l’ampleur

En 2024, un employé du cabinet d’ingénierie Arup à Hong Kong a participé à une visioconférence avec le directeur financier et plusieurs collègues. Tous étaient des deepfakes. Il a transféré 200 millions de dollars de Hong Kong, soit environ 25 millions de dollars US.

En février 2026, Fideuram, la banque privée d’Intesa Sanpaolo, a transféré environ 95 millions d’euros après un message WhatsApp au nom du directeur général du groupe et un appel téléphonique avec la voix, clonée par IA, d’un avocat que le président connaissait personnellement. Environ 53 millions d’euros ont été récupérés et, selon Reuters, quelque 36 millions d’euros manquent toujours.

Aucune de ces entreprises n’a été négligente. Toutes deux avaient des procédures d’approbation. Ces procédures faisaient confiance aux visages, aux voix et aux noms familiers.

L’oreille humaine ne fait pas la différence

Le conseil courant est d’écouter attentivement. La recherche montre que cela ne marche pas. Dans une étude publiée dans PLOS ONE en 2023, 529 participants n’ont reconnu la parole synthétique que dans 73 % des cas. L’entraînement a amélioré le résultat de moins de quatre points de pourcentage. Lors d’un test mené en 2025 par la société d’identité iProov, 0,1 % des 2 000 participants britanniques et américains ont correctement identifié toutes les images et vidéos, vraies comme fausses.

Une fausse voix sur quatre passe donc, même quand les gens savent que le test contient des faux. Lors d’un vrai appel, personne ne s’y attend.

Un chiffre qui va dans l’autre sens

Tous les chiffres ne montent pas. Selon UK Finance, les pertes dues à des criminels se faisant passer pour des policiers ou des employés de banque au Royaume-Uni ont baissé de 18 % en 2025, à 55,5 millions de livres, le niveau le plus bas qu’elle ait enregistré. Les banques l’attribuent aux avertissements intégrés au processus de paiement. Dans le même temps, la fraude au virement autorisé au Royaume-Uni a augmenté au total de 19 %, à 576,4 millions de livres, et la fraude au président a enregistré la perte moyenne la plus élevée de toutes les catégories, plus de 28 000 livres par cas.

La leçon des chiffres britanniques est utile : une vérification placée au bon moment fonctionne. Un avertissement avant le virement a arrêté une partie de la fraude. Une vérification que la personne est réelle intervient encore plus tôt, avant que quiconque arrive à l’écran de virement.

Ce que disent les chiffres

Toutes ces pertes ont une cause commune : quelqu’un a fait confiance à ce qu’il voyait ou entendait. Un e-mail venant de la bonne adresse, une voix qui sonnait juste, un visage en visioconférence. Rien de tout cela ne prouve plus une identité.

Ce qui prouve une identité, c’est une chose que seule la vraie personne connaît à ce moment-là. C’est l’idée de Trusted Codes : les personnes connectées voient les mêmes trois mots, les mots changent à un intervalle défini, et quand une demande est inhabituelle, vous les demandez. Une voix clonée ne peut pas répondre.

Sources

Vérifiez la personne, pas le canal

Trusted Codes vous donne, à vous et à vos contacts, trois mots partagés qui changent à un intervalle défini. Cela fonctionne sur tous les canaux et ne demande qu’une question.

Commencer gratuitement