Phishing, deepfakes et fraude au virement : l'IA oblige les entreprises africaines à vérifier autrement

Le faux message n'a plus besoin d'être maladroit

La fraude par compromission de messagerie professionnelle (BEC) repose sur une idée simple : faire croire à un employé qu'un dirigeant, un fournisseur ou un partenaire demande un paiement légitime. Pendant longtemps, fautes de langue, formulations inhabituelles ou incohérences de contexte aidaient à détecter certains messages. L'intelligence artificielle générative réduit ces signaux faibles : elle facilite des textes corrects, contextualisés et adaptés à la langue de la cible ; les outils de clonage audio ou vidéo ajoutent une fausse confirmation humaine.

Le 16 mars 2026, INTERPOL a publié son Global Financial Fraud Threat Assessment 2026. L'organisation y indique que les acteurs opérant dans la région africaine, en particulier en Afrique de l'Ouest et en Afrique australe, exploitent de plus en plus l'IA, la technologie deepfake et les outils de phishing automatisés pour commettre des fraudes à grande échelle. INTERPOL estime aussi, au niveau mondial, que la fraude amplifiée par IA est 4,5 fois plus rentable que les méthodes traditionnelles.

Les attaques confirmées en Afrique et la limite de l'attribution IA

Les pertes et les réseaux de fraude en Afrique ne sont pas hypothétiques. Lors de l'opération Red Card 2.0, menée du 8 décembre 2025 au 30 janvier 2026, les autorités de 16 pays africains ont procédé à 651 arrestations. INTERPOL rapporte plus de 45 millions de dollars de pertes liées aux escroqueries examinées, 1 247 victimes identifiées, 2 341 appareils saisis et 1 442 adresses IP, domaines ou serveurs malveillants neutralisés.

Les exemples publiés sont concrets : au Nigeria, un réseau utilisait phishing, vol d'identité, ingénierie sociale et faux investissements numériques ; au Kenya, des victimes étaient attirées via messageries, réseaux sociaux et faux témoignages vers de prétendus investissements ; en Côte d'Ivoire, des applications et messages de faux prêts servaient à collecter des données personnelles et financières.

Il serait toutefois inexact d'affirmer que chacune de ces arrestations correspond à une attaque prouvée par IA. Le communiqué Red Card décrit les fraudes et leur infrastructure, tandis que l'évaluation mondiale d'INTERPOL établit la progression de l'IA, des deepfakes et de l'automatisation chez des acteurs de la région. La convergence est un signal de risque fort ; l'attribution technique affaire par affaire n'est pas rendue publique.

Pourquoi les organisations africaines sont concernées

Les économies africaines accélèrent les paiements numériques, les services bancaires mobiles, les achats par messagerie et les relations à distance avec fournisseurs et agents. Ces gains de rapidité reposent souvent sur une relation de confiance informelle : un message WhatsApp du responsable, un appel vocal du directeur financier, un changement d'IBAN communiqué par courriel. Ce sont précisément les interactions que des imitations convaincantes peuvent exploiter.

La menace n'exige pas de pénétrer un système critique. Un fraudeur peut combiner une adresse e-mail ressemblante, une facture modifiée, des informations publiques sur un appel d'offres et un court audio imitant un supérieur. Une PME, un ministère, une ONG ou un opérateur telecom peut alors autoriser lui-même le paiement. La sécurité du pare-feu ne corrige pas un processus de validation fondé sur une voix ou une vidéo supposée authentique.

Passer de la reconnaissance à la vérification

Face aux deepfakes, former les employés à "reconnaître" une voix fausse ou une vidéo imparfaite ne suffira pas. La qualité des imitations évolue et la décision de payer est souvent prise sous pression. La bonne défense consiste à rendre une imitation insuffisante pour déclencher l'action.

Pour les paiements, tout changement de bénéficiaire ou transfert exceptionnel devrait être confirmé via un canal connu d'avance, distinct du message initial. Pour les demandes urgentes d'un dirigeant, une validation à deux personnes et une procédure de rappel vers un numéro déjà enregistré valent davantage que l'analyse subjective d'un audio. Pour l'accès aux comptes, l'authentification résistante au phishing doit remplacer progressivement les validations par simple SMS ou questions personnelles.

Un chantier de gouvernance continental

La Stratégie continentale de l'Union africaine sur l'IA, approuvée en juillet 2024, engage les États à développer l'IA de façon responsable tout en minimisant les risques. La fraude augmentée par IA montre pourquoi ce chantier ne peut être réservé aux ministères de l'innovation. Les autorités de cybersécurité, régulateurs financiers, banques centrales, opérateurs, administrations et services de police doivent partager des scénarios, indicateurs et procédures de signalement.

Il faut aussi produire des données africaines fiables : volume de BEC, montants récupérés, canaux utilisés, présence confirmée de contenus synthétiques et délai de signalement. Sans taxonomie commune ni publication agrégée, les organisations sous-estimeront la menace ou achèteront des solutions techniques sans corriger leurs processus de paiement.

Décisions opérationnelles prioritaires

• Imposer un rappel hors bande et une double validation pour les changements de coordonnées bancaires, paiements urgents et transferts au-dessus d'un seuil.
• Former finance, achats, support client et cadres dirigeants à traiter audio, vidéo et messages de direction comme des éléments contestables, jamais comme une preuve unique.
• Déployer une authentification résistante au phishing pour les comptes de messagerie, d'administration et de paiement les plus exposés.
• Établir entre banques, fintech, opérateurs, CERT et police des canaux rapides de gel des fonds, conservation des preuves et partage d'indicateurs.
• Exiger que les exercices de crise incluent une fraude avec voix ou vidéo synthétique et mesurent le temps nécessaire pour stopper un paiement.

Conclusion

Il existe aujourd'hui des alertes officielles solides sur l'exploitation croissante de l'IA et des deepfakes par des fraudeurs liés à l'Afrique, et des opérations récentes prouvent l'ampleur des fraudes numériques sur le continent. L'enjeu n'est pas d'attribuer précipitamment toute escroquerie à l'IA. Il est de supprimer la faiblesse qu'elle exploite : une organisation ne doit plus payer, ouvrir un compte ou modifier une identité parce qu'un message, une voix ou une vidéo paraît familier.

— ◆ —