Faux Marco Rubio sur Signal : l’IA au service d’une usurpation politique

L’usurpation ne commence pas toujours par le piratage spectaculaire d’un système informatique. Elle peut aussi reposer sur un mécanisme beaucoup plus simple, et souvent très efficace : convaincre une personne qu’elle échange avec le bon interlocuteur. C’est ce qui s’est produit dans l’entourage de Marco Rubio, secrétaire d’État américain, lorsqu’un individu non identifié a utilisé l’intelligence artificielle pour se faire passer pour lui sur la messagerie Signal.

Révélée en juillet 2025, cette affaire concerne des échanges avec des responsables de premier plan : des ministres étrangers, un gouverneur américain et un parlementaire américain. Les informations connues ne permettent pas de savoir ce que l’imposteur a demandé ni si des données ont été obtenues. Elles suffisent néanmoins à montrer comment des messages crédibles, un identifiant trompeur et des contenus vocaux générés ou modifiés par IA peuvent fragiliser les réflexes de vérification, y compris au plus haut niveau de l’État.

Ce que l’on sait de l’usurpation de Marco Rubio

Selon les éléments rapportés par le Washington Post, l’auteur de l’usurpation a créé un compte sur Signal portant le nom d’utilisateur Marco.Rubio@state.gov. Cet intitulé pouvait évoquer une adresse professionnelle du département d’État américain et donner une apparence de légitimité au profil.

À partir de ce compte, l’imposteur a contacté plusieurs interlocuteurs de haut rang par messages écrits et vocaux. L’usage de l’IA est au cœur de l’affaire, mais les détails techniques restent limités : les autorités n’ont pas rendu public le procédé exact utilisé, ni indiqué si une copie de voix avait été créée à partir d’enregistrements existants, ni si les messages textuels avaient été rédigés par un outil génératif.

La prudence est essentielle dans l’interprétation de ces faits. La création d’un profil ressemblant à une identité officielle ne démontre pas, à elle seule, qu’un compte gouvernemental, un téléphone ou le système de messagerie du département d’État ont été compromis. L’attaque semble d’abord exploiter une faiblesse humaine : la tendance à faire confiance au nom affiché, à un ton familier et à une voix qui paraît plausible.

Pourquoi l’IA rend ce type de fraude plus convaincant

Les outils d’intelligence artificielle abaissent considérablement la barrière technique de certaines escroqueries. Il y a quelques années, imiter de façon crédible la voix d’une personnalité aurait demandé des moyens spécialisés, des enregistrements nombreux et un travail long. Des systèmes de synthèse vocale modernes peuvent désormais produire une voix proche d’un locuteur à partir d’extraits audio, notamment lorsque cette personne est très présente dans les médias.

La voix n’est qu’un volet du problème. L’IA générative peut aussi aider un fraudeur à rédiger rapidement des messages adaptés à chaque destinataire : formulation diplomatique, référence à une fonction officielle, style direct et concis, traduction dans une autre langue ou encore réponse immédiate à une question. Pour une cible pressée, ces détails peuvent faire paraître l’échange ordinaire.

Dans le cas de Marco Rubio, il ne faut toutefois pas aller au-delà des informations établies. L’affaire confirme l’utilisation de l’IA dans l’opération, mais elle ne permet pas d’affirmer publiquement qu’un deepfake vocal parfaitement fidèle a été diffusé, ni d’évaluer sa qualité. Le point important est ailleurs : même une imitation imparfaite peut fonctionner si elle intervient dans un contexte crédible et si la victime n’a pas de raison immédiate de douter.

Les attaques les plus efficaces combinent souvent plusieurs éléments modestes plutôt qu’une prouesse unique :

• un nom de profil qui évoque une adresse officielle ;
• une prise de contact sur un canal déjà utilisé par les équipes ;
• un message créant un sentiment d’urgence ou de confidentialité ;
• une voix, un vocabulaire ou des références qui semblent cohérents avec la personne imitée ;
• une demande de poursuivre la discussion sur un autre canal ou de transmettre une information.

Cette logique relève de l’ingénierie sociale. Dans ce type de manipulation, le fraudeur ne cherche pas nécessairement à casser un chiffrement : il cherche à obtenir de sa cible qu’elle lui ouvre elle-même la porte.

Signal protège les messages, pas l’identité affichée

Signal est connue pour son chiffrement de bout en bout. Concrètement, ce mécanisme vise à empêcher des tiers de lire le contenu des messages pendant leur transmission. C’est une protection importante pour la confidentialité des échanges, mais elle ne constitue pas une preuve absolue de l’identité de la personne qui écrit.

Un utilisateur peut choisir un nom de profil ou un nom d’utilisateur qui ressemble à celui d’une organisation. Dans le cas présent, la présence de « state.gov » dans le nom Marco.Rubio@state.gov pouvait prêter à confusion. Or, un nom visible dans une application de messagerie ne vaut pas authentification officielle. Il ne doit pas être confondu avec une vérification institutionnelle réalisée par un service gouvernemental.

Les messageries sécurisées proposent des fonctions de vérification entre contacts, notamment la comparaison d’un code de sécurité par un autre moyen de communication. Elles sont utiles, mais elles supposent que les personnes prennent le temps de les utiliser avant un échange sensible. Dans le monde politique et diplomatique, où les interlocuteurs changent fréquemment et où les sollicitations sont nombreuses, cette étape peut être négligée.

Le risque est particulièrement élevé pour les personnalités publiques. Leur fonction, leur voix, leurs interventions et parfois leur entourage sont abondamment documentés. Un usurpateur dispose donc de matériaux pour rendre son scénario crédible, sans avoir besoin d’accéder aux systèmes internes de l’administration.

Une menace qui dépasse le cas d’un seul responsable

La gravité de cette opération tient au profil des personnes visées. Contacter des ministres étrangers ou des élus américains en se présentant comme le secrétaire d’État peut viser à recueillir des informations, à susciter une réaction diplomatique, à orienter une décision ou simplement à identifier des contacts susceptibles d’être ciblés plus tard.

À ce stade, le contenu des messages demeure inconnu. Il serait donc imprudent d’attribuer à l’auteur une intention précise ou de conclure à une conséquence diplomatique déterminée. Mais le potentiel de nuisance est réel : une fausse instruction attribuée à un haut responsable peut créer de la confusion, provoquer la diffusion d’informations sensibles ou installer un climat de doute autour de communications pourtant légitimes.

L’affaire intervient quelques mois après la controverse souvent appelée « Signal Gate », en mars 2025. Dans cet épisode distinct, un journaliste avait été ajouté par erreur à une conversation Signal réunissant des responsables américains au sujet d’opérations militaires. Le problème n’était pas une imitation par IA, mais l’erreur d’inclusion d’un destinataire dans un groupe de discussion sensible. Les deux événements mettent néanmoins en lumière la même réalité : les outils de communication ne compensent pas à eux seuls des procédures de vérification insuffisantes.

Smishing et vishing : les méthodes mises en garde par le FBI

Cette usurpation s’inscrit dans un contexte d’alerte plus large. En mai 2025, le FBI a averti que des acteurs malveillants ciblaient des hauts responsables fédéraux et locaux américains en se faisant passer pour d’autres responsables. L’objectif de ces approches peut être d’établir un premier lien de confiance, de déplacer la conversation vers une application contrôlée par l’attaquant ou d’obtenir l’accès à un compte personnel.

Deux termes reviennent fréquemment dans ce type de campagne :

• le smishing, une tentative de fraude menée par SMS ou message écrit, souvent à l’aide d’un lien, d’un faux prétexte administratif ou d’une demande urgente ;
• le vishing, une fraude par appel vocal ou message vocal, qui peut désormais être renforcée par une voix synthétique ou imitée.

L’intérêt de ces techniques pour un fraudeur est qu’elles sollicitent une réaction rapide. Un message présenté comme urgent, confidentiel ou provenant d’un supérieur réduit le temps disponible pour réfléchir. Or, l’urgence est précisément l’un des principaux signaux d’alerte : lorsqu’une conversation porte sur une décision sensible, le destinataire doit pouvoir ralentir et confirmer l’identité de son interlocuteur sur un canal indépendant.

La réponse du département d’État américain

Le département d’État américain a reconnu l’incident lors d’un point presse. Sa porte-parole, Tammy Bruce, a indiqué que l’affaire était prise « très au sérieux » et qu’une enquête était en cours. Elle a également fait savoir que des mesures existaient pour renforcer la cybersécurité et prévenir de nouvelles tentatives.

La communication publique est restée limitée, ce qui est habituel dans un dossier susceptible de concerner des contacts diplomatiques et des responsables politiques. Les autorités n’ont pas détaillé les personnes touchées, les éventuelles réponses aux messages ni les éléments techniques qui permettraient de remonter jusqu’à l’imposteur.

Cette retenue laisse plusieurs questions ouvertes. Le faux compte a-t-il été signalé assez tôt pour empêcher des échanges prolongés ? Les destinataires avaient-ils déjà utilisé Signal avec l’entourage réel de Marco Rubio ? Le fraudeur a-t-il seulement tenté de nouer le dialogue, ou a-t-il formulé des demandes précises ? En juillet 2025, aucune réponse publique ne permet de trancher.

Comment vérifier un message prétendument officiel ?

Les responsables publics ne sont pas les seuls exposés à ces méthodes. Les dirigeants d’entreprise, journalistes, salariés, proches de personnes âgées et particuliers peuvent eux aussi être visés par une imitation vocale ou textuelle. Quelques réflexes réduisent fortement le risque de manipulation.

D’abord, il faut distinguer le contenu du message de l’identité de l’expéditeur. Un profil soigné, une signature, un nom de domaine ou une voix connue ne suffisent pas. Ensuite, toute demande sensible doit être confirmée par un autre canal connu à l’avance : appeler un numéro déjà enregistré, passer par le standard d’une organisation, vérifier auprès d’un collaborateur identifié ou organiser une confirmation directe.

Il est aussi prudent de ne pas cliquer sur un lien reçu dans un message inattendu, même lorsqu’il semble provenir d’un proche ou d’un collègue. Les fraudeurs utilisent souvent le premier échange pour amener leur cible vers une page de connexion factice, un code à communiquer ou une application à installer. Enfin, les comptes personnels et professionnels doivent être protégés par un mot de passe unique et une authentification à deux facteurs lorsque celle-ci est disponible.

La règle la plus simple reste valable : plus la demande est urgente, inhabituelle ou sensible, plus la vérification doit être indépendante du message reçu. Si un prétendu responsable demande un transfert d’argent, un document confidentiel, un code de connexion ou une discrétion absolue, le doute n’est pas un manque de réactivité. C’est une mesure de sécurité.

Ce qu’il faut surveiller après cette affaire

L’usurpation de Marco Rubio illustre une évolution durable des menaces numériques. Les deepfakes et les assistants génératifs ne remplacent pas les techniques anciennes d’arnaque, ils les rendent plus faciles à personnaliser, plus rapides à déployer et parfois plus difficiles à repérer. Le danger ne se limite donc pas à une vidéo spectaculaire truquée : il peut prendre la forme d’un message bref, crédible et envoyé au bon moment.

Pour les administrations, l’enjeu est d’établir des protocoles simples et systématiques pour les communications sensibles : contacts vérifiés à l’avance, procédures de rappel, confirmation à plusieurs personnes et formation régulière aux signes d’ingénierie sociale. Pour les messageries, la lisibilité des mécanismes de vérification de profil est également essentielle afin d’éviter qu’un simple nom d’utilisateur soit interprété comme un sceau officiel.

L’enquête annoncée par le département d’État devra notamment éclaircir l’ampleur réelle de la campagne et les objectifs de son auteur. En attendant, l’enseignement est clair : à l’ère de l’IA générative, la confiance dans une identité numérique ne peut plus reposer sur un nom, un message ou une voix seuls.