Faux Marco Rubio : l’IA expose la diplomatie américaine au piège de l’usurpation

Un nom d’utilisateur qui paraît officiel, un message au ton crédible, une voix qui peut imiter celle d’un responsable : il n’en faut parfois pas davantage pour créer le doute. Aux États-Unis, un individu non identifié est parvenu à se faire passer pour Marco Rubio, secrétaire d’État américain, dans des échanges visant des interlocuteurs au plus haut niveau. L’épisode, révélé au début de juillet 2025, rappelle que l’intelligence artificielle ne sert pas seulement à fabriquer des textes ou des images : elle peut aussi renforcer considérablement les techniques classiques d’usurpation d’identité.

L’enjeu ne se limite pas à une escroquerie numérique ordinaire. Les personnes visées comprennent des ministres étrangers et des responsables américains. Dans la diplomatie, où une prise de contact peut précéder des échanges sensibles, le moindre doute sur l’identité de l’interlocuteur peut avoir des conséquences importantes. L’objectif attribué à l’auteur de l’opération était d’obtenir l’accès à des informations sensibles ainsi qu’à des comptes personnels de hauts responsables.

Ce que l’on sait de l’usurpation de Marco Rubio

Selon les informations rapportées par le Washington Post, l’imposteur a créé un compte sur Signal sous le nom d’utilisateur « Marco.Rubio@state.gov ». Cette adresse ne prouve pourtant aucun lien avec le département d’État : sur une messagerie, un identifiant peut être choisi par son créateur et son apparence ne garantit pas son authenticité.

Le faux Marco Rubio aurait contacté au moins trois ministres étrangers, ainsi qu’un gouverneur américain et un membre du Congrès. Les approches ont emprunté plusieurs canaux, notamment des SMS et Signal. Un câble du département d’État, diffusé auprès des personnels concernés, indiquait également que l’identité de plusieurs employés avait fait l’objet d’usurpations par courriels falsifiés.

Les autorités américaines n’ont pas rendu publics tous les détails techniques de l’affaire. Cette prudence est logique : exposer précisément les procédures de détection, les destinataires ou le contenu des sollicitations risquerait d’aider l’auteur des faits ou de compromettre l’enquête. Mais les éléments connus dessinent un scénario familier en cybersécurité : établir d’abord un contact crédible, puis inciter la cible à poursuivre la conversation, à cliquer sur un lien, à transmettre une donnée ou à valider une demande inhabituelle.

Smishing, vishing : comment fonctionne ce type de piège ?

L’affaire réunit deux pratiques devenues courantes dans les campagnes d’ingénierie sociale. Le smishing est une forme d’hameçonnage menée par SMS. Il exploite l’immédiateté du téléphone : une demande reçue sur un mobile semble souvent plus urgente, plus personnelle et moins suspecte qu’un courriel générique.

Le vishing, contraction de « voice phishing », consiste à utiliser un appel vocal ou un message audio pour tromper une victime. Il peut s’agir d’un fraudeur qui joue un rôle avec sa propre voix, mais les outils d’intelligence artificielle rendent aussi possible la génération ou l’imitation d’une voix. Lorsque l’interlocuteur supposé est une figure publique souvent entendue dans les médias, la matière nécessaire à une imitation sonore peut être abondante.

L’IA peut également aider à rédiger des messages dans un style plus naturel, à adapter une demande au profil de la cible et à traduire rapidement les échanges. Elle ne remplace pas la manipulation humaine, elle en augmente l’efficacité. L’assaillant cherche moins à démontrer une prouesse technique qu’à provoquer une réaction : répondre vite, sortir du processus habituel, communiquer sur un canal non validé ou partager une information qui servira à l’étape suivante.

Un numéro de téléphone, un nom affiché ou une photo de profil ne suffisent donc pas à authentifier un interlocuteur. C’est particulièrement vrai lorsque le premier contact arrive de manière inattendue et qu’il réclame une action rapide. Dans ce contexte, une voix persuasive ou un message impeccablement rédigé ne doivent pas être considérés comme une confirmation d’identité.

Pourquoi les communications diplomatiques sont-elles une cible ?

Les responsables politiques et diplomatiques disposent de réseaux de contacts étendus. Ils échangent avec des cabinets, des administrations, des homologues étrangers, des journalistes et parfois des interlocuteurs privés. Cette densité de relations fournit aux fraudeurs un terrain favorable : une sollicitation inhabituelle n’est pas nécessairement invraisemblable.

L’intérêt d’une telle opération ne réside pas forcément dans l’obtention immédiate d’un secret d’État. Une première réponse peut déjà avoir de la valeur. Elle permet de confirmer qu’un numéro est actif, d’observer le style de réponse d’un interlocuteur, de récupérer une information de contexte ou de préparer une demande plus sophistiquée. Un pirate peut aussi chercher à compromettre un compte personnel, généralement moins protégé et plus difficile à surveiller qu’un système institutionnel.

Le département d’État américain a déclaré avoir connaissance de l’incident et prévoir une enquête approfondie. Il a aussi annoncé vouloir renforcer ses mesures de sécurité afin d’éviter la répétition de tels faits. L’existence même d’un câble interne montre que l’administration ne considère pas cette usurpation comme une simple tentative isolée : les employés doivent être capables de reconnaître les signaux d’alerte et de signaler les contacts suspects.

L’affaire intervient dans un climat de vigilance accru. Le FBI a averti de l’existence d’« acteurs malveillants » utilisant des messages falsifiés et l’usurpation de hauts responsables pour établir un premier contact avec leurs cibles. L’agence insiste sur le fait que cette première approche peut servir à accéder ensuite à des informations critiques.

Un précédent autour de Susie Wiles

Les inquiétudes ont été renforcées par un autre épisode impliquant Susie Wiles, cheffe de cabinet de la Maison Blanche. Des responsables ont reçu des communications présentées comme venant d’elle, dans un contexte où son téléphone avait été compromis. Ce cas illustre un aspect central de ces campagnes : l’usurpation peut profiter à la fois de données obtenues lors d’une compromission et de l’apparence crédible que donnent des outils de communication courants.

Il faut toutefois distinguer plusieurs niveaux d’attaque. Usurper un nom ou créer un compte ressemblant à celui d’une autorité ne signifie pas, à lui seul, que les systèmes gouvernementaux ont été infiltrés. En revanche, une identité imitée peut devenir une porte d’entrée vers ces systèmes si elle convainc une personne habilitée de contourner une procédure de vérification.

Cette distinction est essentielle pour comprendre le risque. Les attaques les plus dangereuses ne ressemblent pas toujours à une intrusion spectaculaire dans un serveur. Elles peuvent prendre la forme d’un message banal : « Pouvez-vous me rappeler sur ce numéro ? », « J’ai besoin de ce document immédiatement » ou « Poursuivons sur une messagerie plus discrète ». Dans un environnement où les emplois du temps sont contraints et les échanges nombreux, la pression psychologique peut faire le reste.

L’IA rend-elle toute vérification impossible ?

Non. Les imitations générées par IA peuvent être convaincantes, mais elles ne suppriment pas les moyens organisationnels de confirmer une identité. Elles rendent surtout ces moyens indispensables. Face à une sollicitation sensible, la bonne pratique est de ne pas utiliser exclusivement les coordonnées fournies dans le message reçu. Il faut rappeler l’interlocuteur via un numéro déjà connu, passer par son cabinet ou employer un canal institutionnel préalablement validé.

Pour les organisations, plusieurs réflexes limitent le risque :

• définir un protocole de confirmation pour les demandes inhabituelles ou urgentes ;
• utiliser des annuaires de contacts vérifiés, plutôt que se fier à un identifiant affiché ;
• prévoir une authentification renforcée pour les comptes personnels et professionnels ;
• former les équipes aux signes classiques de manipulation, comme l’urgence artificielle, le secret demandé ou le changement soudain de canal ;
• signaler rapidement toute tentative, même lorsqu’aucune donnée n’a été transmise.

Le facteur humain reste central, sans qu’il faille blâmer les personnes ciblées. Les fraudeurs exploitent précisément la confiance, la hiérarchie et le sens du service. Une procédure claire permet à un collaborateur de prendre le temps de vérifier sans craindre de retarder une demande légitime.

Au-delà de Washington, une menace pour toutes les organisations

Si la cible de l’opération est exceptionnelle par son niveau politique, le mécanisme ne l’est pas. Les entreprises peuvent être confrontées à de faux dirigeants demandant un virement, les familles à de faux proches prétendant être en difficulté, et les citoyens à de fausses administrations réclamant des données personnelles. Les personnalités publiques sont particulièrement exposées, car leurs interventions, leurs photographies et parfois leurs coordonnées professionnelles circulent largement en ligne.

Des cas d’usurpation impliquant des personnalités connues, dont une youtubeuse ukrainienne, ont déjà alimenté les préoccupations sur les usages malveillants de l’IA. Chaque épisode contribue à éroder la confiance dans les preuves autrefois jugées intuitives : un message bien écrit, une image, une vidéo ou une voix familière.

Cette évolution ne signifie pas qu’il faut abandonner les outils numériques. Elle impose plutôt de cesser de les confondre avec des preuves d’identité. Signal, le SMS, le courriel et l’appel téléphonique peuvent tous être utiles, mais ils doivent s’inscrire dans une chaîne de vérification adaptée au niveau de sensibilité de l’échange.

Ce qu’il faut surveiller

L’enquête annoncée par le département d’État devra établir l’ampleur de la campagne, les méthodes exactes employées et les éventuels accès obtenus. Elle devra aussi déterminer si les différentes usurpations signalées relèvent d’un même auteur ou d’opérations distinctes. À ce stade, les informations rendues publiques montrent avant tout une tentative de manipulation ciblée, soutenue par des outils capables de rendre la fraude plus crédible.

Pour les administrations, le défi est double. Il faut protéger les systèmes techniques, mais aussi faire évoluer les pratiques de communication. La multiplication des contenus générés par IA rend la méfiance purement instinctive insuffisante : une demande peut sembler parfaitement plausible tout en étant frauduleuse.

L’affaire du faux Marco Rubio marque ainsi un avertissement très concret. Dans la diplomatie comme dans la vie quotidienne, l’authenticité ne peut plus reposer sur une simple apparence numérique. Le bon réflexe n’est pas de deviner si une voix ou un message a été créé par une machine. C’est de disposer d’un moyen fiable, indépendant et connu à l’avance pour vérifier qui parle réellement.