Arnaques par IA : Microsoft dit avoir bloqué 4 milliards de dollars de fraudes

Les arnaques numériques ont toujours exploité la confiance, la précipitation et l’inattention. L’intelligence artificielle ajoute aujourd’hui un facteur d’échelle : un escroc n’a plus nécessairement besoin de maîtriser l’écriture, le graphisme ou le développement web pour mettre en scène une fausse boutique ou une offre d’emploi trompeuse. Les outils génératifs peuvent l’aider à fabriquer rapidement des contenus plus cohérents, mieux rédigés et adaptés à la langue de sa cible.

Dans son rapport intitulé « AI-powered deception: Emerging fraud threats and countermeasures », Microsoft alerte sur cette industrialisation de la tromperie. L’entreprise affirme avoir empêché près de 4 milliards de dollars de tentatives de fraude au cours de l’année écoulée. Ce chiffre, communiqué par Microsoft, ne décrit pas le coût total de la fraude dans le monde. Il donne toutefois une idée de l’ampleur des activités suspectes repérées dans son écosystème et de la pression exercée sur les services numériques.

L’IA rend la fraude plus rapide, pas forcément invisible

Une arnaque dite « alimentée par l’IA » ne désigne pas une catégorie totalement nouvelle de délit. Il s’agit souvent de mécanismes connus, comme l’hameçonnage, la fausse boutique, l’usurpation d’identité ou l’escroquerie au recrutement, auxquels l’IA apporte des outils de production et d’automatisation.

Un assistant d’écriture peut, par exemple, générer plusieurs versions d’un message commercial dans un français correct. Un générateur d’images peut fournir des visuels pour une vitrine en ligne. Des outils d’automatisation peuvent ensuite créer des comptes, diffuser des annonces ou tester des identifiants à grande échelle. Ce qui demandait auparavant des jours de préparation et des compétences techniques peut ainsi être produit en quelques minutes, souligne Microsoft.

Cette baisse des obstacles techniques a deux conséquences. D’une part, des groupes criminels déjà organisés peuvent démultiplier leurs campagnes. D’autre part, des individus moins expérimentés peuvent tenter des fraudes qui auraient été plus difficiles à monter auparavant. La qualité apparente d’un texte ou d’une image ne constitue donc plus un indice fiable de sérieux.

Le chiffre de 4 milliards de dollars doit être lu avec prudence

Microsoft indique avoir bloqué près de 4 milliards de dollars de tentatives de fraude sur une période d’un an. L’entreprise précise également que ses mécanismes de sécurité bloquent environ 1,6 million de tentatives d’inscription automatisées par heure. Ces inscriptions effectuées par des robots peuvent servir à créer de faux comptes, à contourner des protections ou à préparer des campagnes de spam et de fraude.

Ces données illustrent surtout le caractère massif et automatisé de la menace. Elles ne signifient pas que chaque inscription bloquée aurait causé une perte financière, ni que Microsoft mesure à lui seul toutes les escroqueries numériques. L’estimation des montants évités dépend des systèmes et méthodes internes de l’entreprise. Elle reste néanmoins un indicateur important : la fraude n’est plus seulement une série de messages isolés envoyés à la main.

Pour les internautes comme pour les entreprises, le bon réflexe consiste à ne pas confondre sophistication et infaillibilité. Les fraudeurs peuvent améliorer leur apparence, mais ils doivent toujours convaincre une personne de cliquer, de payer, de transmettre un document ou de communiquer un code de sécurité. C’est précisément à ce moment qu’une vérification peut casser la chaîne de l’arnaque.

Pourquoi les fausses boutiques deviennent plus convaincantes

Le commerce en ligne est une cible logique. Une fausse boutique peut exploiter une marque connue, un produit très recherché ou une promotion trop belle pour être vraie. Avec l’IA, les escrocs peuvent produire très rapidement des descriptions de produits, des pages de questions-réponses, des images d’illustration et de faux avis clients. L’ensemble peut donner l’impression d’un site actif et professionnel, même lorsqu’il vient d’être créé.

La ressemblance visuelle avec un commerce légitime ne suffit donc plus à rassurer. Avant un achat, il est préférable de vérifier soi-même l’adresse exacte du site, plutôt que de suivre un lien reçu dans une publicité, un message ou un courriel. Les conditions de vente, les moyens de contacter le vendeur et la cohérence des informations fournissent aussi des indices utiles. Une réduction spectaculaire, une durée de vente artificiellement limitée ou l’exigence d’un moyen de paiement inhabituel doivent inciter à interrompre la transaction.

Les avis méritent eux aussi une lecture attentive. Un grand nombre de commentaires très génériques, publiés sur une période très courte ou rédigés dans un style identique ne prouve pas une fraude à lui seul. En revanche, l’accumulation de ces signaux, associée à un site récent ou à une offre irréaliste, doit alerter.

Fausses offres d’emploi : le risque dépasse la simple déception

Le recrutement est l’autre terrain particulièrement exposé cité par Microsoft. Une annonce frauduleuse peut reprendre l’intitulé d’un vrai métier, imiter le nom d’une entreprise et présenter un recruteur doté d’un faux profil. Les informations publiques disponibles sur les réseaux professionnels facilitent cette mise en scène, tandis que l’IA peut aider à rédiger des annonces crédibles et personnalisées.

L’objectif peut être de récupérer des données personnelles sensibles : coordonnées, copie de pièce d’identité, informations bancaires ou identifiants. Certains fraudeurs cherchent aussi à obtenir de l’argent sous prétexte de frais de dossier, de matériel à acheter ou de formation obligatoire. Or un employeur sérieux ne demande pas à un candidat de payer pour décrocher un poste.

Plusieurs signaux doivent déclencher une vérification : une offre non sollicitée, une promesse salariale hors norme, une pression pour répondre immédiatement, des échanges basculés très vite vers SMS ou WhatsApp, ou encore une demande de documents inhabituels avant tout entretien. La méthode la plus sûre consiste à rechercher l’offre directement sur le site officiel de l’employeur et à contacter l’entreprise via des coordonnées trouvées indépendamment du message reçu.

Microsoft veut intégrer la prévention dès la conception des produits

La réponse ne peut pas reposer uniquement sur la vigilance individuelle. Microsoft met en avant plusieurs protections présentes dans ses services. Microsoft Defender for Cloud vise notamment à protéger les ressources hébergées dans Azure contre les menaces. De son côté, le navigateur Microsoft Edge intègre des mécanismes reposant sur l’apprentissage profond afin d’identifier et de bloquer des sites frauduleux.

L’entreprise indique aussi avoir instauré, en janvier 2025, un processus d’évaluation de la prévention des fraudes pour ses équipes produit. L’idée est d’appliquer un principe de conception « fraud-resistant by design », autrement dit d’intégrer des garde-fous dès la création d’un service plutôt que d’attendre les abus pour ajouter des protections.

Cette approche peut inclure la limitation des créations de comptes automatisées, l’analyse de comportements anormaux, des avertissements au moment d’une action risquée et des contrôles renforcés lors des opérations sensibles. Pour les entreprises, la prévention dès la conception importe particulièrement lorsqu’un produit permet des paiements, donne accès à des données clients ou facilite des échanges entre inconnus.

Microsoft mentionne également des améliorations autour de Windows Quick Assist pour avertir les utilisateurs face à certaines tentatives d’escroquerie. Les arnaques au faux support technique reposent souvent sur une mécanique simple : un fraudeur crée un sentiment d’urgence puis pousse sa cible à installer ou ouvrir un outil d’assistance à distance. Un avertissement utile peut offrir le temps nécessaire pour arrêter la procédure et vérifier l’identité de l’interlocuteur.

Quels réflexes adopter face à une arnaque assistée par IA ?

La présence possible d’IA ne doit pas conduire à la méfiance généralisée. Elle appelle plutôt à déplacer son attention : ne plus juger seulement la forme d’un message, mais vérifier son origine, sa demande et son contexte. Un message parfaitement rédigé peut être faux. À l’inverse, une communication maladroite n’est pas automatiquement frauduleuse.

Pour un achat, une candidature ou un contact supposé urgent, quelques habitudes réduisent fortement le risque :

• saisir soi-même l’adresse du site officiel d’une enseigne ou d’un employeur, au lieu d’ouvrir le lien transmis ;
• ne jamais communiquer un mot de passe, un code à usage unique ou des données bancaires à un interlocuteur non vérifié ;
• prendre le temps de confirmer une demande inhabituelle par un canal connu, par exemple le numéro officiel d’une entreprise ;
• se méfier des décisions imposées dans l’urgence, qu’il s’agisse d’un paiement, d’un recrutement ou d’un prétendu incident de sécurité ;
• utiliser l’authentification multifacteur sur les comptes importants, car un mot de passe volé ne suffit alors pas toujours à se connecter.

Les organisations ont une responsabilité complémentaire. Elles peuvent déployer l’authentification multifacteur, établir des procédures de validation pour les paiements et former leurs équipes aux demandes inhabituelles. Dans les situations où une voix ou une vidéo peut déclencher une décision financière, des outils de détection des deepfakes peuvent contribuer à l’évaluation du risque. Ils ne remplacent toutefois pas une règle essentielle : confirmer toute instruction sensible par un second canal.

Ce qu’il faut surveiller

Le rapport de Microsoft confirme une évolution majeure : la fraude en ligne devient plus facile à produire en volume et plus crédible dans sa présentation. Le principal danger n’est pas une IA capable de tromper automatiquement tout le monde, mais la multiplication de contenus suffisamment plausibles pour piéger une fraction des destinataires.

Dans les prochains mois, il faudra suivre la capacité des plateformes, des navigateurs et des fournisseurs de messagerie à détecter les faux comptes et les sites trompeurs avant leur diffusion. La généralisation de protections conçues contre la fraude, ainsi que la sensibilisation aux signaux d’alerte, seront tout aussi déterminantes. Face à une offre exceptionnelle ou à une demande pressante, quelques minutes de vérification restent souvent plus efficaces que la promesse d’une solution miracle.