Une fausse voix de Marco Rubio cible ministres étrangers et élus américains

Une voix familière, un message au ton crédible, un nom qui semble officiel : il n’en faut parfois pas davantage pour obtenir une réponse d’un haut responsable. C’est le scénario auquel a été confrontée la diplomatie américaine en juin 2025. Un individu non identifié s’est fait passer pour le secrétaire d’État Marco Rubio en combinant des messages écrits et une imitation vocale produite avec l’intelligence artificielle.

L’affaire, révélée le 8 juillet 2025 par le Washington Post à partir d’un câble diplomatique, ne documente pas seulement une tentative de fraude ciblant des personnalités de premier plan. Elle montre un basculement concret : les outils capables de copier une voix et un style rédactionnel peuvent désormais servir à rendre plausibles des sollicitations qui, auparavant, auraient été plus faciles à repérer comme frauduleuses.

Aucune information publique ne permet, à ce stade, d’affirmer que l’imposteur a obtenu des données sensibles ou convaincu l’une de ses cibles de prendre une décision. Mais l’objectif présumé, selon les autorités, était précisément de manipuler des responsables pour accéder à des informations protégées. Dans les relations internationales, une simple conversation engagée avec la mauvaise personne peut déjà constituer un risque.

Ce que l’on sait des messages attribués au faux Marco Rubio

Le câble diplomatique consulté par le Washington Post décrit une série de prises de contact amorcées à partir de la mi-juin 2025. L’imposteur aurait utilisé des messages texte et des messages vocaux sur Signal, l’application de messagerie chiffrée.

Les cibles étaient au nombre d’au moins cinq, toutes extérieures au département d’État américain :

• trois ministres étrangers ;
• un gouverneur américain ;
• un membre du Congrès.

Pour renforcer son apparente légitimité, l’auteur a créé en juin un compte Signal affichant le nom « Marco.Rubio@state.gov ». Un tel intitulé peut donner l’impression d’une adresse institutionnelle du département d’État, dont le domaine officiel est bien state.gov. Cela ne démontre pourtant pas que le compte a été créé ou contrôlé par l’administration américaine : dans une application de messagerie, le nom visible par les destinataires n’est pas, à lui seul, une preuve d’identité.

Au moins deux personnes ciblées ont reçu des messages vocaux. L’un des messages écrits invitait un destinataire à poursuivre l’échange sur Signal. Selon un haut responsable cité par The Independent, l’auteur a imité à la fois la voix et le style d’écriture de Marco Rubio à l’aide d’un logiciel d’IA.

Comment une voix générée par IA peut-elle imiter un responsable ?

Une imitation vocale par IA, souvent appelée clonage vocal, est produite par un modèle entraîné à reproduire les caractéristiques audibles d’une personne : timbre, rythme, accentuation, intonation et parfois certaines habitudes de langage. Des extraits audio accessibles publiquement, tels que des discours, des interviews ou des interventions télévisées, peuvent fournir la matière nécessaire à une imitation convaincante.

Marco Rubio est une personnalité politique très médiatisée. Ses prises de parole officielles et ses interventions publiques offrent de nombreux échantillons sonores exploitables. L’auteur présumé aurait aussi reproduit son style d’écriture, ce qui rend la combinaison particulièrement dangereuse : le destinataire ne reçoit pas seulement une voix qui lui paraît connue, il retrouve aussi une formulation et un ton susceptibles de correspondre à ceux de l’interlocuteur attendu.

L’IA ne communique pas nécessairement de façon autonome dans ce type d’opération. Un fraudeur peut utiliser un outil de synthèse pour générer un message vocal précis, puis l’envoyer au moment choisi. Il peut également s’appuyer sur un assistant d’écriture pour préparer des textos adaptés aux fonctions, aux relations ou à l’actualité de la personne visée. La technologie réduit alors le coût et le temps nécessaires à une usurpation crédible.

Le risque est particulièrement élevé lorsque le message joue sur l’urgence, la confidentialité ou l’autorité hiérarchique. Un responsable peut être tenté de répondre rapidement à une demande apparemment émise par son homologue, sans recourir aux procédures de vérification habituelles.

Signal protège le contenu, pas l’identité d’un interlocuteur

L’épisode met en lumière une distinction souvent mal comprise. Signal est connu pour son chiffrement de bout en bout : en principe, le contenu d’un message ou d’un appel ne peut être lu que par les participants à l’échange. Cette protection est importante contre l’interception technique.

Mais le chiffrement ne résout pas le problème de l’usurpation d’identité. Si un utilisateur discute avec un faux compte, ou répond à un message provenant d’un imposteur, la conversation peut être chiffrée tout en restant frauduleuse. La sécurité d’un canal de communication et la certitude de l’identité de la personne à l’autre bout du fil sont deux questions distinctes.

Dans ce cas, le compte affichant « Marco.Rubio@state.gov » semble avoir cherché à exploiter l’association spontanée entre un nom officiel et une communication digne de confiance. C’est précisément là que les procédures humaines restent essentielles : rappeler un interlocuteur via un numéro connu, passer par les canaux institutionnels établis, ou demander une confirmation par un bureau ou un collaborateur identifié.

Pourquoi les échanges diplomatiques sont une cible de choix

Les communications entre ministres, élus et hauts fonctionnaires sont attractives pour plusieurs raisons. Elles portent potentiellement sur des informations non publiques, des positions de négociation, des déplacements, des arbitrages politiques ou des contacts personnels. Même sans document classifié, un détail obtenu au cours d’un échange peut avoir une valeur stratégique.

Une tentative d’usurpation peut poursuivre différents objectifs : obtenir une information, pousser une cible à ouvrir une pièce jointe ou à cliquer sur un lien, recueillir des coordonnées, créer une confusion avant une opération plus élaborée, ou encore influencer une décision. Le câble diplomatique évoqué par le Washington Post indique que les autorités pensent que l’imposteur voulait manipuler ses cibles pour accéder à des informations sensibles.

L’intérêt d’imiter un secrétaire d’État est évident. Cette fonction donne une autorité considérable et justifie, aux yeux d’un destinataire, une prise de contact inhabituelle ou urgente. En ciblant des responsables qui peuvent raisonnablement attendre un échange avec Washington, l’auteur augmente les chances que son message soit lu avec attention plutôt qu’écarté immédiatement.

Cette logique dépasse les gouvernements. Les entreprises, les banques, les hôpitaux et les médias font eux aussi face à des tentatives où un fraudeur imite la voix d’un dirigeant, d’un collègue ou d’un proche. La fraude au faux dirigeant existait avant les outils génératifs. L’IA lui apporte une qualité d’imitation et une vitesse de préparation nouvelles.

Un incident qui s’inscrit dans une série d’alertes américaines

La révélation intervient dans un climat de forte attention sur les communications des responsables américains. Au printemps 2025, l’affaire surnommée Signalgate a ravivé le débat après l’ajout par erreur d’un journaliste à une discussion Signal réunissant de hauts responsables sur des opérations militaires au Yémen. Cet épisode concernait une erreur de destinataire et l’usage d’une messagerie commerciale pour des échanges très sensibles, non une falsification de voix. Il a néanmoins souligné la fragilité des pratiques de communication lorsque les procédures ne sont pas strictement respectées.

En mai 2025, une autre affaire d’usurpation a visé Susie Wiles, cheffe de cabinet de la Maison-Blanche. Un imposteur a utilisé des contacts de son téléphone pour communiquer avec des personnalités influentes. Donald Trump avait alors déclaré : « Personne ne peut imiter Susie. Il n’y a qu’une seule Susie. » L’incident Rubio apporte une dimension supplémentaire : l’usage allégué d’une voix artificielle pour donner corps à la supercherie.

Les autorités et les experts en sécurité rappellent aussi que les applications de messagerie grand public ne répondent pas nécessairement aux exigences applicables aux informations gouvernementales non publiques. En 2023, le département de la Défense américain avait interdit l’usage de Signal, WhatsApp et iMessage pour des discussions portant sur des informations non publiques, selon les éléments rapportés dans cette affaire.

Il ne faut pas en déduire que Signal serait intrinsèquement « non sécurisé ». Son chiffrement constitue une protection robuste contre certains risques. La question soulevée ici est celle de son adéquation à des échanges officiels selon leur niveau de sensibilité, ainsi que de l’application des règles d’authentification et d’archivage imposées aux institutions.

Quelles protections face aux deepfakes vocaux ?

Le premier réflexe consiste à ne plus traiter la voix comme une signature. Pendant longtemps, entendre directement un supérieur, un parent ou un représentant officiel a pu suffire à rassurer. En 2025, cette règle n’est plus tenable pour toute demande inhabituelle, confidentielle ou urgente.

Pour les administrations comme pour les organisations privées, plusieurs principes réduisent le risque :

• vérifier une demande sensible par un canal distinct, déjà connu et validé ;
• utiliser des coordonnées enregistrées dans un annuaire institutionnel plutôt que celles fournies par le message reçu ;
• confirmer les changements de coordonnées bancaires, les transferts de données ou les demandes d’accès par une procédure à plusieurs personnes ;
• former les équipes aux indices de manipulation, notamment à l’urgence artificielle et à l’argument d’autorité ;
• signaler immédiatement une tentative d’usurpation afin de prévenir les autres cibles possibles.

Une authentification forte peut également jouer un rôle : codes de vérification partagés par un canal séparé, procédures d’appel de contrôle, signatures numériques dans les environnements qui les prennent en charge, ou validation par un assistant et un service de sécurité. Aucune mesure isolée n’est infaillible. La solidité vient de la combinaison entre outils, règles et vigilance humaine.

Pour le grand public, la recommandation est similaire. Un message vocal d’un proche demandant de l’argent, un code ou une action immédiate doit être contrôlé en rappelant la personne sur un numéro habituel. Mieux vaut poser une question dont la réponse n’est pas publique ou joindre un autre proche, sans répondre directement au numéro ou au compte qui a lancé la sollicitation.

Ce qu’il faut surveiller après l’enquête du département d’État

Le département d’État a indiqué qu’il mènerait une enquête approfondie et continuerait à déployer des mesures de sécurité renforcées. Les conclusions éventuelles devront éclaircir plusieurs points déterminants : l’identité de l’auteur, l’ampleur exacte des contacts, les techniques employées et l’existence ou non d’une compromission effective.

Au-delà de cette affaire, le défi est institutionnel. Les administrations doivent pouvoir maintenir des échanges rapides entre décideurs, sans normaliser des pratiques qui rendent l’usurpation facile. Cela implique de distinguer les conversations ordinaires des communications engageant une décision, un secret ou une relation diplomatique sensible.

La progression des deepfakes oblige aussi à revoir une habitude profondément ancrée : croire ce que l’on voit ou ce que l’on entend. Une image, une vidéo et désormais une voix peuvent être fabriquées avec un degré de réalisme suffisant pour franchir la première barrière de confiance. Dans les contextes à haut risque, la bonne question n’est donc plus seulement « ce message semble-t-il authentique ? », mais « par quel moyen indépendant puis-je prouver qu’il l’est ? ».