Deepfake en entretien d'embauche : détecter les faux candidats

Un candidat brillant, disponible immédiatement, qui coche toutes les cases techniques et accepte un poste full remote sans jamais négocier le salaire : ce profil trop parfait cache parfois un visage généré en temps réel par IA. Depuis 2024, le FBI, le Department of Justice américain et la société de cybersécurité CrowdStrike documentent des campagnes où de faux candidats utilisent le face-swap en direct pendant l'entretien vidéo, combiné à des pièces d'identité, CV et diplômes falsifiés, pour se faire embaucher — le plus souvent sur des postes IT en télétravail.

Qu'est-ce qu'un deepfake d'entretien d'embauche

Un deepfake d'entretien d'embauche consiste à faire tourner un modèle de génération d'images en direct pendant l'appel vidéo, pour remplacer le visage réel de l'opérateur par celui d'une identité synthétique ou volée. Le flux passe par un pilote de webcam virtuel, si bien que Zoom, Teams ou Google Meet le traitent comme une caméra ordinaire. Depuis au moins 2024, des opérateurs affiliés à des programmes nord-coréens font tourner ce type de modèle en direct pour se présenter à plusieurs entretiens sous des identités différentes, selon les recherches de CrowdStrike sur le groupe qu'elle appelle Famous Chollima. Le procédé s'accompagne presque toujours de pièces d'identité, de CV ou d'attestations d'emploi falsifiés, car un visage crédible ne suffit pas à passer un contrôle RH complet.

Comment le cas KnowBe4 a révélé l'ampleur du phénomène

Le cas le plus documenté publiquement reste celui de KnowBe4, éditeur américain de solutions de sensibilisation à la cybersécurité, qui a recruté sans le savoir un faux ingénieur logiciel en juillet 2024. Le candidat avait présenté une identité américaine volée et une photo retouchée par IA ; il a passé quatre entretiens vidéo et une vérification des antécédents avant d'être embauché, selon le communiqué de KnowBe4. Dès la réception de l'ordinateur professionnel, le logiciel de sécurité de KnowBe4 a détecté une tentative d'installation de malware, et l'incident a été neutralisé en environ 25 minutes, d'après The Register. Aucune donnée n'a été compromise, mais l'entreprise a reconnu que son processus d'entretien n'avait rien détecté d'anormal.

Le ministère de la Justice américain a depuis multiplié les poursuites. En janvier 2025, le DOJ a inculpé deux ressortissants nord-coréens et trois facilitateurs pour un stratagème pluriannuel ayant permis d'obtenir des postes IT à distance dans plus de 100 entreprises américaines, selon le communiqué du DOJ. Le FBI recommande notamment de demander au candidat de passer sa main devant son visage en plein entretien : un deepfake mal calibré affiche alors des artefacts visuels révélateurs, d'après l'alerte du FBI.

La France est-elle vraiment concernée

Oui : la France figure parmi les onze pays signataires d'une alerte conjointe sur ces schémas de fraude au recrutement. Le 31 juillet 2026, le ministère français de l'Europe et des Affaires étrangères a cosigné avec les autorités de dix autres pays — dont les États-Unis, le Royaume-Uni, l'Allemagne et le Japon — une alerte publique sur les travailleurs IT nord-coréens utilisant l'IA générative et le deepfake en temps réel pour décrocher des postes à distance, selon le communiqué du Département d'État américain. Le texte souligne que ces opérateurs falsifient systématiquement leur nationalité et leurs documents d'identité pour s'inscrire sur les plateformes d'emploi et de freelance.

Le CERT-FR, service de l'ANSSI, a publié le 4 février 2026 une note de 12 pages consacrée aux usages malveillants de l'IA générative, qui recense la création de faux profils d'entreprise et de collaborateurs sur les réseaux sociaux parmi les techniques observées, d'après la note du CERT-FR. Pour une entreprise française qui recrute en full remote — un développeur, un support client ou un profil RH basé à l'étranger — le risque n'est plus théorique : c'est un candidat qui n'existe pas, derrière un visage qui, lui, semble parfaitement réel.

Quels signaux distinguent un entretien vidéo authentique d'un deepfake

Aucun signal isolé n'est infaillible, mais leur accumulation doit alerter un recruteur ou un service RH.

Ce dernier point rejoint un phénomène détaillé dans notre article sur les attestations d'emploi et contacts de référence impossibles à vérifier : un faux candidat soigne rarement l'ensemble de la chaîne documentaire, il laisse presque toujours une faille sur un point précis.

Comment sécuriser un processus de recrutement à distance

Un recrutement full remote sécurisé repose sur la vérification croisée, pas sur l'intuition du recruteur pendant l'appel. Trois réflexes réduisent concrètement l'exposition.

Vérifiez les pièces d'identité et diplômes auprès de la source, pas seulement sur la base du document scanné envoyé par le candidat — un CV ou un diplôme généré ou retouché par IA peut être visuellement irréprochable, comme nous le détaillons dans notre article sur la fabrication de CV et de diplômes à l'aide de générateurs d'images IA. Croisez ensuite les coordonnées bancaires et administratives entre plusieurs candidats recrutés sur une courte période : le FBI signale des comptes de paiement partagés entre plusieurs faux employés supposément indépendants. Enfin, ne traitez jamais l'entretien vidéo comme une preuve d'identité suffisante — un entretien réussi confirme des compétences, pas une identité, et ces deux vérifications doivent rester distinctes dans le processus RH.

CheckFile s'appuie sur une détection fondée sur l'analyse multi-couche (structurelle, métadonnées, cohérence inter-documents) pour croiser pièce d'identité, CV, diplôme et attestation d'emploi avant l'embauche, plutôt que de s'en remettre à la seule impression laissée par l'entretien. Une analyse forensique IA-générée est disponible en option, selon le niveau de risque sectoriel, pour les postes jugés sensibles — accès aux données clients, aux environnements de production ou aux systèmes financiers.

Cette vérification documentaire reste complémentaire, pas exhaustive. Selon le rapport 2024 de l'ACFE (Report to the Nations), 37 % des fraudes documentaires sont détectées par les contrôles manuels internes, ce qui illustre les limites d'une vérification purement humaine face à des dossiers construits avec des outils génératifs, selon le rapport 2024 de l'ACFE. C'est précisément l'angle mort qu'une couche additionnelle de signaux de génération IA, déployée selon configuration client, vient combler en amont de la décision d'embauche.

Pour les entreprises qui recrutent des profils techniques ou des intérimaires à distance, ces contrôles s'intègrent naturellement à un processus de vérification adapté aux ressources humaines ou à des missions d'intérim et de recrutement temporaire, deux contextes où la pression du délai pousse parfois à réduire les vérifications — l'inverse de ce qu'il faudrait faire face à ce type de fraude. Plus largement, la vérification documentaire par IA répond à des enjeux similaires dans d'autres secteurs régulés, comme le détaille notre guide sectoriel de la vérification d'identité.

Que faire si un doute survient après l'embauche

Isoler l'accès avant d'enquêter est le réflexe prioritaire. Si un employé récemment recruté déclenche une alerte de sécurité, change fréquemment de coordonnées bancaires ou refuse systématiquement les visioconférences caméra allumée après l'embauche, la priorité est de suspendre ses accès aux systèmes sensibles avant de mener l'enquête RH et de contacter, si nécessaire, les autorités compétentes. Documenter chaque étape du dossier de recrutement — captures des documents fournis, historique des échanges, comptes rendus d'entretien — facilite ensuite l'analyse forensique et, le cas échéant, un signalement.

L'IA générative rend ce type de fraude accessible à des opérateurs qui n'ont ni les compétences ni le budget d'une équipe de cybersécurité étatique. Nos solutions de sécurité documentaire et notre page dédiée à la détection deepfake détaillent comment CheckFile analyse vos dossiers et signale les indices de génération IA en complément de vos contrôles existants, sans se substituer à la vigilance de vos équipes RH pendant l'entretien.

Questions fréquentes

Comment savoir si mon interlocuteur en visio est un deepfake

Demandez-lui de passer lentement la main devant son visage ou de tourner la tête à 90 degrés : les modèles de face-swap en temps réel produisent souvent un flou ou un figement de l'image sur ces mouvements rapides. Observez aussi la synchronisation entre les lèvres et l'audio sur les sons occlusifs (p, b, m), un point que le FBI recommande explicitement de vérifier.

Un deepfake en entretien peut-il tromper une vérification d'identité classique

Un face-swap en temps réel trompe l'œil humain pendant un appel, mais il ne fabrique pas à lui seul une pièce d'identité ou un diplôme cohérent avec l'état civil déclaré. C'est pour cela que les schémas documentés combinent systématiquement le deepfake vidéo avec des documents falsifiés — les deux couches de fraude doivent être vérifiées séparément.

Est-il risqué pour une PME française de recruter un développeur en full remote sans jamais le rencontrer

Le risque existe mais reste gérable avec des contrôles proportionnés : vérification des documents à la source, recoupement des coordonnées bancaires, et prudence renforcée sur les postes donnant accès à des données sensibles. La majorité des cas documentés concernent de grandes entreprises technologiques américaines, mais l'alerte du 31 juillet 2026 cosignée par la France montre que le phénomène n'est plus circonscrit aux États-Unis.

Que faire si on découvre après coup avoir embauché un faux candidat

Suspendez immédiatement les accès aux systèmes et comptes de la personne, documentez l'ensemble du dossier de recrutement, et signalez l'incident aux autorités compétentes ainsi qu'à votre RSSI ou prestataire de cybersécurité. Le cas de KnowBe4 montre qu'une détection rapide côté sécurité informatique peut neutraliser la menace en quelques dizaines de minutes, même quand le recrutement lui-même n'a rien détecté.

Les attestations d'emploi et références fournies par ces faux candidats sont-elles vérifiables

Rarement de façon complète. Ces dossiers présentent souvent des attestations d'emploi ou des références professionnelles dont les coordonnées ne mènent qu'à un numéro de mobile ou à une adresse générique, sans lien vérifiable avec une entreprise réelle — un signal typique de la fraude aux références professionnelles évoqué plus haut.