Coupe du monde 2026 : l'intelligence artificielle a fait sauter notre dernière ligne de défense

L'IA rend le phishing indétectable. 344 faux sites FIFA déjà actifs. Arrêtons de culpabiliser les utilisateurs, la responsabilité appartient aux plateformes et hébergeurs.

Depuis vingt ans, la sécurité numérique repose sur un mensonge confortable : l’utilisateur bien informé saurait se défendre. L’intelligence artificielle vient de le démentir. Plus de 344 faux sites clonant à la perfection le site officiel de la Coupe du monde ont déjà été recensés, et plus personne, pas même un expert, ne sait les distinguer du vrai. Continuer à exiger la vigilance des individus n’est plus de la prudence : c’est un transfert de responsabilité indigne, qui fait porter à la victime un échec qui revient aux plateformes, aux hébergeurs et aux marques.

Il y a un conseil que l’on répète à tous ceux qui se connectent à Internet : soyez vigilants. Vérifiez l’adresse du site, traquez la faute d’orthographe, méfiez-vous des courriels trop pressants. Cette pédagogie a structuré toute notre culture de la sécurité numérique. Elle est aujourd’hui périmée, et des millions de supporters vont l’apprendre à leurs dépens. Le pari sur lequel nous avons tout misé, celui d’un dernier rempart humain, vient de s’effondrer.

Pendant des années, la fraude en ligne se trahissait par ses imperfections. Le faux site était presque parfait, mais un logo pixelisé, une tournure maladroite, une URL de travers permettaient à l’œil entraîné de débusquer le piège. Toute notre stratégie collective tenait sur ce postulat : l’utilisateur final, correctement éduqué, serait le dernier verrou. Nous avons transféré sur ses épaules une responsabilité qui n’aurait jamais dû lui incomber.

Ce postulat ne tient plus, parce que l’imperfection a disparu. Les outils d’intelligence artificielle générative produisent des clones de sites officiels indiscernables de l’original, des courriels sans la moindre faute, déclinés instantanément dans toutes les langues, et des pages de paiement d’un réalisme parfait. Et l’enjeu n’a rien d’abstrait : sur ces faux sites, on croit acheter un billet et l’on remet en réalité son numéro de carte, ses identifiants, parfois une copie de sa pièce d’identité, directement entre les mains d’escrocs. Le paiement disparaît, le billet n’existe pas, et les données ainsi collectées servent ensuite à vider un compte, usurper une identité ou être revendues à d’autres fraudeurs. La faille sur laquelle nous comptions, la trace laissée par le fraudeur, n’existe plus. Et l’humain n’est plus capable de trier : un tiers des internautes se disent certains de savoir repérer une arnaque générée par IA, mais 78 % d’entre eux ouvrent quand même les courriels piégés, et le taux de détection des contenus falsifiés tombe à 24,5 %. Autrement dit, ceux qui se croient les mieux armés sont déjà tombés. Demander à un supporter de distinguer un vrai site de billetterie d’un faux n’est plus un effort de prudence, c’est une épreuve truquée d’avance.

Car la fraude n’a plus rien d’artisanal : elle est industrielle, et elle était préméditée. Derrière les 344 clones déjà actifs, plus de 3 000 autres domaines liés à la même campagne attendent, enregistrés et dormants, prêts à être activés au fil du tournoi. On ne parle pas d’opportunistes qui improvisent, mais d’organisations qui ont préparé leurs munitions des mois à l’avance. Car derrière ces campagnes, il y a une véritable économie. La fraude en ligne s’est structurée comme une industrie clandestine, avec ses kits de phishing prêts à l’emploi loués ou revendus, ses infrastructures partagées et ses places de marché où les données dérobées, cartes bancaires, identifiants et pièces d’identité, se monnaient au lot. Lors de la précédente Coupe du monde, les informations volées via de fausses applications de l’événement avaient ainsi fini en vente sur les marchés du dark web. Et le football n’est qu’un terrain d’essai. Ce qui se joue aujourd’hui se rejouera à chaque pic de transactions à fort enjeu : soldes, campagnes de dons, démarches administratives, vagues de recrutement. La question n’est pas de savoir si cela recommencera, mais quand.

Dans ce contexte, marteler le message de la vigilance individuelle n’est pas seulement inefficace : c’est une fuite en avant, et pour tout dire une hypocrisie. Cela revient à reprocher à la victime un échec qui n’est pas le sien. Quand une personne se fait piéger par un faux site qu’aucun expert n’aurait démasqué, lui opposer son manque de prudence, c’est protéger ceux qui auraient pu agir et ne l’ont pas fait. La culpabilisation de l’utilisateur est le symptôme d’un système qui a renoncé à se défendre en amont.

La responsabilité s’est déplacée, et il est temps de l’assumer. Si l’individu ne peut plus voir la différence, la défense doit remonter là où elle est encore possible : chez ceux qui en ont les moyens techniques. Les marques dont l’identité est usurpée doivent traquer leur propre contrefaçon au lieu d’attendre les plaintes de leurs clients. Les hébergeurs et les bureaux d’enregistrement, qui laissent prospérer ces clones sur leurs serveurs, doivent cesser de servir de bouclier : dans la campagne analysée, 146 domaines frauduleux s’abritaient derrière les services d’un même grand fournisseur d’infrastructure, neutralisant le blocage et ralentissant d’autant les retraits. Quant aux plateformes qui encaissent les recettes publicitaires de ces leurres, elles ne peuvent plus se cacher derrière le statut d’hébergeur neutre : elles diffusent la fraude, elles en tirent profit, elles doivent en répondre. Tant que ces acteurs ne seront pas tenus pour comptables, la lutte se mènera une victime à la fois, c’est-à-dire qu’elle sera perdue d’avance.

Il faut donc changer de doctrine. Pendant vingt ans, nous avons investi massivement dans la sensibilisation du public, en pariant que l’humain bien informé compenserait les failles du système. Ce pari est mort. L’enjeu n’est plus d’apprendre aux gens à repérer l’indétectable, mais de construire un environnement où l’indétectable ne leur parvient jamais. Tant que nous demanderons aux internautes de garder une frontière qu’ils ne voient plus, nous défendrons des lignes que l’adversaire a déjà franchies.

L’intelligence artificielle n’a pas seulement rendu la fraude plus efficace : elle a rendu caduque la stratégie de défense sur laquelle nous avons tout bâti. Le reconnaître n’est pas un aveu de faiblesse. C’est la seule condition pour cesser de livrer le mauvais combat, et commencer enfin le bon.