Candidats deepfake : comment stopper la fraude au recrutement par l'IA en 2026

Un candidat deepfake est un postulant qui utilise une vidéo générée par IA, une voix clonée ou une identité volée ou synthétique pour franchir les entretiens et la présélection. En 2026, les candidats falsifiés ou assistés par IA se sont hissés au rang de première menace anticipée du recrutement, devant la pénurie de talents, et Gartner prévoit que d’ici 2028, 1 profil de candidat sur 4 dans le monde sera factice.

Pendant vingt ans, le recrutement à distance a reposé sur un postulat tacite : la personne en visio est bien celle qui occupera le poste. Ce postulat n’existe plus. Les outils pour truquer un visage, une voix et une identité sont désormais bon marché, rapides et suffisamment convaincants pour tromper des recruteurs aguerris. Ce guide explique comment la fraude fonctionne réellement, les chiffres vérifiés derrière l’inquiétude, et les mesures concrètes qui rendent votre pipeline de recrutement résistant à cette menace, sans pour autant ramener tout le monde en salle de réunion.

Qu’est-ce qu’un candidat deepfake ?

Un candidat deepfake est une personne qui postule et passe ses entretiens sous une identité fabriquée ou empruntée, en s’appuyant sur l’IA pour combler l’écart entre ce qu’elle prétend être et ce qu’elle est. La catégorie recouvre trois tactiques qui se chevauchent.

• La fraude à l’identité synthétique : une personne entièrement inventée, avec un visage généré par IA, un parcours professionnel fabriqué de toutes pièces et des documents qui résistent à un examen rapide.
• Les entretiens par procuration : un remplaçant compétent réussit l’entretien, puis une autre personne, moins qualifiée, occupe le poste, ou ne se présente jamais.
• L’usurpation assistée par IA : un postulant réel mais qui se présente sous un faux jour recourt à l’échange de visage en direct, au clonage vocal ou à la génération de réponses en temps réel pour se faire passer pour quelqu’un d’autre.

La menace va du chercheur d’emploi trop sûr de lui qui contourne une présélection à l’opérateur soutenu par un État qui s’infiltre dans votre code source. La parade reste la même à tous les niveaux : rattacher chaque point de contact du candidat à une identité unique et vérifiable, et faire de la cohérence d’un tour à l’autre un élément que vous contrôlez réellement.

Pourquoi les faux candidats sont devenus la menace n°1 du recrutement en 2026

Les candidats falsifiés ou générés par IA devancent désormais la pénurie de talents dans les préoccupations des responsables de l’acquisition de talents. Le basculement est récent, mesurable et étayé par des sources primaires, et non par le marketing des éditeurs.

Dans le rapport 2026 Hiring Insights de GoodTime, qui a interrogé en novembre 2025 plus de 500 responsables de l’acquisition de talents aux États-Unis dans des entreprises de plus de 1 000 salariés, 27 % ont classé les candidats falsifiés ou générés par IA comme leur principal défi anticipé, devançant de peu les 26 % préoccupés par la pénurie de talents. Pour un secteur qui ne jure que par la pénurie de talents depuis dix ans, ce renversement est remarquable.

La trajectoire le confirme. Dans un rapport de juillet 2025, Gartner prévoyait que d’ici 2028, 1 profil de candidat sur 4 dans le monde sera factice. Le préjudice financier, lui, est déjà là. Selon les données de la FTC de mars 2025, les pertes déclarées liées aux arnaques à l’emploi sont passées de 90 millions de dollars en 2020 à 501 millions en 2024, la catégorie plus large des fraudes aux opportunités professionnelles et commerciales atteignant 750,6 millions. Aux États-Unis, le total des pertes liées à la fraude a atteint 12,5 milliards de dollars en 2024, en hausse de 25 % sur un an.

Ce n’est plus un risque marginal qui n’inquiète que les équipes de sécurité. C’est un problème de recrutement de premier plan, qui atterrit sur le bureau de chaque recruteur gérant un pipeline à distance.

Comment fabriquer un candidat deepfake en 70 minutes

Si cette menace a pris une telle ampleur, c’est parce que le coût pour truquer une personne s’est effondré. Plus besoin de studio, de budget ni d’expertise.

Un seul chercheur de l’Unit 42 de Palo Alto Networks, sans aucune expérience en manipulation d’images, ne connaissant que vaguement les deepfakes et travaillant sur un ordinateur vieux de cinq ans, a bâti une identité synthétique capable de réussir un entretien vidéo en 70 minutes. La boîte à outils était gratuite : un moteur de recherche dopé à l’IA, un logiciel de deepfake open source et un visage tiré d’un générateur de type « cette personne n’existe pas ». La carte graphique était une RTX 3070 achetée fin 2020.

Soixante-dix minutes. Une seule personne. Une machine grand public déjà obsolète. Tout schéma mental qui considère la fraude au deepfake comme difficile, rare ou réservée à des acteurs sophistiqués est faux.

Les démonstrations en direct sont tout aussi glaçantes. L’éditeur de sécurité Pindrop a montré le visage d’un journaliste remplacé en temps réel lors d’un appel Zoom, sans que les autres participants ne remarquent quoi que ce soit. Le visage qui bouge et qui parle sur votre écran ne prouve plus rien.

Quand la barrière à l’entrée est aussi basse, vous ne pouvez plus compter sur les recruteurs pour « repérer le truc d’eux-mêmes ». La détection à l’instinct ne tient pas face à des outils qui s’améliorent chaque trimestre. C’est au pipeline de faire le travail.

Le mode opératoire nord-coréen : fermes à ordinateurs portables et employés synthétiques

La version la mieux documentée de cette fraude est aussi la plus lourde de conséquences : des opérateurs liés à un État qui se font passer pour des travailleurs américains à distance afin de toucher des salaires et d’accéder aux systèmes internes.

En juillet 2025, Christina Marie Chapman, 50 ans, de Litchfield Park (Arizona), a été condamnée à 102 mois (8 ans et demi) de prison pour avoir géré une « ferme à ordinateurs portables » depuis son domicile. Le ministère américain de la Justice a établi que son opération avait aidé des informaticiens nord-coréens à se faire passer pour des salariés basés aux États-Unis dans plus de 300 entreprises américaines, générant plus de 17 millions de dollars de revenus illicites pour la RPDC. Lors de la perquisition de son domicile en octobre 2023, les enquêteurs ont saisi plus de 90 ordinateurs portables fournis par des employeurs, chacun servant à faire passer un « employé » à distance pour un travailleur local.

Le stratagème fonctionne parce que l’intégration à distance vérifie rarement que la personne qui tape au clavier est bien celle qui a passé l’entretien, ou qu’elle se trouve physiquement là où elle le prétend. Un ordinateur portable expédié à une adresse en Arizona suffit à valider la paperasse. La personne qui s’en sert est sur un autre continent.

Et il ne s’agit pas de quelques cas isolés. Le directeur de la sécurité d’Amazon, Stephen Schmidt, a révélé que l’entreprise a bloqué plus de 1 800 opérateurs nord-coréens présumés au stade du recrutement depuis avril 2024, et que les candidatures liées à la Corée du Nord ont augmenté d’environ 27 % d’un trimestre à l’autre tout au long de 2025. Si l’un des employeurs les plus matures au monde en matière de sécurité traite cela comme un coût opérationnel permanent, les entreprises plus petites et dépourvues d’équipe de sécurité ne sont pas pour autant à l’abri. Elles sont des cibles plus faciles.

Le risque ne se limite pas à un mauvais recrutement. C’est un logiciel malveillant sur votre réseau, le vol de code source et de données clients, des demandes de rançon, et une exposition aux sanctions pour avoir, sans le savoir, rémunéré un régime sous embargo.

Entretiens par procuration et triche assistée par IA : la version du quotidien

La plupart des entreprises ne croiseront jamais sciemment un opérateur d’État. Elles affronteront la version banale et massive : des postulants ordinaires qui utilisent l’IA pour fausser qui ils sont et ce dont ils sont capables.

Les chiffres montrent la vitesse à laquelle cette pratique s’est banalisée. Dans une enquête de Resume Genius auprès de 1 000 responsables du recrutement aux États-Unis, 17 % ont déclaré avoir rencontré des candidats utilisant la technologie deepfake lors d’entretiens vidéo, contre environ 3 % l’année précédente. Un rapport de GetReal Security révèle que 41 % des responsables informatique, cybersécurité, risque et fraude affirment que leur organisation a déjà recruté et intégré un candidat frauduleux. Une étude de Regula de 2024 a constaté que la moitié des entreprises avaient déjà été confrontées à un deepfake vidéo.

Le camp des candidats l’admet lui aussi. Dans une enquête de Gartner auprès de 3 000 chercheurs d’emploi, 6 % ont reconnu avoir commis une fraude lors d’un entretien, c’est-à-dire avoir usurpé une identité ou s’être fait représenter par quelqu’un. Quatre sur dix ont déclaré utiliser l’IA à un moment ou un autre de leur candidature. Et seulement la moitié environ pensaient que les offres auxquelles ils postulaient étaient réelles, ce qui en dit long sur l’érosion de la confiance des deux côtés de la table.

Les tactiques du quotidien sont plus simples qu’un deepfake complet : un ingénieur plus chevronné se joint à l’appel pour gérer le tour technique, un second écran souffle les réponses en direct, un transformateur de voix gomme un accent qui trahirait un remplaçant. Rien de tout cela n’exige une RTX 3070. Il suffit d’un complice consentant et d’un processus qui ne vérifie jamais si c’est bien la même personne qui se présente à chaque étape.

Pourquoi les outils d’identité « greffés » ne suffisent pas

Le premier réflexe du marché a été d’agrafer un prestataire de vérification sur l’entonnoir existant. Cela aide, mais ne règle pas le problème de fond.

Une vague d’outils de vérification d’identité vient désormais se greffer sur les logiciels de suivi des candidatures. Persona a lancé Candidate Verification, qui combine pièce d’identité officielle, selfie en direct et signaux liés à l’appareil, au comportement et au réseau, avec des intégrations à Ashby, Greenhouse et Workday. Checkr a déployé Identity Verification en 2026 pour repérer les noms incohérents, les faux selfies et les pièces d’identité non valides. La détection de deepfakes vocaux et vidéo proposée par des éditeurs comme Pindrop, GetReal et Daon ajoute des contrôles de présence réelle.

Ce sont des outils utiles. Mais chacun d’eux n’est qu’une greffe. Ils vérifient l’identité à une seule étape et renvoient un signal à votre logiciel de suivi des candidatures, quel qu’il soit. Aucun d’eux n’est le pipeline. Une vérification au stade du CV ne garantit en rien que la personne présente à l’entretien final, ou celle qui finit par accepter l’offre et reçoit un ordinateur portable, est bien le même être humain. La fraude se loge dans les interstices entre les étapes, et les greffes ne maîtrisent pas ces interstices.

Gartner a même prévenu que d’ici 2026, 30 % des entreprises jugeront les outils de vérification d’identité peu fiables à eux seuls face à des deepfakes de plus en plus aboutis. L’outil est nécessaire, mais pas suffisant.

La preuve la plus parlante vient de la façon dont les employeurs les plus avancés ont réagi. Google et McKinsey réintroduisent des tours d’entretien en présentiel. Dans le podcast de Lex Fridman en juin 2025, le PDG de Google, Sundar Pichai, a confirmé que Google rétablissait « au moins un tour d’entretien en présentiel » pour vérifier les fondamentaux des candidats. Quand des géants nés de l’IA concluent que la visio seule n’est plus digne de confiance, le message n’est pas « retournez au bureau ». C’est « intégrez la vérification au processus lui-même ».

Comment blinder votre pipeline de recrutement contre la fraude

Vous n’avez pas à choisir entre recrutement à distance et recrutement fiable. Vous rendez le pipeline lui-même résistant à la fraude en imposant l’identité en continu, plutôt qu’en la contrôlant une seule fois. Voici une checklist concrète.

1. Authentifiez chaque point de contact du candidat. Rattachez chaque interaction à une identité e-mail unique et vérifiable, à l’aide de liens sans mot de passe et à usage unique, plutôt qu’avec un mot de passe partagé qu’un remplaçant peut transmettre. Chaque accès devient ainsi traçable jusqu’à une identité unique.
2. Placez les contrôles d’identité dans le pipeline, pas à côté. Insérez une étape de vérification, un contrôle par un prestataire de vérification d’identité ou un tour en présentiel ou surveillé, comme un passage obligé avant les étapes sensibles : entretien final, offre ou accès au code. Ce contrôle doit bloquer la progression, et pas seulement consigner un avertissement.
3. Traquez les incohérences d’un tour à l’autre. Faites comparer leurs notes par au moins deux recruteurs sur l’ensemble des étapes. « Ça ne donnait pas l’impression d’être la même personne qu’au premier tour » est l’un des signaux de fraude les plus solides dont vous disposez, et il ne ressort que lorsque l’évaluation est collaborative et documentée.
4. Exploitez les signaux comportementaux issus des échantillons de travail. Un candidat qui brille en entretien en direct mais dont le rythme, l’environnement ou le style sur un exercice de code semblent suspects révèle une incohérence à signaler. Du vrai travail, observé dans la durée, est bien plus difficile à truquer qu’un seul appel bien rodé.
5. Vérifiez avant l’accès, pas après. L’affaire Chapman a fonctionné parce que la vérification, quand elle avait lieu, intervenait après l’expédition d’un ordinateur portable. Confirmez l’identité et la localisation avant d’accorder le moindre accès à un système, un dépôt ou un appareil.
6. Réservez un tour à haut niveau de confiance aux postes à haut niveau de confiance. Empruntez l’approche de Google de façon sélective. Pour les postes touchant aux systèmes en production ou aux données sensibles, exigez un tour en présentiel ou rigoureusement surveillé. Vous n’en avez pas besoin pour chaque recrutement, seulement pour ceux où le risque est une faille de sécurité.

Pour aller plus loin sur l’évaluation des compétences réelles quand diplômes et CV ne prouvent plus rien, consultez notre guide sur le recrutement des ingénieurs juniors après l’effondrement des diplômes.

Comment Kit intègre la résistance à la fraude dans le pipeline

Une détection de fraude greffée sur un entonnoir de recrutement aura toujours un temps de retard, parce que l’entonnoir a été conçu pour la confiance. Un logiciel de suivi des candidatures nativement conçu pour l’IA peut, lui, rendre le pipeline résistant à la fraude par conception. Kit est bâti précisément pour cela, parce qu’il se situe au croisement de ses deux domaines les plus solides : le recrutement et la sécurité.

Kit a déjà supprimé les mots de passe pour les candidats. Chaque candidat accède au processus via un lien magique, un lien à usage unique et à durée limitée, rattaché à une identité e-mail unique. Aucun mot de passe partagé à transmettre à un remplaçant, et chaque accès est un événement authentifié et traçable. Le même principe sans mot de passe irrigue le module de sécurité et de divulgation de vulnérabilités de Kit, car l’assurance d’identité est native du produit, et non rapportée après coup.

Le modèle d’étapes de Kit vous permet de placer des points de contrôle de confiance à l’intérieur du pipeline. Vous pouvez insérer un tour avec identité vérifiée ou en présentiel comme passage obligé avant les étapes sensibles, par exemple une offre ou l’accès à un dépôt, exactement le schéma décrit dans la checklist ci-dessus. Et si vous souhaitez recourir à un prestataire de vérification d’identité dédié comme Persona ou Checkr, c’est dans Kit que vous l’imposez comme un véritable contrôle bloquant, et non comme un entonnoir poreux qui traite cette vérification comme facultative.

Les exercices de code intégrés à GitHub de Kit vous fournissent un signal comportemental : un candidat dont le comportement en entretien en direct et sur un échantillon de travail ne concordent pas révèle une incohérence à signaler. Et la revue d’équipe et le vote font remonter le signal « ce n’était pas la même personne d’un tour à l’autre » avant l’envoi de la moindre offre, plutôt qu’après l’expédition d’un ordinateur portable.

Kit n’est pas un moteur de détection de deepfakes, et il ne remplace pas la vérification d’identité biométrique. C’est le pipeline qui rend la vérification applicable et l’identité continue, pour que les interstices entre vos étapes cessent d’être le repaire de la fraude.

La menace est réelle, les chiffres sont vérifiés, et les outils pour truquer un candidat n’ont jamais été aussi bon marché. La bonne nouvelle, c’est que la parade est structurelle, pas magique. Authentifiez chaque point de contact, verrouillez les étapes sensibles, et vérifiez que c’est bien la même personne qui se présente, du premier contact au premier commit. Démarrez un essai gratuit et construisez un pipeline qui part du principe que la confiance se mérite, au lieu de la présumer.