État de la menace — avril 2026
publié le 02 mai 2026 à 08:00 · lecture 3 min
Avril 2026 a été le mois où plusieurs signaux faibles sont devenus des tendances de fond confirmées. Trois en particulier : les faux sites administratifs (carte grise, préfecture, ANTS) se sont structurés en famille cohérente avec achat systématique de pubs Google au-dessus des résultats officiels ; les FOVI ont battu un record annuel avec une perte moyenne signalée de 18 200 € contre 12 800 € en mars ; et surtout, les premiers cas confirmés de deepfake vidéo temps réel sur visio professionnelle ont basculé du laboratoire au terrain — saut qualitatif que la veille suivait depuis l'automne 2025.
Ce qui s'est consolidé en avril
1. La famille des faux sites administratifs prend forme. En avril, on a vu se stabiliser une mécanique commune entre les faux sites carte grise, préfecture, ANTAI, DGFIP et CAF : achat de pub Google Ads sur les requêtes administratives, apparition au-dessus du résultat officiel .gouv.fr, design administratif crédible, et soit surfacturation d'une démarche gratuite, soit collecte d'un kit d'identité. C'est le pattern fake-admin-site qui s'industrialise — désormais à suivre comme catégorie cohérente, pas comme cas isolés.
2. Les opérateurs télécom deviennent une cible privilégiée. SFR, Free, Orange : toutes les marques télécom françaises ont vu leur identité usurpée massivement en avril. Le levier est la « facture impayée » ou la « mise à jour facturation ». L'enjeu derrière est triple : CB volée pour fraude immédiate, credentials revendus, et — variante plus sophistiquée — code SMS récupéré pour déclencher un SIM swap permettant l'interception des 2FA bancaires.
3. Les [FOVI](/glossaire#fovi) battent un record annuel. Les fraudes au virement détournées (faux RIB fournisseur, fraude au président, voice cloning) ont touché un nombre inédit de PME et collectivités françaises en avril. Perte moyenne signalée : 18 200 €, en hausse de 42 % vs mars (12 800 €). Cette montée est portée par la généralisation du voice cloning audio accessible à des opérateurs sans compétence technique.
4. Le saut deepfake vidéo temps réel. Les premiers cas confirmés de fraude au président via deepfake vidéo temps réel sur Microsoft Teams ont été remontés à partir de la dernière décade d'avril. C'est le développement le plus important de l'année côté CTI grand public — une technologie qu'on suivait depuis fin 2025 a basculé en production opérationnelle pour les opérateurs frauduleux.
5. Crypto et plateformes d'investissement comme leurre persistant. Les publicités vidéo deepfake célébrités poussant de fausses plateformes crypto continuent de saturer Meta et TikTok. Le schéma reste le pig butchering) classique : dépôt initial faible, gains fictifs affichés, escalade des dépôts, blocage au retrait avec « frais de déblocage » demandés en seconde extraction.
Marques les plus usurpées en avril 2026
Top 10 avril 2026 (signalements croisés Signal-Spam + alertes presse + Reddit r/arnaque + remontées Cybermalveillance) :
- DGFIP / impots.gouv.fr (remboursement, régularisation)
- ANTAI / amendes.gouv.fr (amendes routières)
- CAF (allocations, trop-perçu)
- Engie / EDF (créances impayées)
- SFR / Free / Orange (factures, renouvellement)
- ANTS (carte grise en ligne)
- Banques de détail (Crédit Agricole, Boursorama, BNP, Société Générale)
- Amazon (compte bloqué, livraison)
- La Poste / Chronopost / Colissimo (colis en attente)
- Netflix, Spotify, PayPal (abonnements bloqués)
Canaux d'attaque dominants — avril 2026
- SMS : 1er en volume, leviers principaux : colis, créances énergie, amendes
- Email : très large surface, deepfakes investissement via pubs, phishings administratifs
- Téléphone : faible volume mais hauts dégâts unitaires, vishing bancaire + voice cloning PDG
- Marketplace : Leboncoin et Vinted dominent, variantes acheteur et vendeur
- Web : faux sites administratifs (carte grise, préfecture, ANTAI), popups support technique
Nouvelles techniques observées en avril 2026
- Deepfakes vidéo temps réel sur Microsoft Teams / Zoom — premier saut qualitatif majeur
- Compromission de comptes hôteliers Booking pour exploiter la messagerie authentique
- SIM swap via codes 2FA intercepté en phishing opérateurs — explosion du risque sur les comptes bancaires protégés par 2FA SMS uniquement
- Pub Google Ads au-dessus de résultats officiels pour faux sites administratifs
Conseils synthétiques
- Particuliers : démarche administrative ? Vérifie que tu es sur
.gouv.fr. Email ou SMS demandant ta CB / IBAN / numéro de Sécu via lien ? Suspect par défaut, retape l'URL officielle dans ton navigateur. - Entreprises : double validation obligatoire sur tout changement de RIB fournisseur et sur tout virement urgent hors-procédure. Mot de passe verbal partagé pour les ordres critiques par téléphone ou visio.
- Investisseurs crypto : aucune plateforme légitime ne te demandera jamais ta seed phrase. Aucune célébrité ne promeut secrètement une plateforme.
- Tout le monde : signale (33700, Signal-Spam, cybermalveillance.gouv.fr, PHAROS). Tes signalements nourrissent la veille.