Un cliché posté depuis une terrasse de Porto peut suffire. En analysant l'arrière-plan d'une photo de vacances mise en ligne sur Instagram ou Facebook, une IA grand public devine le lieu, et des fraudeurs s'en servent pour envoyer un faux message bancaire taillé sur votre voyage. Le Guardian a décrit le 16 août 2026 cette mécanique, appuyée sur une étude de l'éditeur d'antivirus McAfee.

Quand l'image suffit à situer le voyageur

McAfee a testé deux modèles d'IA sur plus de 21 000 photos de voyage. L'un a retrouvé le lieu de prise de vue dans 91 % des cas, l'autre dans 87 %, selon les résultats relayés en France. Aucune donnée GPS ni géotag n'est nécessaire : le modèle lit l'architecture, les panneaux, la végétation, la lumière. Un simple plan d'eau ou un parterre de tulipes a suffi à identifier une commune précise. « Ce que l'IA apporte, c'est du contexte », résume Vonny Gamot, responsable EMEA de McAfee, « et c'est ce qui rend la menace crédible ».

Du décor au message piégé

Le lieu identifié, le fraudeur fabrique un SMS ou un e-mail qui cite votre destination pour paraître légitime. L'exemple donné par le Guardian, traduit : « Nous avons détecté une activité inhabituelle pendant votre séjour à Porto, veuillez vérifier immédiatement. » Autres variantes : une connexion suspecte depuis le pays visité, une carte prétendument bloquée, un hôtel réclamant une confirmation de paiement. Le lien renvoie vers un faux site qui demande vos coordonnées bancaires. Le procédé s'ajoute à d'autres détournements de comptes sociaux par l'IA, comme le piratage de 34 000 comptes Instagram via l'assistant de Meta. Or l'exposition reste large : en France, 17 % des voyageurs publient leurs plans en temps réel et 68 % scannent des QR codes sans vérification, selon la même enquête McAfee.

Les signaux et les bons réflexes

Trois indices doivent alerter : un ton d'urgence, la présence d'un lien à cliquer, et la mention de votre lieu de vacances par un expéditeur que vous n'avez pas sollicité. Côté protection, cybermalveillance.gouv.fr rappelle la règle de base : ne jamais communiquer ses données bancaires ni cliquer sur un lien reçu par message ; taper soi-même l'adresse de sa banque, ou rappeler le numéro figurant au dos de la carte, pour vérifier toute alerte par le canal officiel.

Deux gestes limitent l'exposition en amont : attendre le retour pour publier ses photos, et restreindre leur visibilité à ses contacts connus. Face à un message douteux, transférez le SMS au 33700, signalez l'e-mail via Signal Spam et prévenez votre banque. Au Royaume-Uni, la fraude se déclare auprès d'Action Fraud (0300 123 2040). Selon UK Finance, les escrocs ont dérobé plus de 629 millions de livres sur le seul premier semestre 2025.