Arnaque au président par deepfake vocal : comment protéger son entreprise d'un faux ordre de virement
L'arnaque au président n'est pas nouvelle : depuis plus d'une décennie, des escrocs se font passer pour un dirigeant afin d'ordonner un virement urgent et confidentiel à un comptable ou un assistant. Ce qui a changé récemment, c'est l'outil. Il ne s'agit plus seulement d'un e-mail usurpé ou d'une voix approximative au téléphone, mais d'un clonage vocal par intelligence artificielle capable de reproduire fidèlement le timbre, les intonations et même les tics de langage d'un dirigeant réel.
Quelques secondes d'enregistrement public, une interview, une conférence, une vidéo LinkedIn, suffisent désormais à entraîner un modèle de synthèse vocale crédible. L'escroc peut alors appeler un service comptable en imitant la voix du patron, créer un sentiment d'urgence et de confidentialité, et obtenir un virement vers un compte frauduleux avant que quiconque n'ait le temps de vérifier.
Ce guide explique comment reconnaître les signaux d'alerte de cette fraude et quelles procédures internes permettent de s'en protéger efficacement, sans pour autant paralyser l'activité de l'entreprise.
Comment fonctionne l'arnaque au président version deepfake
Le scénario reprend les ressorts classiques de l'ingénierie sociale, en les rendant plus crédibles grâce à la voix clonée.
- Repérage de la cible : les fraudeurs identifient une entreprise et une personne ayant accès aux paiements (comptable, contrôleur de gestion, assistant de direction), souvent via les réseaux sociaux professionnels ou l'organigramme public de la société.
- Collecte de voix : ils rassemblent des extraits audio publics du dirigeant visé pour entraîner un outil de clonage vocal, parfois complétés d'informations internes glanées par phishing préalable.
- Mise en scène de l'urgence : l'appel (ou le message vocal) intervient à un moment stratégique, fin de journée, veille de week-end, période de déplacement du dirigeant, pour limiter les possibilités de vérification immédiate.
- Demande de confidentialité : la voix clonée insiste sur le caractère secret de l'opération (rachat d'entreprise, contrôle fiscal, négociation sensible), ce qui décourage la victime d'en parler à un collègue.
- Pression et autorité : le ton reproduit celui d'un supérieur hiérarchique agacé ou pressé, ce qui pousse à l'obéissance immédiate plutôt qu'à la vérification.
Les signaux qui doivent alerter
Aucun signal n'est infaillible pris isolément, mais leur combinaison doit systématiquement déclencher une vérification.
- Une demande de virement urgente et inhabituelle, en dehors des procédures habituelles de validation.
- Une insistance sur la confidentialité de l'opération, avec consigne explicite de ne pas en parler à un tiers.
- Un changement de canal : le dirigeant appelle depuis un numéro inconnu, ou la demande arrive par un message vocal WhatsApp plutôt que par les canaux professionnels habituels.
- Une légère rigidité dans le débit ou l'intonation, des phrases parfois trop mécaniques, un contexte sonore artificiel ou absent (pas de bruit ambiant réaliste).
- Un compte bancaire inhabituel, souvent à l'étranger ou récemment ouvert, pour destination du virement.
Les réflexes à mettre en place immédiatement
Une procédure de double validation systématique
La meilleure protection reste organisationnelle, pas technologique. Toute demande de virement sensible, quelle que soit son urgence apparente, doit suivre une procédure fixe et non contournable.
- Aucun virement significatif ne doit être exécuté sur la seule base d'un appel téléphonique ou d'un message vocal, même si la voix semble authentique.
- Rappeler systématiquement la personne présumée à l'origine de la demande, sur un numéro connu et enregistré à l'avance, jamais celui indiqué dans le message reçu.
- Instaurer une double signature pour tout virement au-delà d'un certain montant, avec validation par une deuxième personne indépendante du service émetteur.
- Définir un code ou une question de vérification interne, connue uniquement des personnes habilitées, pour authentifier une demande sensible en cas de doute.
| Situation | Réflexe attendu |
|---|---|
| Appel du "dirigeant" demandant un virement urgent et confidentiel | Raccrocher poliment, rappeler sur le numéro habituel enregistré en interne |
| Message vocal WhatsApp ou Messenger d'un compte non habituel | Ne jamais valider sans confirmation par un canal professionnel connu |
| Demande de changement de RIB fournisseur par téléphone | Vérifier par écrit, via un contact déjà établi, avant toute modification |
| Pression à agir "avant la fin de journée" sans autre justification | Considérer l'urgence elle-même comme un signal d'alerte |
Sensibiliser sans alarmer
La formation des équipes ayant accès aux paiements reste déterminante. Une sensibilisation courte mais régulière permet de faire connaître ce type de fraude sans instaurer un climat de méfiance permanente envers la direction.
- Présenter des exemples concrets, y compris des cas médiatisés dans d'autres entreprises, pour ancrer la vigilance dans le réel.
- Rappeler que vérifier n'est pas désobéir : un salarié qui prend le temps de confirmer une demande sensible protège l'entreprise, il ne la ralentit pas.
- Encourager le signalement immédiat de toute tentative, même déjouée, pour identifier d'éventuelles attaques répétées ou ciblées.
Que faire en cas de virement déjà effectué
Si un virement frauduleux a malgré tout été exécuté, la rapidité de réaction conditionne largement les chances de récupération des fonds.
- Contacter immédiatement la banque émettrice pour demander un rappel de fonds ou un blocage, même si les chances de succès diminuent fortement au-delà de quelques heures.
- Déposer plainte sans délai auprès des services compétents, en conservant tous les éléments disponibles (enregistrement, numéro appelant, historique des échanges).
- Alerter sa compagnie d'assurance si l'entreprise dispose d'une garantie cybercriminalité ou fraude au virement, souvent incluse dans certains contrats multirisque professionnels.
- Informer les organismes compétents en matière de cybersécurité et de lutte contre la fraude, qui peuvent recouper l'incident avec d'autres signalements similaires.
Une menace qui dépasse le seul virement bancaire
Le clonage vocal par IA n'est qu'une déclinaison d'un risque plus large déjà identifié dans les entreprises qui expérimentent l'intelligence artificielle générative : celui de la confiance mal placée dans un contenu synthétique. Les mêmes prudences s'appliquent aux usages de l'IA générative en entreprise, où la vérification humaine reste indispensable avant toute décision engageante. Cette fraude s'inscrit également dans la même famille que les tentatives de phishing par SMS : l'objectif est toujours de créer une urgence artificielle pour court-circuiter la vérification normale.
- Une voix familière au téléphone n'est plus une preuve d'identité fiable : le clonage vocal par IA rend l'arnaque au président bien plus crédible.
- Aucun virement sensible ne doit reposer sur un seul appel, même urgent et confidentiel : le rappel sur un numéro connu et la double validation restent la meilleure parade.
- La vigilance doit porter sur le scénario (urgence, secret, canal inhabituel) plus que sur la voix elle-même, difficile à distinguer à l'oreille.
- En cas de virement frauduleux, la rapidité de réaction auprès de la banque et le dépôt de plainte conditionnent les chances de récupération.
Face à cette évolution des fraudes, la meilleure défense reste une procédure interne robuste et connue de tous, plutôt qu'une confiance aveugle dans la capacité à "reconnaître" une voix. C'est cette rigueur de process, plus que la technologie elle-même, qui protège durablement l'entreprise.
Questions fréquentes
On répond à vos questions
Comment les fraudeurs obtiennent-ils la voix du dirigeant à cloner ?
Le plus souvent à partir d'extraits audio ou vidéo publics : interviews, conférences, vidéos publiées sur les réseaux sociaux professionnels ou le site de l'entreprise. Quelques dizaines de secondes de voix claire suffisent généralement à entraîner un outil de clonage vocal crédible.
Un simple rappel téléphonique suffit-il à déjouer ce type d'arnaque ?
Dans la grande majorité des cas, oui, à condition de rappeler sur un numéro connu et enregistré à l'avance, jamais celui communiqué pendant l'appel suspect. C'est justement ce réflexe simple que les fraudeurs cherchent à empêcher en insistant sur l'urgence et la confidentialité.
Les petites entreprises sont-elles vraiment ciblées, ou seulement les grands groupes ?
Les PME sont de plus en plus visées, précisément parce que leurs procédures de validation des virements sont souvent moins formalisées que dans les grandes structures. L'absence de double signature ou de contrôle indépendant les rend plus vulnérables.
Une assurance peut-elle couvrir ce type de fraude ?
Certains contrats professionnels incluent une garantie cybercriminalité ou fraude au virement, mais les conditions et plafonds varient beaucoup d'un assureur à l'autre. Il est utile de vérifier précisément ce que couvre son contrat avant d'en avoir besoin.
Que faire si le virement frauduleux vient d'être exécuté il y a quelques minutes ?
Contacter sans délai sa banque pour tenter un rappel de fonds : les chances de succès sont bien plus élevées dans les premières heures. Il faut ensuite déposer plainte rapidement et conserver tous les éléments disponibles sur l'appel ou le message reçu.
Faut-il se méfier aussi des messages vocaux, pas seulement des appels en direct ?
Oui, un message vocal préenregistré offre encore plus de contrôle au fraudeur, qui peut peaufiner le texte et l'intonation sans risque d'être pris au dépourvu par une question imprévue. La même règle de vérification par rappel s'applique.
