Voix clonées et deepfakes : la nouvelle fraude au président, et comment s’en protéger

Le téléphone sonne : c’est votre dirigeant, même voix, un peu pressé. Une acquisition confidentielle est en cours, les avocats attendent un virement avant 17 h, et personne ne doit être au courant avant l’annonce. Sauf que votre dirigeant est dans un TGV sans réseau, et que cette voix sort d’un logiciel nourri d’une vidéo de votre site.

C’est la fraude au président par deepfake : la vieille arnaque au faux dirigeant (un FOVI, faux ordre de virement, pour les autorités), jouée avec une copie par IA d’une vraie voix, parfois d’un visage en visio. Ce qui change, c’est que l’imitation sonne juste. L’IA a accéléré beaucoup de métiers, le mien compris (mon guide de l’IA pour les petites équipes en montre le bon côté), et la fraude aussi.

La parade ne coûte rien. Pour la vue d’ensemble, voyez mon guide de cybersécurité pour les petites équipes.

Comment on clone une voix, et ce dont le fraudeur a besoin

Une voix clonée, c’est un modèle d’IA qui lit n’importe quel texte, ou transforme la parole du fraudeur, avec la voix d’une personne précise. Un deepfake vidéo (« hypertrucage » sur les sites officiels) fait de même avec un visage, jusqu’en direct en visio.

Il faut très peu de matière. En mars 2024, OpenAI écrivait que son modèle Voice Engine n’avait besoin que d’« un seul échantillon audio de 15 secondes » pour imiter de près une voix, et en réservait l’accès à quelques partenaires à cause des risques d’abus (billet d’OpenAI, en anglais). Quinze secondes, c’est une réponse dans un podcast, une vidéo sur LinkedIn ou l’annonce de votre répondeur. En décembre 2024, le FBI avertissait que des escrocs utilisent déjà des voix générées par IA pour se faire passer pour un proche en détresse ou accéder à des comptes bancaires.

Le scénario vient des informations publiques : votre site, LinkedIn, les registres d’entreprises, les communiqués de presse. L’attaque type commence par un message sur un canal crédible (email, WhatsApp, invitation à une réunion) et une raison d’aller vite et de se taire : une acquisition secrète, un accord de confidentialité à signer, le régulateur des marchés « déjà informé ». Puis un appel, un message vocal ou une visio lève le dernier doute, juste avant la demande : un virement, un RIB, des mots de passe ou des données personnelles.

Trois cas réels : Arup, WPP et Ferrari

Ce sont trois des cas les mieux documentés : de grands groupes, mais une méthode qui marche contre n’importe quelle équipe.

Arup a indiqué qu’aucun de ses systèmes internes n’avait été compromis (article sur la confirmation d’Arup, en anglais). The Guardian a révélé la tentative contre WPP, d’après l’email de Mark Read à ses équipes ; Bloomberg, celle contre Ferrari, qui n’a pas fait de commentaire.

En France, la DGSI décrit une tentative contre une entreprise française : un responsable de site reçoit un appel, puis une visio, d’une personne qui a le visage et la voix du dirigeant et demande un virement pour un projet d’acquisition (page de la DGSI).

Chez Ferrari, une question a suffi à couper court à l’appel, et WPP a attribué l’échec de la tentative à la vigilance de ses équipes ; chez Arup, la vérification est venue après le départ de l’argent. Dans les trois cas, les signaux les plus nets étaient dans la demande : une opération ou une activité secrète, un canal inhabituel et, au bout, de l’argent ou des données personnelles.

Pourquoi votre oreille ne suffit pas

Le cadre de Ferrari a perçu de légères intonations mécaniques, et le site Ma Sécurité du ministère de l’Intérieur conseille d’écouter s’il manque des hésitations ou des variations naturelles du ton, et de guetter en vidéo un décalage entre les lèvres et la voix. Ces indices aident, mais ne protègent pas : une mauvaise ligne, un « problème de caméra » ou un court message vocal les masquent, et vous écoutez votre dirigeant, vous ne cherchez pas l’erreur.

Des logiciels de détection existent, mais une petite équipe en a rarement un qui tourne en plein appel, et « probablement authentique » ne vaut pas validation d’un virement. L’authentification par la voix perd aussi de sa valeur : dans le même billet, OpenAI recommandait de l’abandonner progressivement, par exemple pour l’accès aux comptes bancaires.

Aucun de ces signaux ne prouve l’arnaque, mais chacun justifie une vérification :

• un nouveau numéro, un nouveau compte ou un canal inhabituel
• l’urgence, liée à une échéance que vous ne pouvez pas vérifier
• le secret : « n’en parlez à personne pour l’instant »
• une raison qui vous empêche de rappeler ou de demander à un collègue
• une demande de contourner la procédure habituelle, « juste cette fois »

La procédure l’emporte sur la technologie : une règle appliquée à chaque demande arrête une imitation parfaite aussi sûrement qu’une imitation grossière.

Les règles qui bloquent la fraude au président par deepfake

Ces règles ne demandent ni logiciel ni service informatique, et vous n’avez pas besoin de moi pour les mettre en place : écrivez-les sur une page et appliquez-les à chaque demande, celles du dirigeant comprises.

1. Raccrocher et rappeler. Toute demande d’argent, de RIB, de mots de passe ou de fichiers confidentiels reçue par téléphone, message vocal, visio ou messagerie se confirme en rappelant le numéro enregistré dans vos contacts, jamais celui qui a appelé ni celui donné dans le message. Un compte WhatsApp au nom et à la photo du dirigeant ne prouve rien : les escrocs qui visaient WPP en ont créé un à partir d’une photo publique. Si vous ne joignez pas la personne, la demande attend.
2. Poser une question dont seule la vraie personne connaît la réponse. La question du cadre de Ferrari est le modèle : un détail d’une conversation récente qui ne figure nulle part en ligne. Un mot de code convenu de vive voix fonctionne aussi ; ne le fixez jamais par email ou par messagerie, et changez-le dès qu’il a servi au téléphone.
3. Deux personnes pour tout virement inhabituel. L’une le prépare, l’autre le valide après sa propre vérification. Depuis le 9 octobre 2025, votre banque vérifie aussi que le nom du bénéficiaire correspond à l’IBAN des virements en euros, mais une correspondance ne rend pas une demande légitime. Mon guide sur la fraude au faux RIB et au président détaille la procédure de paiement.
4. Urgence et secret, c’est stop. Le dirigeant écrit à toute l’équipe : « Je ne vous demanderai jamais de virement secret ou urgent par téléphone, message vocal ou visio. Si cela semble arriver, rappelez-moi. » Et vérifier ne sera jamais reproché à personne, même quand la demande se révèle authentique.
5. Informer tous ceux qui peuvent payer ou ouvrir des accès : l’assistant ou l’assistante de direction, votre expert-comptable, toute personne qui peut modifier un RIB, réinitialiser un mot de passe, envoyer la paie ou des fichiers clients. Dix minutes en réunion d’équipe suffisent.

Les familles sont visées aussi, avec un « petit-fils » en difficulté qui réclame de l’argent : le FBI leur conseille de convenir à l’avance d’un mot ou d’une phrase secrète.

Rendre votre équipe plus difficile à piéger

Vous ne pouvez pas empêcher qu’on entende votre voix, mais vous pouvez priver le scénario de matière.

• Ne publiez pas qui paie. Retirez des pages publiques le nom et la ligne directe des personnes qui valident les paiements : les fiches officielles le recommandent, car l’escroc étudie d’abord les réseaux sociaux et les organigrammes.
• Surveillez vos messages d’absence. « En déplacement à Singapour jusqu’à vendredi, pour les paiements urgents contactez Camille » dit à l’escroc quand le dirigeant est injoignable et qui appeler. Les mêmes fiches notent que ces appels arrivent souvent le soir, pendant les vacances ou au milieu d’un pont, quand le service comptable tourne au ralenti.
• Verrouillez vos messageries. Une boîte mail piratée donne à l’escroc tout son scénario : qui paie qui, le ton du dirigeant, les dossiers en cours. Activez la double authentification ou les passkeys partout.
• Faites un exercice. Le dirigeant appelle un collègue depuis un numéro inconnu avec une demande urgente sans conséquence, et regarde si le rappel a lieu. Une fois, sans reproche.

Si l’appel arrive, ou si l’argent est déjà parti

Pendant l’appel, gardez votre calme et ne discutez pas : posez votre question de contrôle (règle 2) ou dites simplement que vous rappelez, puis raccrochez et appliquez la règle 1. Notez le numéro, l’heure et la demande, et faites des captures d’écran des messages et du profil qui les a envoyés.

Si l’argent est parti :

1. Appelez immédiatement la ligne fraude de votre banque, au numéro de son site ou de votre carte, pour demander le blocage ou le rappel des fonds. Les minutes comptent.
2. Déposez plainte auprès de la police ou de la gendarmerie. Le service 17Cyber vous oriente et, pour les cas graves, vous met en relation en ligne avec un policier ou un gendarme ; la fiche réflexe de Cybermalveillance.gouv.fr sur les faux ordres de virement détaille les démarches.
3. Gardez les preuves : journaux d’appels, numéros, messages écrits et vocaux, invitations et confirmations de virement.
4. Prévenez votre assureur ou votre courtier le jour même ; mon article sur ce que couvre une assurance cyber explique ce qu’il faut vérifier.
5. Vérifiez les comptes concernés. Si l’escroc savait des choses qui ne figurent que dans vos emails, traitez la messagerie comme piratée : mon plan de la première heure après une cyberattaque détaille les étapes.

Ce contenu est une information générale, pas un conseil juridique : pour une grosse somme, ou si votre banque ne vous aide pas, un avocat qui traite les litiges bancaires vaut ses honoraires.

À mettre en place cette semaine

Environ une heure de travail :

• Écrire la règle du rappel et la phrase « urgence et secret, c’est stop » sur une page signée par le dirigeant.
• Convenir de vive voix d’une question de contrôle ou d’un mot de code avec chaque personne qui valide des paiements.
• Activer la double validation des nouveaux bénéficiaires dans votre banque en ligne, ou en faire une règle écrite.
• Informer tous ceux qui peuvent payer ou ouvrir des accès, nouveaux arrivants compris.

Quand passer la main : si vous pensez qu’une messagerie ou un compte a servi à préparer l’attaque, faites-le vérifier avant de lui refaire confiance ; mon guide des aides gratuites en cybersécurité liste de bons premiers interlocuteurs. Le reste est entre vos mains, et aucun outil ne vaut une équipe qui rappelle.