Le téléphone sonne. C’est la voix du dirigeant, son intonation, ses expressions habituelles. Il est pressé : une acquisition confidentielle, un virement à faire avant midi, « surtout pas un mot à qui que ce soit ». Sauf que ce n’est pas lui. Grâce à l’intelligence artificielle, quelques secondes d’enregistrement suffisent aujourd’hui pour imiter une voix de façon convaincante. La vieille « fraude au président » a trouvé une arme redoutable. Voici comment elle fonctionne et comment s’en protéger simplement.
L’essentiel en 30 secondes
- Les outils de clonage vocal reproduisent une voix à partir d’un court extrait : vidéo en ligne, interview, message vocal.
- Les escrocs combinent cette voix avec l’urgence, le secret et l’autorité pour obtenir un virement ou des informations.
- Des visioconférences entièrement truquées ont déjà permis de détourner des millions.
- La parade la plus efficace n’est pas technique : raccrocher et rappeler au numéro connu, et ne jamais valider seul un paiement inhabituel.
Comment fonctionne l’arnaque
La fraude au président existe depuis longtemps : un escroc se fait passer pour un dirigeant afin d’obtenir un virement urgent. Ce qui change, c’est le réalisme. Les outils d’IA capables d’imiter une voix sont devenus accessibles, et les dirigeants laissent de nombreux extraits audio et vidéo en ligne : interviews, conférences, vidéos sur les réseaux sociaux, messagerie vocale.
Le scénario type se déroule en quatre temps :
- Repérage : l’escroc identifie l’organigramme, les noms des comptables, les projets en cours, souvent grâce à LinkedIn et au site de l’entreprise.
- Préparation : il clone la voix du dirigeant et parfois celle d’un avocat ou d’un auditeur « associé » à l’opération.
- Appel : il contacte un salarié qui peut effectuer des paiements, en invoquant une opération confidentielle et urgente.
- Pression : relances, flatterie (« je compte sur vous »), menace implicite, interdiction d’en parler à quiconque.
Ce n’est plus de la science-fiction
En février 2024, un employé du bureau de Hong Kong du groupe d’ingénierie Arup a effectué une série de virements pour environ 25 millions de dollars après une visioconférence où tous les participants, dont le directeur financier, étaient en réalité des imitations générées par IA.
En France, la DGSI a publié en décembre 2025 un « flash ingérence » consacré à l’IA, qui relate le cas d’un responsable de site industriel contacté en visioconférence par une personne imitant le visage et la voix de son dirigeant, pour un transfert de fonds lié à une prétendue acquisition. Surpris par la demande, il a interrompu l’échange et alerté sa direction : le bon réflexe. En avril 2026, la Banque de France et l’ACPR ont aussi alerté sur de fausses vidéos imitant leurs propres responsables pour promouvoir des placements frauduleux.
Plus largement, Cybermalveillance.gouv.fr a mesuré une hausse de 170 % des fraudes au virement, qui s’étendent désormais à la facturation et à la paie.
Les signaux d’alerte
- Une demande inhabituelle : virement vers un nouveau bénéficiaire, à l’étranger, hors des circuits normaux.
- L’urgence : « avant midi », « l’opération tombe sinon ».
- Le secret : « n’en parlez à personne, même pas au comptable ».
- Un canal inhabituel : numéro inconnu, messagerie personnelle, visioconférence improvisée.
- Une qualité audio étrange : voix légèrement monotone, réponses décalées, refus de répondre à une question personnelle. Attention : ce signal disparaît avec les outils les plus récents, il ne faut donc pas compter dessus.
La procédure de protection en 6 règles
| Règle | Comment l’appliquer |
|---|---|
| 1. Rappeler | Toute demande sensible reçue par téléphone ou visio est vérifiée en rappelant la personne au numéro connu (annuaire interne), jamais à celui qui a appelé. |
| 2. Double validation | Tout virement inhabituel ou supérieur à un seuil est validé par deux personnes. |
| 3. Pas d’exception | Le dirigeant s’engage par écrit à ne jamais demander de contourner la procédure. On ne reprochera jamais à personne d’avoir vérifié. |
| 4. Mot de passe verbal | Un code convenu à l’avance entre dirigeants et service comptable pour les demandes urgentes. |
| 5. Changement de RIB | Toute modification de coordonnées bancaires d’un fournisseur est confirmée par téléphone au numéro habituel. |
| 6. Discrétion en ligne | Limiter les informations publiques sur l’organigramme financier et les projets en cours. |
Ces règles s’intègrent naturellement à une charte informatique et à une session de sensibilisation, par exemple avec la MalletteCyber Pro.
Que faire si vous avez été piégé ?
- Appelez immédiatement votre banque pour demander le blocage ou le rappel des fonds : les premières heures sont décisives.
- Déposez plainte au commissariat, à la gendarmerie ou en ligne, avec tous les éléments (numéros, horaires, enregistrements, e-mails).
- Prévenez votre assureur si vous disposez d’une garantie fraude ou cyber.
- Informez vos équipes : les escrocs retentent souvent leur chance quelques jours plus tard.
- Faites-vous accompagner par Cybermalveillance.gouv.fr ou un prestataire de confiance.
Les deepfakes ne sont qu’un exemple de ce que l’IA change pour les attaquants : voir notre article sur IA générative et cybercriminalité.
Questions fréquentes
Combien de temps d’enregistrement faut-il pour cloner une voix ?
Quelques secondes à quelques dizaines de secondes suffisent avec les outils actuels pour une imitation crédible au téléphone. Une vidéo d’interview ou un message vocal fournissent largement assez de matière.
Existe-t-il un logiciel pour détecter les voix clonées ?
Des solutions existent, mais aucune n’est fiable à 100 % et elles ne protègent pas un appel reçu sur un mobile. La procédure de rappel et la double validation restent les protections les plus sûres.
Les petites entreprises sont-elles visées ?
Oui. Les escrocs ciblent toutes les structures qui effectuent des virements, y compris les TPE, les associations et les collectivités, souvent moins formées à ces scénarios.
Que dire à un salarié qui craint de froisser le dirigeant en vérifiant ?
Que la vérification est la règle, validée par la direction elle-même. Un dirigeant qui reçoit un rappel de vérification doit le saluer, jamais le reprocher.
Sources
- DGSI, Flash ingérence n° 117 sur l’intelligence artificielle (décembre 2025).
- CNN, affaire de la visioconférence truquée à Hong Kong (février 2024).
- Cybermalveillance.gouv.fr, chiffres de l’État de la menace 2025.
- Banque de France et ACPR, alerte sur les vidéos truquées (avril 2026).
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous animons des sessions de sensibilisation pour vos équipes. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
