Fraude au président : l'IA clone la voix, le virement s'envole

La scène ne relève plus de la science-fiction. Un comptable reçoit un appel en visioconférence de son dirigeant. Il reconnaît le visage, la voix, le ton pressé. L'ordre est clair : virer une somme importante, discrètement, pour boucler une acquisition confidentielle. Le virement part. Sauf que le dirigeant n'a jamais passé cet appel. Le visage, la voix, les hésitations : tout était généré par intelligence artificielle. Cette fraude au président « nouvelle génération » vise en priorité les PME, et 2026 marque son passage à l'échelle industrielle.

Fraude au président : ce que l'IA a changé en 2026

La fraude au président existe depuis quinze ans. La recette traditionnelle tenait en un email : une adresse usurpée, un ton d'urgence, un faux RIB, et l'espoir que le service comptable ne vérifie pas. Un salarié attentif repérait souvent l'entourloupe — une tournure inhabituelle, une adresse mal orthographiée, un numéro de téléphone qui ne répond pas.

L'IA générative a fait sauter ces garde-fous. Aujourd'hui, un escroc n'a plus besoin d'écrire un email crédible : il fait parler le dirigeant. Trente secondes d'audio suffisent pour cloner une voix de façon convaincante. Et cet audio, il le trouve partout : une interview sur un podcast, une vidéo LinkedIn, un webinaire, un message vocal. Le clonage vidéo en temps réel, lui, permet d'animer un visage sur un appel Teams ou Zoom avec une latence de quelques centaines de millisecondes seulement. Le tout pour un budget dérisoire : les outils nécessaires coûtent aujourd'hui moins de 200 €.

Le résultat : la vérification humaine sur laquelle reposaient toutes les procédures anti-fraude — « je reconnais sa voix, c'est bien lui » — ne vaut plus rien. C'est le cœur du problème, et la raison pour laquelle les procédures écrites il y a trois ans sont obsolètes.

Les chiffres qui doivent alerter tout dirigeant de PME

Le cabinet Deloitte a posé le chiffre qui fait référence : les pertes liées à la fraude dopée à l'IA générative devraient atteindre 40 milliards de dollars aux États-Unis d'ici 2027, contre 12,3 milliards en 2023, soit une croissance annuelle de 32 % (étude Deloitte Center for Financial Services). Le volume de deepfakes en circulation a, lui, été multiplié par plus de dix entre 2023 et 2025.

Côté entreprises, les rapports de sécurité 2026 convergent : la perte moyenne par incident deepfake avéré tourne autour de 280 000 dollars, et une large majorité des organisations touchées déclarent des pertes supérieures à 100 000 dollars. En France, les services de l'État ont documenté une flambée des usurpations de voix et de numéros sur l'année écoulée, avec des hausses à trois chiffres selon les acteurs de la cybersécurité.

Ce ne sont pas des statistiques abstraites de grand groupe. La caractéristique de cette fraude, c'est justement qu'elle ne demande aucune infrastructure : un escroc seul, avec un ordinateur portable, peut la mener. La cible idéale n'est pas la multinationale bardée de contrôles — c'est la PME de 20 salariés dont le dirigeant parle en public et dont le comptable a le pouvoir de virer.

Combien coûte un clonage vocal par IA ?

Presque rien, et c'est ce qui rend la menace massive. Plusieurs services en ligne clonent une voix à partir de 30 secondes d'enregistrement pour quelques euros par mois. Le clonage vidéo animé en direct reste plus technique mais tient désormais dans un budget de quelques centaines d'euros. Autrement dit : le coût d'entrée pour l'attaquant est ridicule face aux montants qu'il espère détourner. C'est une équation économique qui garantit la prolifération.

Trois affaires qui montrent l'ampleur du risque

Le cas d'école reste celui du groupe d'ingénierie Arup. En janvier 2024, à Hong Kong, une employée a viré l'équivalent de 25 millions de dollars après une visioconférence où figuraient son directeur financier et plusieurs collègues. Tous étaient des deepfakes. Elle avait pourtant eu un doute au départ ; la présence de « collègues » qu'elle reconnaissait l'a rassurée. C'est exactement le levier psychologique de l'attaque : elle sature les repères visuels et sonores habituels.

La France n'est pas épargnée. Le 27 avril 2026, la Banque de France et l'ACPR ont lancé une alerte officielle après la circulation de vidéos truquées montrant le gouverneur François Villeroy de Galhau et la secrétaire générale de l'ACPR Emmanuelle Assouan en train de recommander des placements. Message des autorités : les responsables de la Banque de France ne recommandent jamais aucun placement. Le procédé, cette fois, visait le grand public, mais il démontre à quel point le trucage est devenu indétectable à l'œil nu.

Plus parlant encore pour les entreprises : en janvier 2026, la DGSI a documenté le cas d'un responsable de site industriel qui a reçu un appel vidéo de son « PDG » réclamant un virement urgent pour une acquisition discrète. Le dirigeant était un clone. Ce qui a sauvé l'entreprise ? Le responsable a trouvé le canal de communication anormal et a refusé d'exécuter sans confirmer par une autre voie. La bonne nouvelle est là : même un deepfake parfait échoue face à une procédure, pas face à un réflexe.

Pourquoi les PME sont des cibles de choix

Une PME cumule les facteurs de risque. Le dirigeant est identifiable et souvent exposé publiquement — site, réseaux, prises de parole — ce qui fournit la matière première du clonage. Les circuits de décision sont courts : une personne, parfois le dirigeant lui-même, valide les virements sans contrôle croisé. Il n'y a généralement ni RSSI, ni procédure formalisée de vérification des ordres de paiement.

À cela s'ajoute le ressort humain que les escrocs exploitent sans faute : l'autorité et l'urgence. Un salarié qui reçoit un ordre direct de son patron, présenté comme confidentiel et pressant, a peu de chances de le remettre en cause — surtout si le patron « est » à l'écran. La fraude ne repose pas sur une faille informatique. Elle repose sur la hiérarchie et sur la politesse. C'est pour ça qu'aucun logiciel, seul, ne la réglera.

Le protocole anti-virement : la parade qui bloque 99 % des attaques

La contre-mesure ne coûte rien et ne demande aucune technologie exotique. Elle tient en une règle, à graver dans la procédure de paiement de l'entreprise.

Concrètement, votre procédure de paiement devrait imposer six points :

• Double validation obligatoire au-delà d'un plafond défini (par exemple 5 000 €) : deux personnes distinctes, jamais la même qui saisit et qui valide.
• Canal de rappel prédéfini : toute demande orale se vérifie en rappelant le numéro enregistré en interne, pas celui de l'appel entrant.
• Délai de latence sur les gros montants : un virement exceptionnel n'est jamais instantané, il attend au minimum quelques heures et une confirmation écrite.
• Vérification systématique des changements de RIB fournisseur par contre-appel sur un numéro déjà connu.
• La confidentialité n'est jamais un motif de contournement : « n'en parle à personne » doit déclencher une alerte, pas un virement.
• Un mot de passe verbal partagé entre le dirigeant et les personnes habilitées aux paiements, à demander en cas de doute.

Ce circuit de double validation peut être outillé sans développeur. Avec Make, on automatise une demande d'approbation : toute demande de virement au-dessus du plafond déclenche une notification au second valideur et bloque l'exécution tant que l'accord n'est pas enregistré. L'objectif n'est pas la technologie pour elle-même, mais de rendre le contournement impossible même sous pression.

Comment repérer un deepfake en visioconférence

Les indices techniques existent encore, même s'ils se raréfient. Une synchronisation labiale imparfaite, un clignement des yeux anormal, des artefacts autour des cheveux ou des oreilles, une lumière qui ne colle pas au décor. Sur un appel en direct, la latence trahit parfois le trucage : demandez à votre interlocuteur un geste imprévu — tourner la tête de profil, passer une main devant son visage. Les modèles temps réel gèrent encore mal ces mouvements inattendus.

Mais attention : miser sur la détection visuelle est un pari perdu à moyen terme. Les artefacts disparaissent à chaque nouvelle génération de modèles. Le signal le plus fiable n'est pas visuel, il est comportemental : une urgence anormale, une demande de secret, un canal inhabituel, une pression pour contourner la procédure. Ces trois marqueurs valent plus que n'importe quel détail d'image.

Former les équipes et écrire la procédure noir sur blanc

Une procédure qui reste dans un tiroir ne protège personne. Le maillon faible d'une fraude au président est toujours humain, et c'est aussi là que se joue la défense. Trois chantiers concrets pour une PME.

D'abord, écrire la procédure de paiement et la faire signer aux personnes habilitées. Ensuite, entraîner : une simulation d'appel frauduleux par an vaut mieux qu'une note de service. Enfin, documenter le ressort psychologique de ces attaques, car comprendre le mécanisme de manipulation vaut mieux que mémoriser une checklist. Le classique de l'ingénierie sociale, L'Art de la supercherie de Kevin Mitnick ^{· Amazon}, reste une lecture de référence pour saisir comment un attaquant exploite l'autorité et l'urgence — les deux ressorts exacts de la fraude au président.

Ce volet s'intègre naturellement dans une politique d'usage de l'IA plus large. Si vous n'avez pas encore formalisé la vôtre, notre guide sur la charte IA en PME détaille comment articuler procédure, cyberassurance et conformité. Vérifiez d'ailleurs votre contrat d'assurance : la fraude au président par ingénierie sociale n'est pas toujours couverte par les garanties cyber classiques, et certaines exigent précisément l'existence d'une procédure de double validation pour indemniser.

Ce qu'il faut retenir

La fraude au président par deepfake n'est pas une menace de demain réservée aux grands groupes. Les outils sont accessibles, bon marché, et les PME françaises sont statistiquement les mieux placées pour se faire piéger : dirigeant exposé, circuits courts, peu de contrôles. La bonne nouvelle, c'est que la parade est gratuite et immédiate. Aucun logiciel de détection ne remplacera une règle simple, écrite et respectée : pas de virement exceptionnel sans double validation par un canal connu. Si vous ne deviez faire qu'une chose cette semaine, ce serait d'appeler votre comptable et de convenir d'un mot de passe verbal. Ça prend cinq minutes. Ça vaut potentiellement plusieurs dizaines de milliers d'euros.