Deepfake vocal + virement : la nouvelle fraude au président
Clone vocal par IA, visioconférence truquée, virement frauduleux : comment le deepfake transforme la fraude au président. Cas vérifiés et parades.
Début 2024, un employé du bureau de Hong Kong d’Arup, le groupe britannique d’ingénierie, doute d’un email de son directeur financier qui évoque une transaction secrète. Pour lever le doute, il rejoint la visioconférence proposée. Il y voit et entend le directeur financier et plusieurs collègues. Rassuré, il exécute 15 virements pour 200 millions de dollars de Hong Kong, environ 25,6 millions de dollars américains. Tous les participants étaient des deepfakes, et Arup a confirmé que des voix et des images falsifiées avaient été utilisées (Fortune, mai 2024).
L’affaire Arup montre un tournant de la fraude au président. Pendant des années, l’escroc devait convaincre par écrit ou avec sa propre voix. Il peut désormais parler avec celle du PDG, et même apparaître à l’écran sous ses traits.
Comment fonctionne le clonage vocal par IA
Quelques secondes d’audio suffisent
Un clone vocal est une reproduction synthétique de la voix d’une personne, produite par un modèle d’IA à partir d’échantillons audio. Il reproduit le timbre, l’intonation, le rythme, l’accent et les tics de langage de la voix d’origine.
La quantité d’audio nécessaire a fondu. En 2023, les chercheurs de McAfee ont testé les outils disponibles en ligne et en ont recensé plus d’une douzaine accessibles librement. Avec trois à quatre secondes d’enregistrement d’une chercheuse, un outil gratuit a produit un clone estimé à 85 % de ressemblance (McAfee, « Beware the Artificial Impostor », 2023). Fin 2025, Siwei Lyu, chercheur à l’université de Buffalo, estimait dans Fortune que le clonage vocal avait franchi le « seuil d’indiscernabilité » : quelques secondes d’audio donnent un clone crédible, avec ses pauses et sa respiration (Fortune, décembre 2025).
La synthèse en temps réel
Le clone sert aussi en direct : les outils actuels convertissent la voix de l’escroc en celle du dirigeant pendant qu’il parle, avec un léger décalage. L’attaquant improvise, répond aux questions et ajuste son discours. Au téléphone, où les pauses sont naturelles, ce décalage passe inaperçu.
Où les escrocs trouvent la voix de votre dirigeant
Les sources sont publiques et abondantes :
- vidéos LinkedIn et YouTube : webinaires, conférences filmées, interviews ;
- podcasts : un dirigeant de PME invité d’un podcast sectoriel livre de longues minutes d’audio de bonne qualité ;
- messages vocaux : annonce du répondeur de l’entreprise, audios WhatsApp ou Teams ;
- appels préparatoires : l’escroc appelle l’entreprise sous un prétexte anodin et enregistre la conversation.
Pour un panorama des autres usages de l’IA par les attaquants, lisez notre article sur les attaques par IA en entreprise.
Les cas documentés : de 220 000 euros à 25 millions de dollars
Le cas fondateur : filiale britannique d’un groupe énergétique allemand (2019)
En mars 2019, le dirigeant de la filiale britannique d’un groupe énergétique allemand reçoit un appel de celui qu’il prend pour le patron du groupe. Il reconnaît son léger accent allemand et la mélodie de sa voix. Son interlocuteur lui demande de virer 220 000 euros à un fournisseur hongrois dans l’heure. Il s’exécute. La voix était produite par logiciel, et l’argent est reparti vers le Mexique et d’autres pays. La fraude s’est arrêtée au troisième appel, quand le remboursement promis n’arrivait pas et que l’appel venait d’un numéro autrichien (Wall Street Journal, août 2019).
Arup Hong Kong : 25,6 millions de dollars en visioconférence (2024)
L’affaire Arup ajoute la vidéo et le groupe : plusieurs faux participants interagissent entre eux pendant la réunion. Surtout, elle retourne le doute de la victime contre elle. L’employé se méfiait de l’email et cherchait justement à vérifier. La visioconférence, organisée par l’escroc, lui a servi de fausse preuve.
Ferrari : la tentative déjouée par une question personnelle (2024)
En juillet 2024, un cadre de Ferrari reçoit des messages WhatsApp puis un appel imitant la voix et l’accent du PDG, Benedetto Vigna, au sujet d’une opération confidentielle. Méfiant, il demande quel livre son patron lui a recommandé quelques jours plus tôt. L’appel coupe aussitôt (Fortune, d’après Bloomberg, juillet 2024).
L’escroc peut copier une voix. Il ne connaît pas les souvenirs ni les échanges privés de la personne imitée. Ce réflexe reste rare sous la pression d’un appel du « PDG » : il s’entraîne.
En France : du masque du « faux Le Drian » aux voix clonées
La France a connu une version artisanale de cette fraude. Entre 2015 et 2017, une équipe s’est fait passer pour le ministre Jean-Yves Le Drian auprès de plus de 150 personnes et organisations, jusqu’à organiser des visioconférences avec un faux ministre portant un masque, derrière un bureau présenté comme celui du ministère. L’escroquerie a coûté 55 millions d’euros à trois victimes, et Gilbert Chikli, pionnier de l’arnaque au faux président, a été condamné à 11 ans de prison en mars 2020 (The Times of Israel, mars 2020). Ce que cette équipe obtenait avec un déguisement, un logiciel le produit aujourd’hui en temps réel.
Flux d’attaque : de la reconnaissance au virement frauduleux
Phase 1 : reconnaissance
L’attaquant choisit une entreprise dont le dirigeant s’exprime en public. Il collecte sur LinkedIn, sur le site de l’entreprise, dans les registres et sur les réseaux sociaux l’organigramme, les noms des personnes habilitées aux virements, les habitudes du dirigeant et, surtout, des échantillons de sa voix. Un post publié depuis un lieu de vacances signale qu’il sera difficile à joindre. Cette phase est la même que pour la fraude au président classique.
Phase 2 : création du clone vocal
L’attaquant charge les échantillons dans un outil de clonage, teste le résultat et l’ajuste. En parallèle, il prépare un numéro d’appel qui affiche celui du dirigeant (usurpation de l’identifiant d’appelant) et un domaine email sosie pour les messages de « confirmation ».
Phase 3 : l’appel frauduleux
L’appel suit un script éprouvé : les expressions habituelles du dirigeant, un prétexte qui justifie l’urgence et le secret (acquisition, litige, contrôle), l’isolement de la cible (« n’en parle à personne »), puis l’envoi des coordonnées bancaires par email, « confirmées » par la voix.
Phase 4 : fuite des fonds
Les fonds passent en quelques heures par plusieurs comptes, souvent dans plusieurs pays. Chaque heure perdue réduit les chances d’un rappel de fonds.
Ce que le deepfake ajoute à la fraude classique
La fraude au président est ancienne : Gilbert Chikli la pratiquait par simple téléphone. Le deepfake supprime ses principales failles.
La voix ne trahit plus l’imposteur. Un comptable qui connaissait la voix de son patron pouvait repérer un imitateur. Avec un clone, le timbre, les inflexions et l’accent sont ceux du dirigeant. Le test « je reconnais sa voix » ne vaut plus rien.
Le contrôle par un second canal peut être piégé. La recommandation classique, « en cas de doute, appelez le dirigeant », supposait qu’une voix au téléphone prouve l’identité. Dans l’affaire Arup, la victime a douté de l’email, puis a été rassurée par une visioconférence montée par l’escroc. Les deux canaux étaient faux.
L’accent n’est plus un indice. Un attaquant installé n’importe où peut parler avec l’accent régional du dirigeant ciblé, alors qu’un appel passé depuis l’étranger se repérait autrefois à l’oreille.
Le coût d’entrée a chuté. Les outils sont gratuits ou peu coûteux, et l’usurpation d’un numéro d’appel s’achète auprès de services de téléphonie par internet. Des PME qui semblaient trop petites pour justifier une préparation poussée deviennent des cibles rentables.
Le défi de la détection : pourquoi les employés sont pris au dépourvu
La plupart des programmes de sensibilisation se concentrent sur l’email. Les employés apprennent à repérer un lien suspect ou un domaine sosie, et cette formation laisse un angle mort : elle ne prépare pas aux attaques vocales.
Un email suspect peut être relu, analysé, montré à un collègue. Un appel du « PDG » se déroule en temps réel : il faut décider tout de suite, sous pression, face à une autorité que l’on n’a pas l’habitude de contredire. Le sentiment de sécurité que donne une voix familière aggrave le problème, puisqu’il désactive justement la vérification.
Les mesures de prévention concrètes
Procédures organisationnelles : le rempart qui tient
Face au deepfake vocal, ni la voix, ni le visage, ni le numéro affiché ne prouvent une identité. Les procédures écrites résistent.
Le rappel sortant sur un numéro vérifié. Pour toute demande de virement, raccrocher et rappeler sur un numéro enregistré dans l’annuaire interne, jamais sur le numéro affiché à l’écran (il peut être usurpé) ni sur celui de l’email.
Le code verbal. Un mot convenu en personne entre le dirigeant et les personnes habilitées aux virements, changé régulièrement. Celui qui clone la voix ne connaît pas le code. Vous pouvez prévoir deux codes : l’un pour dire que tout va bien, l’autre pour signaler une contrainte.
La double validation des virements. Au-delà d’un seuil fixé par la direction (par exemple 5 000 euros dans une petite PME), deux personnes distinctes approuvent le virement dans l’outil bancaire, chacune avec ses identifiants et une authentification forte.
Aucun virement sur instruction orale seule. Toute demande reçue par téléphone ou en visioconférence est confirmée par un canal formel, et l’exécution se fait dans l’outil bancaire. L’attaquant qui contrôle un seul canal est bloqué. Le détail de ces règles, prêt à copier, se trouve dans notre modèle de procédure anti-fraude au virement.
Culture d’entreprise : autoriser la vérification
Les procédures ne servent à rien si les employés n’osent pas les appliquer. Le comptable qui rappelle le PDG avant un virement doit être félicité. Le dirigeant dit lui-même, devant l’équipe, qu’il veut être rappelé et qu’il ne demandera jamais de contourner la procédure. Les règles sont écrites et accessibles à toutes les personnes concernées.
Contre-mesures techniques
Plusieurs technologies émergent, sans remplacer les procédures humaines.
La détection de deepfake audio. Des éditeurs proposent d’analyser le signal pour repérer les artefacts de synthèse. Leur fiabilité en conditions réelles, sur un appel de mauvaise qualité, reste à démontrer pour une PME.
La détection d’anomalies sur les virements. Les outils de gestion de trésorerie peuvent alerter sur un pays inhabituel, un montant hors de la fourchette historique ou des virements rapprochés.
L’authentification forte sur les plateformes bancaires et la protection des boîtes mail des dirigeants, détaillées dans notre guide de la fraude au président. Combinées à des plafonds de virement, elles ferment les accès que l’escroc cherche à emprunter.
Intégrer le deepfake dans les programmes de sensibilisation
Un module e-learning classique prépare mal à un appel vocal. La mise en situation, suivie d’un débriefing, ancre mieux le réflexe de rappel. Les exercices vocaux se préparent avec la direction, qui doit les autoriser et en connaître le principe.
Les scénarios d’exercice à prévoir
Scénario 1 : l’appel du faux dirigeant. Un membre de l’équipe sécurité appelle le service financier en se présentant comme le PDG et demande un virement urgent. Le réflexe de rappel et la demande du code verbal se déclenchent-ils ?
Scénario 2 : email et appel combinés. L’employé reçoit un email suspect, puis un appel qui « confirme » la demande. Résiste-t-il à cette double confirmation frauduleuse ?
Scénario 3 : la fausse visioconférence. Plus ambitieux, ce scénario sert à montrer en réunion d’équipe qu’une visioconférence peut être truquée, à la manière du cas Arup.
Scénario 4 : le changement de RIB par téléphone. Un faux fournisseur annonce de nouvelles coordonnées bancaires. La procédure de vérification est-elle appliquée ? Ce cas rejoint celui de l’arnaque au changement de RIB.
Chaque exercice se termine par un débriefing individuel : ce qui a fonctionné, ce qui n’a pas fonctionné, le réflexe à prendre la prochaine fois. Côté nophi.sh, la plateforme envoie des simulations de phishing par email, dont des scénarios de fraude au président et de changement de RIB fournisseur, et assigne une formation courte après un clic. Les exercices téléphoniques se jouent en interne. Pour l’email, l’entraînement fait baisser les clics : KnowBe4 mesure un taux de clic moyen de 33,1 % avant formation et de 4,1 % après 12 mois de simulations et de formation (Phishing by Industry Benchmarking Report 2025). Pour bâtir la démarche complète, voyez notre programme de sensibilisation à la cybersécurité.
Cadre juridique : ce que dit la loi
Plainte et assurance. Si votre contrat d’assurance couvre les pertes causées par une atteinte à votre système informatique, l’indemnisation est subordonnée à une plainte déposée au plus tard 72 heures après la découverte (article L12-10-1 du Code des assurances, issu de la loi LOPMI). Déposez plainte dans ce délai dans tous les cas.
Vigilance de la banque. Quand un salarié trompé ordonne lui-même le virement, la banque ne répond que si elle a ignoré des anomalies apparentes. Le 2 octobre 2024, la Cour de cassation a jugé qu’une banque aurait dû vérifier auprès du dirigeant, seul habilité à les valider, des ordres rapprochés, élevés et destinés à une société inconnue à Hong Kong (pourvoi n° 23-13.282, Légifrance). L’existence d’une procédure interne écrite pèse dans ces dossiers.
NIS2. Pour les entités concernées, la directive range la formation à la cybersécurité parmi les mesures de gestion des risques et impose une formation aux membres des organes de direction (article 20). Le deepfake a toute sa place dans ces formations (NIS2 pour les PME).
Réagir dans les premières heures
Minute 0 : alerter la banque. Appelez directement le service fraude et demandez le rappel du virement et le blocage du bénéficiaire.
Heure 1 : porter plainte, au commissariat ou à la gendarmerie, dans les 72 heures au plus tard.
Heure 2 : préserver les preuves. Ne supprimez rien : en-têtes des emails, journaux d’appels, numéros affichés, captures de la visioconférence si elle a eu lieu.
Heure 3 : alerter l’assureur et déclarer le sinistre avec le récépissé de plainte.
Heure 4 : vérifier les accès. Si une boîte mail a pu être compromise, réinitialisez les mots de passe, activez l’authentification forte et inspectez les connexions récentes et les règles de transfert.
Par où commencer
La voix de votre PDG au téléphone ne prouve plus son identité, et son visage en visioconférence non plus. Cette semaine :
- écrivez la règle du rappel sortant sur un numéro connu et faites-la signer par le dirigeant ;
- choisissez un code verbal avec la direction financière, en personne ;
- fixez le seuil de double validation dans l’outil bancaire ;
- prévoyez un exercice d’appel du « faux PDG » avec l’équipe comptable.
Vérifiez aussi la protection email de votre entreprise. Le test gratuit nophi.sh analyse vos enregistrements SPF, DKIM et DMARC en quelques secondes et donne une note avec des recommandations.
Thomas Ferreira est ingénieur sécurité chez nophi.sh (CISSP, GCFA, GCIH, GCFE). Il accompagne les PME françaises dans la mise en place de programmes de sensibilisation au phishing et à la fraude au président.
Ressources complémentaires :
- Fraude au président : cas réels, parades, recours : les affaires françaises et la jurisprudence
- Modèle de procédure anti-fraude au virement : les règles à mettre en place
- Les attaques par IA en entreprise : deepfakes, phishing généré par IA et parades
- Nouvelles formes de phishing : quishing, vishing, smishing : le panorama des menaces au-delà de l’email
- Test gratuit de sécurité email (SPF/DKIM/DMARC) : vérifiez si votre domaine est protégé contre l’usurpation
- Cybermalveillance.gouv.fr : plateforme nationale d’assistance aux victimes